Microsoft, de Japanse politie en meerdere partners hebben een wereldwijd netwerk ontmanteld dat verantwoordelijk was voor meer dan een miljard kwaadaardige berichten, gericht tegen ruim 75.000 organisaties in 150 landen. Sinds het begin van dit jaar alleen al ontvingen Microsoft-klanten meer dan 750 miljoen van die berichten, via e-mail en sms.
Het onderzoek, gestart door Microsoft en de Japanse National Police Agency (NPA), richtte zich op YAM Store, een ondergrondse marktplaats die intern bekendstaat als Storm-3119. Die marktplaats verkocht gecompromitteerde of op frauduleuze wijze verkregen Microsoft- en Google-omgevingen, inclusief accounts, licenties en opslagruimte. Gekoppeld aan YAM Store opereerden drie phishingkits onder de gezamenlijke naam Storm-2990: CoGUI, Haozi en Iron Man System. CoGUI richtte zich vooral op slachtoffers in de Verenigde Staten en Japan; Proofpoint zag al in 2024 campagnes met dit kit tegen Japanse doelwitten. Iron Man groeide uit tot het grootste en actiefste kit van het drietal, met meer dan 2.300 sjablonen die banken, winkels, bezorgdiensten en overheidsinstanties nabootsen, en verdrong CoGUI medio dit jaar als populairste kit. Samen met twee kleinere kits, CoAceV en CoFish_Ws, gebruikte het netwerk meer dan 17.000 domeinen.
Oude domeinen en AI-gegenereerde dekmantels
Opvallend aan de werkwijze: de criminelen kochten verlopen domeinen van bestaande, legitieme organisaties op en bouwden de bijbehorende websites na zodat ze actief leken, om zo toegang tot cloudaccounts te verkrijgen. Met AI-tools zetten ze ook volledig verzonnen organisaties op, compleet met geloofwaardige documentatie. Met gestolen applicatie-inloggegevens beheerden ze vervolgens de buitgemaakte accounts en licenties, en ze misbruikten SharePoint en OneDrive als hostingomgeving voor hun phishingpagina’s. Een groot deel van de aanvallen draaide om device-code phishing, een techniek waarmee authenticatietokens worden gestolen in plaats van wachtwoorden. Als lokaas gebruikten de daders onder meer:
- onbetaalde tolwegen en verkeersboetes
- gemiste of mislukte bezorgingen
- verificatieverzoeken van ogenschijnlijk vertrouwde diensten
Om ontdekking te bemoeilijken zette het netwerk geofencing, nepcaptcha’s en IP-filtering in. Beveiligingsbedrijf Resecurity, een van de partners in het onderzoek, vond een publiek toegankelijke git- en containerregistry met 911 builds en acht geregistreerde accounts, plus een los subsysteem voor productselectie dat gekoppeld was aan diefstal van betaalkaartgegevens. In totaal telde Resecurity 2.360 kant-en-klare phishingpakketten, bruikbaar in 130 landen en regio’s.
Aan het onderzoek werkten naast Microsoft en de NPA ook Health-ISAC, de Japanse justitiële autoriteiten, JC3, Resecurity, Cloudflare, Oracle, Proofpoint en TRM Labs mee. Op bevel van de rechtbank voor het Southern District of Florida namen Microsoft en Health-ISAC de domeinen van YAM Store, CoGUI en Iron Man in beslag en zetten ze om. Meer dan 20.000 accounts die aan YAM Store gekoppeld waren, zijn gedeactiveerd en ruim 100.000 domeinen die voor nepmail en fraude werden gebruikt, zijn geblokkeerd. Microsoft meldt dat de opruiming van resterende infrastructuur nog doorloopt. Over arrestaties is vooralsnog niets bekendgemaakt.
Nederlandse organisaties die vaker met dit soort phishing te maken krijgen, doen er goed aan medewerkers te wijzen op verzoeken rond tolwegen, verkeersboetes en bezorgingen, precies de onderwerpen die dit netwerk als lokaas gebruikte. Device-code phishing is bovendien lastig te herkennen omdat het geen wachtwoord steelt maar een sessie kaapt. Beperk waar mogelijk het gebruik van die aanmeldflow en controleer ongebruikelijke aanmeldingen via conditional access-beleid.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Dit netwerk gebruikte vooral herkenbare lokmiddelen: onbetaalde tolwegen, verkeersboetes en gemiste bezorgingen. Wijs medewerkers daarop en beperk waar mogelijk device-code-aanmeldingen, een flow die steeds vaker wordt misbruikt om sessies te kapen in plaats van wachtwoorden te stelen.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.