Microsoft и Health-ISAC заблокировали фишинговую платформу, стоявшую за 1 млрд сообщений

Microsoft совместно с некоммерческой организацией Health-ISAC (Health Information Sharing and Analysis Center) объявила о ликвидации масштабной фишинговой инфраструктуры, обслуживавшей рассылку более 1 млрд вредоносных сообщений. Операция проводилась на основании решения федерального суда США, санкционировавшего изъятие доменов, которые обеспечивали работу трех ключевых платформ — YAM Store, CoGUI и Iron Man.

Подробности

По данным Microsoft, указанные платформы представляли собой готовую фишинговую экосистему, ориентированную преимущественно на китайскоязычных пользователей. YAM Store, CoGUI и Iron Man выполняли роль инструментов массовой рассылки фишинговых писем и, судя по масштабу — свыше 1 млрд сообщений, — обслуживали широкий круг злоумышленников, включая криминальные группировки, специализирующиеся на краже учетных данных и финансовом мошенничестве. Структура платформ позволяла операторам быстро разворачивать кампании, менять доменные имена и обходить стандартные механизмы фильтрации. Именно доменная инфраструктура стала основной целью операции: изъятие доменов, санкционированное судом, нарушает работу самих сервисов и затрудняет их дальнейшее использование. Отдельно подчеркивается вовлеченность Health-ISAC — это указывает на то, что часть фишинговых атак была нацелена на сектор здравоохранения, где компрометация учетных данных особенно критична. Партнерство Microsoft с отраслевой организацией позволило объединить технические данные телеметрии с отраслевой экспертизой и ускорить процесс юридического оформления изъятия. В публикации SecurityWeek не приводятся номера CVE, версии затронутых продуктов или имена конкретных фигурантов — платформы представляют собой сервисы для проведения атак, а не уязвимости в легитимном ПО.

Что делать

Организациям, особенно в сфере здравоохранения, рекомендуется: - усилить контроль входящей почты и настроить фильтрацию по репутации доменов и отправителей; - включить и обязательно требовать MFA для доступа к почтовым и корпоративным сервисам — это резко снижает ценность украденных учетных данных; - проводить регулярное обучение сотрудников распознаванию фишинга, включая кампании на китайском языке; - отслеживать индикаторы компрометации, публикуемые Microsoft и Health-ISAC после подобных операций; - проверять журналы аутентификации на предмет подозрительных входов и необычной активности; - обеспечить сегментацию сетей и минимизацию привилегий, чтобы компрометация одной учетной записи не приводила к полному захвату инфраструктуры. Операция демонстрирует эффективность скоординированных действий вендоров, отраслевых сообществ и судебных органов против фишинговых экосистем. Однако изъятие доменов — это тактическая победа: операторы подобных платформ обычно быстро восстанавливают инфраструктуру на новых доменах, поэтому устойчивая защита требует постоянных организационных и технических мер.

Источник: SecurityWeek