การดำเนินการอันกล้าหาญต่อการฉ้อโกง: หยุดยั้ง Storm-1152

ในเดือนกุมภาพันธ์ 2023 Matthew Mesa นักวิจัยด้านความปลอดภัยอาวุโสในศูนย์ข่าวกรองเกี่ยวกับภัยคุกคามของ Microsoft (MSTIC) ได้สังเกตเห็นรูปแบบที่เพิ่มขึ้นของบัญชี Microsoft Outlook ที่ถูกใช้ในแคมเปญฟิชชิ่งจำนวนมาก ในบทบาทของเขา Mesa จะวิเคราะห์แคมเปญอีเมลและมองหากิจกรรมน่าสงสัย เมื่อเขาพบเห็นการใช้บัญชีปลอมเพิ่มมากขึ้น เขาจึงตั้งคำถามกับตัวเองว่า “บัญชีทั้งหมดเหล่านี้เกี่ยวข้องกันหรือไม่”

เขาสร้างโปรไฟล์ผู้ดำเนินการภัยคุกคามใหม่ทันทีที่ชื่อว่า Storm-1152 และเริ่มติดตามกิจกรรมของกลุ่มนี้ และรายงานผลการค้นพบให้ทีมข้อมูลประจำตัวของ Microsoft ทราบ Shinesa Cambric ผู้จัดการผลิตภัณฑ์หลักของทีมต่อต้านการละเมิดและป้องกันการฉ้อโกงของ Microsoft ยังได้ติดตามกิจกรรมอันตรายนี้และสังเกตเห็นว่ามีจำนวนบัญชีอัตโนมัติ (บอท) เพิ่มขึ้นซึ่งพยายามเอาชนะระบบ CAPTCHA ที่ใช้เพื่อปกป้องกระบวนการลงทะเบียนสำหรับบริการผู้บริโภคของ Microsoft​

“ทีมของฉันมุ่งเน้นทั้งเรื่องประสบการณ์ของผู้บริโภคและประสบการณ์ขององค์กร ซึ่งหมายความว่าเราจะต้องปกป้องบัญชีหลายพันล้านบัญชีทุกวันจากการฉ้อโกงและการละเมิด” Cambric อธิบาย “บทบาทของเราคือการทำความเข้าใจวิธีการของผู้ดำเนินการภัยคุกคาม เพื่อที่เราจะสามารถหลีกเลี่ยงการโจมตีและป้องกันการเข้าถึงระบบของเราได้ พวกเราคำนึงถึงเรื่องการป้องกันอยู่เสมอเกี่ยวกับวิธีที่เราสามารถหยุดยั้งผู้ไม่หวังดีที่เจาะเข้ามาได้”

สิ่งที่ทำให้เธอสนใจคือระดับการฉ้อโกงที่เกี่ยวข้องกับกิจกรรมดังกล่าวที่เพิ่มสูงขึ้น เมื่อหลายๆ ฝ่าย ไม่ว่าจะเป็นพันธมิตรของ Microsoft รวมถึงส่วนใดส่วนหนึ่งของห่วงโซ่อุปทานของเรา ต่างเข้ามาเพื่อรายงานความเสียหายอันเป็นผลมาจากบัญชี Microsoft ที่สร้างจากบอท Cambric จึงเริ่มดำเนินการ

ทีมงานของ Cambric ได้ร่วมกับผู้ให้บริการป้องกันความปลอดภัยทางไซเบอร์และการจัดการบอทอย่าง Arkose Labs เพื่อระบุและปิดการใช้งานบัญชีปลอมของกลุ่มนี้ และแบ่งปันรายละเอียดงานของพวกเขากับเพื่อนร่วมงานฝ่ายข่าวกรองเกี่ยวกับภัยคุกคามใน MSTIC ของ Microsoft และหน่วยวิจัยข่าวกรองเกี่ยวกับภัยคุกคามทางไซเบอร์ของ Arkose (ACTIR)

Patrice Boffa หัวหน้าฝ่ายลูกค้า Arkose Labs อธิบายว่า “ในช่วงแรก บทบาทของเราคือการปกป้อง Microsoft จากการสร้างบัญชีอันตราย แต่เมื่อระบุได้ว่า Storm-1152 เป็นกลุ่มหนึ่ง เราก็เริ่มรวบรวมข้อมูลข่าวกรองเกี่ยวกับภัยคุกคามจำนวนมากด้วยเช่นกัน”

เมื่อกิจกรรมฉ้อโกงนี้ถึงจุดเดือดในเดือนมีนาคม 2023 Cambric และ Mesa ได้ติดต่อหน่วยงานอาชญากรรมดิจิทัล (DCU) ของ Microsoft เพื่อดูว่าจะสามารถทำอะไรได้มากกว่านี้บ้าง

เนื่องจาก DCU เป็นหน่วยงานบังคับใช้กฎหมายภายนอกของ Microsoft จึงมักจะดำเนินการไล่ล่าเฉพาะผู้ดำเนินการที่สร้างอันตรายร้ายแรงหรือต่อเนื่องเท่านั้น โดยมุ่งเน้นไปที่การหยุดขัดขวาง หรือเพิ่มต้นทุนในการดำเนินการ ซึ่งเน้นใช้คดีอาญาและ/หรือคดีแพ่งเป็นเครื่องมือหลัก

Sean Farrell หัวหน้าที่ปรึกษาของทีมบังคับใช้กฎหมายอาชญากรรมทางไซเบอร์ใน DCU ของ Microsoft, Jason Lyons ผู้จัดการหลักฝ่ายสืบสวนในทีมบังคับใช้กฎหมายอาชญากรรมทางไซเบอร์ใน DCU ของ Microsoft และ Maurice Mason พนักงานสืบสวนคดีไซเบอร์อาวุโส ได้ร่วมกันสืบสวนคดีเพิ่มเติม ทั้งสามประสานงานกับที่ปรึกษาภายนอกของ Microsoft เพื่อออกแบบกลยุทธ์ทางกฎหมายและรวบรวมหลักฐานที่จำเป็นในการยื่นฟ้องแพ่ง โดยรวบรวมข้อมูลเชิงลึกจากหลายทีมทั่วทั้ง Microsoft และข้อมูลข่าวกรองเกี่ยวกับภัยคุกคามที่ Arkose Labs รวบรวมไว้

“มีงานมากมายที่ทำเสร็จไปแล้วก่อนที่ DCU จะเข้ามามีส่วนเกี่ยวข้อง” Lyons เล่า “ทีมข้อมูลประจำตัวและ Arkose Labs ได้ดำเนินงานสำคัญในการระบุและปิดการใช้งานบัญชีต่างๆ ไปเรียบร้อยแล้ว และเนื่องจาก MSTIC สามารถเชื่อมโยงบัญชีปลอมกับโครงสร้างพื้นฐานบางระดับได้ เราจึงคิดว่านี่จะเป็นคดีทางกฎหมายที่ดีใน DCU”

ปัจจัยบางประการที่ส่งผลต่อการก่อตั้งคดีที่คุ้มค่าต่อการดำเนินการ ได้แก่ การมีกฎหมายที่สามารถบังคับใช้ในคดีแพ่งได้ การมีเขตอำนาจศาล และความเต็มใจของบริษัทที่จะเปิดเผยชื่อบุคคลต่อสาธารณะ

Lyons เปรียบเทียบการพิจารณาปัจจัยเหล่านี้กับกระบวนการคัดแยก โดยที่ DCU จะตรวจสอบข้อเท็จจริงและข้อมูลเพื่อช่วยกำหนดว่าทุกปัจจัยเหล่านี้เป็นคดีที่ดีหรือไม่ “จากสิ่งที่เราทำ เราตั้งคำถามว่าเราอยากใช้เวลาและพลังงานเพื่อลงมือดำเนินการหรือไม่” เขากล่าว “ผลกระทบจะคุ้มค่ากับทรัพยากรที่เราต้องใช้หรือไม่” และคำตอบในครั้งนี้ก็คือ ใช่

Mason ได้รับมอบหมายให้ทำงานเกี่ยวกับการระบุแหล่งที่มาของกิจกรรมอาชญากรรมทางไซเบอร์ในรูปแบบบริการของ Storm-1152 “บทบาทของผมคือการติดตามว่า Storm-1152 ขายบัญชีปลอมเหล่านี้ให้กับกลุ่มผู้ดำเนินการภัยคุกคามรายอื่นๆ ได้อย่างไร และระบุบุคคลที่อยู่เบื้องหลัง Storm-1152” Mason อธิบาย

จากการทำงานสืบสวน ซึ่งรวมถึงการตรวจสอบอย่างละเอียดตามโซเชียลมีเดียและข้อมูลระบุการชำระเงินต่างๆ ทาง Microsoft และ Arkose Labs สามารถระบุบุคคลที่อยู่เบื้องหลัง Storm-1152 ได้ ซึ่งได้แก่ Duong Dinh Tu, Linh Van Nguyễn (หรือที่รู้จักในชื่อ Nguyễn Van Linh) และ Tai Van Nguyen

ข้อมูลที่ค้นพบแสดงให้เห็นว่าบุคคลเหล่านี้ดำเนินการและเขียนโค้ดสำหรับเว็บไซต์ผิดกฎหมาย เผยแพร่คำแนะนำโดยละเอียดทีละขั้นตอนเกี่ยวกับวิธีการใช้ผลิตภัณฑ์ของตนผ่านวิดีโอบทช่วยสอน และให้บริการแชทเพื่อช่วยเหลือบุคคลที่ใช้บริการปลอมแปลงของตน จากนั้นมีการเชื่อมต่อเพิ่มเติมกับโครงสร้างพื้นฐานทางเทคนิคของกลุ่ม ซึ่งทีมงานสามารถระบุตำแหน่งไปยังโฮสต์ที่ตั้งอยู่ในสหรัฐอเมริกาได้

เมื่ออธิบายถึงการตัดสินใจในการดำเนินคดีต่อไป Farrell กล่าวว่า “เราโชคดีมาก เพราะทีมทำงานกันได้อย่างดีเยี่ยม ซึ่งช่วยระบุตัวผู้ที่เกี่ยวข้องกับการวางโครงสร้างพื้นฐานและบริการอาชญากรนี้ได้”

เหตุผลประการหนึ่งที่เราดำเนินการเหล่านี้ใน DCU ก็คือเพื่อป้องกันผลกระทบจากอาชญากรทางไซเบอร์เหล่านี้ เราทำเช่นนี้โดยการยื่นฟ้องหรือจากการให้คำแนะนำเกี่ยวกับคดีอาญา ซึ่งนำไปสู่การจับกุมและการดำเนินคดี ผมคิดว่าเรื่องนี้จะช่วยส่งสารที่แข็งแกร่งมากๆ เมื่อคุณสามารถระบุตัวผู้กระทำความผิดและระบุตัวพวกเขาต่อสาธารณะในคำฟ้องทางกฎหมายในสหรัฐอเมริกาได้”​​​

เมื่อพิจารณาถึงผลลัพธ์การสืบสวนและการหยุดขัดขวาง Storm-1152 แล้ว Farrell ก็ได้ทราบว่าคดีนี้มีความสำคัญไม่เพียงแค่เพราะผลกระทบที่เกิดขึ้นกับเราและบริษัทอื่นที่ได้รับผลกระทบเท่านั้น แต่ยังรวมถึงความพยายามของ Microsoft ที่จะขยายผลกระทบของปฏิบัติการเหล่านี้ ซึ่งเป็นส่วนหนึ่งของระบบนิเวศของอาชญากรรมทางไซเบอร์ในรูปแบบบริการโดยรวมด้วย