Entschlossenes Vorgehen gegen Betrug: Wie Storm-1152 das Handwerk gelegt wurde

Im Februar 2023 bemerkte Matthew Mesa, Senior Security Researcher im Microsoft Threat Intelligence Center (MSTIC), dass immer mehr Microsoft Outlook-Konten für Massen-Phishing-Kampagnen verwendet wurden. Zu seinen Aufgaben gehört es, E-Mail-Kampagnen zu analysieren und verdächtige Aktivitäten zu identifizieren. Als er feststellte, dass immer mehr betrügerische Konten verwendet wurden, fragte er sich, ob all diese Konten miteinander in Verbindung stehen könnten.

Sofort erstellte er das Profil eines neuen Bedrohungsakteurs, Storm-1152, verfolgte dessen Aktivitäten und informierte das Identity-Team von Microsoft über seine Erkenntnisse. Shinesa Cambric, Principal Product Manager des Anti-Abuse and Fraud Defense Teams von Microsoft, hatte diese bösartigen Aktivitäten ebenfalls verfolgt und eine Zunahme automatisierter Konten (Bots) festgestellt, die versuchten, die CAPTCHA-Prüfungen zu umgehen, die zum Schutz des Anmeldeprozesses für Microsoft-Verbraucherdienste eingesetzt werden.​

„Mein Team ist sowohl für unsere Verbraucher- als auch für unsere Unternehmensdienste zuständig, was bedeutet, dass wir täglich Milliarden von Konten vor Betrug und Missbrauch schützen", erklärt Cambric. „Unsere Aufgabe ist es, die Methoden der Kriminellen zu verstehen, damit wir Angriffe abwehren und den Zugriff auf unsere Systeme verhindern können. Wir denken ständig über Prävention nach – darüber, wie wir böswillige Akteure schon am Eingang stoppen können.“

Was die Aufmerksamkeit von Cambric auf sich gezogen hatte, war der zunehmende Betrug im Zusammenhang mit dieser Aktivität. Als mehrere Parteien – sowohl Microsoft-Partner als auch Teile der Lieferkette – über Schäden berichteten, die durch diese von Bots erstellten Microsoft-Konten verursacht wurden, wurde Cambric aktiv.

Gemeinsam mit Arkose Labs, einem Anbieter von Cybersicherheits- und Bot-Management-Lösungen, arbeitete das Cambric-Team daran, die betrügerischen Konten der kriminellen Gruppe zu identifizieren und zu deaktivieren, und informierte die Kollegen des MSTIC und der Arkose Cyber Threat Intelligence Research Unit (ACTIR) über Details ihrer Arbeit.

„Ursprünglich bestand unsere Aufgabe darin, Microsoft vor der Erstellung betrügerischer Konten zu schützen“, erklärt Patrice Boffa, Chief Customer Officer von Arkose Labs, „aber als Storm-1152 als Gruppe identifiziert wurde, begannen wir auch mit der Sammlung großer Mengen an Bedrohungsdaten.“

Als die betrügerischen Aktivitäten im März 2023 einen vorläufigen Höhepunkt erreichten, wandten sich Cambric und Mesa an die Digital Crimes Unit (DCU) von Microsoft, um zu sehen, was zusätzlich getan werden konnte.

Als externe Vollstreckungsstelle von Microsoft verfolgt die DCU in der Regel nur die schwerwiegendsten oder hartnäckigsten Täter. Sie konzentriert sich auf Störungen, die eine Erhöhung der Kosten für die Geschäftstätigkeit zur Folge haben, wobei Strafanzeigen und/oder Zivilklagen die Hauptinstrumente sind.

Sean Farrell, Lead Counsel für das Cybercrime Enforcement Team in Microsofts DCU, Jason Lyons, Principal Manager of Investigations im DCU Cybercrime Enforcement Team von Microsoft, und Maurice Mason, Senior Cyber Investigator, führten zusammen weitere Untersuchungen durch. Sie berieten sich mit den externen Rechtsberatern von Microsoft, um eine rechtliche Strategie zu entwickeln, und trugen die für eine Zivilklage erforderlichen Beweise zusammen, wobei sie sich auf die Erkenntnisse mehrerer Microsoft-Teams und die von Arkose Labs gesammelten Bedrohungsdaten stützten.

„Als die DCU eingeschaltet wurde, war bereits viel Arbeit geleistet worden", erinnert sich Lyons. „Das Identity-Team und Arkose Labs hatten bereits wichtige Arbeit bei der Identifizierung und Deaktivierung von Konten geleistet, und da das MSTIC die betrügerischen Konten mit bestimmten Infrastrukturebenen in Verbindung bringen konnte, dachten wir, dass dies ein geeigneter Fall für die DCU sein würde.“

Zu den Faktoren, die dazu beitragen, dass ein Fall es wert ist, weiterverfolgt zu werden, gehören Gesetze, die für eine Zivilklage herangezogen werden können, die gerichtliche Zuständigkeit und die Bereitschaft eines Unternehmens, Personen öffentlich zu nennen.

Lyons vergleicht die Berücksichtigung dieser Faktoren mit einem Triage-Prozess, bei dem die DCU die Fakten und Informationen prüft, um festzustellen, ob alles auf einen geeigneten Fall hindeutet. „Ausgehend von dem, was wir tun, fragen wir uns, ob wir unsere Zeit und Energie darauf verwenden wollen, Maßnahmen zu ergreifen", sagt er. „Werden die Ergebnisse den Aufwand wert sein?" In diesem Fall lautete die Antwort: Ja.

Mason wurde beauftragt, die Aktivitäten von Storm-1152 im Bereich des Cybercrime-as-a-Service zu untersuchen. „Meine Aufgabe war es, zu verfolgen, wie Storm-1152 diese betrügerischen Konten an andere Gruppen von Bedrohungsakteuren verkaufte, und die Personen hinter Storm-1152 zu identifizieren“, erklärt Mason.

Durch ihre Ermittlungsarbeit, die eine gründliche Überprüfung von Social-Media-Seiten und Zahlungskennungen umfasste, konnten Microsoft und Arkose Labs die Personen hinter Storm-1152 identifizieren: Duong Dinh Tu, Linh Van Nguyễn (auch bekannt als Nguyễn Van Linh) und Tai Van Nguyen.

Ihre Erkenntnisse zeigten, dass diese Personen den Code für die illegalen Websites geschrieben und diese betrieben hatten, detaillierte schrittweise Anleitungen zur Nutzung ihrer Produkte in Form von Videotutorials veröffentlicht und Chat-Dienste zur Unterstützung der Nutzer ihrer betrügerischen Dienste angeboten hatten. Anschließend wurden weitere Verbindungen zur technischen Infrastruktur der Gruppe hergestellt, die das Team auf Hosts in den Vereinigten Staaten lokalisieren konnte.

Farrell sagt zur Entscheidung, den Fall weiterzuverfolgen: „In diesem Fall hatten wir Glück, denn die Teams hatten hervorragende Arbeit geleistet und die Akteure identifiziert, die die Infrastruktur und die kriminellen Dienste aufgebaut hatten.

Einer der Gründe, warum wir bei der DCU solche Fälle verfolgen, ist die Abschreckung dieser Cyberkriminellen durch die Folgen. Dazu reichen wir Klagen oder Strafanzeigen ein, die zu Verhaftungen und strafrechtlicher Verfolgung führen. Ich glaube, dass es eine sehr starke Botschaft ist, wenn man in der Lage ist, die Akteure zu identifizieren und sie in den Vereinigten Staaten in Anklageschriften öffentlich zu benennen.“​​

Mit Blick auf das Ergebnis der Ermittlungen und der Maßnahmen gegen Storm-1152 stellt Farrell fest, dass der Fall nicht nur wegen seiner Folgen für uns und andere betroffene Unternehmen von Bedeutung ist, sondern auch wegen der Bemühungen von Microsoft, die Auswirkungen dieser Operationen zu verringern, die Teil des Cybercrime-as-a-Service-Ökosystems sind.