Por Canuto  

Microsoft informó que una red de servicios de ciberdelincuencia aceptaba USDT y ETH y facilitó campañas contra más de 75.000 organizaciones. La operación judicial permitió tomar dominios y desactivar cuentas, aunque el valor de los activos congelados y el impacto financiero inmediato siguen sin conocerse.

***

  • Microsoft dijo que la actividad superó los 1.000 millones de mensajes maliciosos y que desactivó más de 20.000 cuentas vinculadas a YAM Store.
  • YAM Store, CoGUI e Iron Man vendían credenciales, infraestructura y herramientas de phishing; sus servicios alcanzaron a organizaciones en más de 150 países.
  • Investigadores de blockchain ayudaron a ubicar activos para congelarlos, pero las autoridades y empresas aún enfrentan el reemplazo de dominios y cuentas.

 

Microsoft y el grupo de ciberseguridad Health-ISAC obtuvieron una orden de un tribunal de Estados Unidos para incautar y redirigir dominios asociados con YAM Store, CoGUI e Iron Man. Los tres servicios ofrecían a otros delincuentes cuentas, infraestructura y herramientas para ejecutar campañas de phishing, un modelo que reduce la necesidad de que cada grupo construya sus propios recursos técnicos.

La compañía afirmó que los proveedores estaban vinculados a más de 1.000 millones de mensajes maliciosos durante el año y que, desde enero, sus servicios permitieron dirigir campañas a más de 75.000 organizaciones en más de 150 países. Microsoft también señaló que desactivó más de 20.000 cuentas relacionadas con YAM Store y continúa bloqueando más de 100.000 dominios empleados para suplantación de identidad y fraude.

La operación no se limitó a cerrar páginas utilizadas para engañar a las víctimas: apuntó a los servicios que facilitaban la preparación y distribución de esos ataques. Según el reporte de CryptoSlate, la compañía describió una red de proveedores que permitía a sus clientes adquirir recursos listos para usar, desde cuentas comprometidas hasta plantillas que imitaban servicios y entidades conocidas.

Microsoft indicó que los operadores de estos servicios habrían generado decenas de millones de dólares. La información divulgada no precisa cuánto de ese dinero corresponde a cada proveedor ni cuánto lograron recuperar las autoridades, por lo que el alcance económico de la intervención permanece menos claro que su escala técnica.

El mercado ofrecía cuentas, alojamiento y páginas falsas

La investigación comenzó después de que la Agencia Nacional de Policía de Japón alertara a Microsoft, a finales del año pasado, sobre estafas dirigidas tanto a consumidores como a empresas. Los investigadores rastrearon las campañas hasta un mercado en chino donde distintos grupos podían comprar la infraestructura necesaria para ejecutar operaciones de phishing sin desarrollarla desde cero.

YAM Store ofrecía cuentas de Microsoft y Google obtenidas de forma fraudulenta, además de recursos en la nube y servicios de alojamiento. Microsoft también describió un método por el cual algunos operadores reutilizaban dominios caducados de organizaciones educativas y sin fines de lucro para conseguir cuentas de Microsoft 365 y revenderlas.

CoGUI e Iron Man cumplían otra función dentro de la cadena: suministraban páginas y mensajes fraudulentos listos para imitar a bancos, comercios minoristas, autoridades de transporte y organismos gubernamentales. La oferta permitía que los compradores adaptaran sus engaños a marcas y países distintos, en lugar de depender de una única plantilla o de una campaña uniforme.

Microsoft y la firma de seguridad Resecurity identificaron más de 2.300 plantillas asociadas con Iron Man. Esa variedad ofrecía a los clientes opciones para personalizar la apariencia de sus páginas falsas y hacerlas coincidir con las entidades que pretendían suplantar, aunque la información disponible no detalla cuántas campañas utilizaron cada plantilla.

Pagos con USDT, ETH y otros medios

El análisis técnico de Microsoft encontró que los servicios aceptaban criptomonedas, entre ellas la stablecoin USDT de Tether y la criptomoneda ETH de Ethereum. La tienda de YAM Store permitía pagar con USDT en la red Tron, además de aceptar Alipay y WeChat Pay, de modo que sus clientes disponían de más de una vía para adquirir cuentas comprometidas y herramientas de phishing.

Cloudflare señaló que los compradores también podían pagar por ofertas del mercado con la stablecoin USDC, emitida por Circle. La combinación de criptomonedas y medios de pago tradicionales ampliaba las opciones disponibles para quienes compraban los servicios, pero la información publicada no cuantifica qué proporción de las transacciones se realizó con cada activo o plataforma.

YAM Store mantenía además una estructura de subrevendedores, que extendía la distribución de cuentas e infraestructura más allá de su propia tienda. En términos operativos, esa intermediación podía hacer que los recursos circularan por varios canales, aunque el material divulgado no ofrece cifras sobre el número de revendedores ni sobre el volumen de ventas asociado a ellos.

TRM Labs dijo que su inteligencia de blockchain ayudó a los investigadores a localizar activos vinculados al grupo y a congelarlos. La firma no reveló el valor de esos activos, por lo que no es posible establecer cuánto dinero quedó fuera del alcance de los operadores ni comparar la suma inmovilizada con los ingresos que Microsoft atribuyó al conjunto de proveedores.

El desmantelamiento también alcanzó la infraestructura

Cloudflare informó que suspendió cuentas, desactivó proyectos de Workers que respaldaban páginas de phishing y prohibió cientos de dominios y proyectos relacionados. Cuando no podía incautar un dominio, la empresa dijo que colocaba páginas de advertencia delante de los enlaces maliciosos, una medida que bloquea el acceso a los usuarios sin retirar necesariamente el dominio de internet.

Microsoft también identificó una dependencia técnica en el servicio de suscripción de Iron Man: sus clientes compraban acceso a software de phishing conectado a un servidor de licencias controlado por el proveedor. La desactivación de ese servidor podría impedir o dificultar el uso de los kits adquiridos, incluso si los compradores conservaban copias del software.

La acción reunió a la policía de Japón y al Centro de Control de Ciberdelincuencia, además de Oracle, Proofpoint, Resecurity y socios de aplicación de la ley de Estados Unidos. Microsoft presentó a los tres proveedores como parte de una red criminal más amplia y señaló que continúa el trabajo para eliminar infraestructura relacionada, sin afirmar que la operación haya neutralizado todas las actividades del grupo.

El siguiente desafío es impedir que los proveedores sustituyan rápidamente los dominios incautados y las cuentas comprometidas. Cloudflare advirtió que algunos registradores operan en jurisdicciones donde las incautaciones legales resultan difíciles, lo que obliga a recurrir a advertencias de seguridad para limitar el acceso incluso cuando los dominios siguen en línea.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público

Este artículo fue escrito por un redactor de contenido de IA

 


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados