Dolandırıcılığa sert darbe: Storm-1152’ye engel olma

Şubat 2023’te, Microsoft’un Tehdit Analizi Merkezi’nde (MSTIC) Üst Düzey Güvenlik Araştırmacısı olarak görev alan Matthew Mesa, Microsoft Outlook hesaplarının toplu kimlik avı kampanyalarında kullanıldığına dair büyümekte olan bir düzen gözlemledi. Rolü icabı Mesa e-posta kampanyalarını analiz ediyor ve şüpheli faaliyetleri arıyor. Sahte hesapların kullanılmasında bir yükseliş görmeye devam ettikçe kendisine “bu hesapların tümünün birbiriyle ilişkisi olabilir mi?” sorusunu sordu.

Hemen Storm-1152 adlı yeni bir tehdit aktörü profili oluşturup faaliyetlerini takip etmeye başladı ve bulgularını Microsoft’un Kimlik ekibine bildirdi. Microsoft’un Kötüye Kullanım ve Dolandırıcılıkla Mücadele Savunma Ekibi’nin Baş Ürün Yöneticisi olan Shinesa Cambric de bu kötü amaçlı faaliyetleri izlemekteydi ve Microsoft tüketici hizmetlerine ilişkin kayıt sürecini korumak için kullanılan CAPTCHA sınamalarını geçmeye çalışan otomatik hesaplarda (botlar) bir artış fark etti.​

“Ekibim hem tüketici deneyimimize hem de kurumsal deneyimimize odaklanıyor, bu da her gün milyarlarca hesabı dolandırıcılıktan ve kötüye kullanımdan koruduğumuz anlamına geliyor,” diye açıklıyor Cambric. “Rolümüz, saldırıların önüne geçip sistemlerimize erişimi engelleyebilmemiz için tehdit aktörü metodolojilerini anlamaktır. Korunma ve kötü aktörleri daha yolun başında nasıl durdurabiliriz düşüncesi sürekli olarak aklımızdadır.”

Dikkatini çeken şey faaliyetlerle ilgili büyüyen dolandırıcılık düzeyi oldu. Microsoft iş ortakları ve tedarik zincirimizin bazı kısımlarından oluşan çok sayıda taraf, bot ile oluşturulmuş bu Microsoft hesaplarından kaynaklanan zararı bildirmek üzere iletişime geçtiğinde Cambric harekete geçti.

Cambric’in ekibi, siber güvenlik savunma ve bot yönetimi sağlayıcısı Arkose Labs ile birlikte grubun sahte hesaplarını belirleyip devre dışı bırakmak üzere çalıştı ve çalışmalarının ayrıntılarını Microsoft’un MSTIC ve Arkose Siber Tehdit Bilgileri Araştırma birimi (ACTIR) bünyesindeki tehdit analizi meslektaşlarıyla paylaştı.

Arkose Labs Baş Müşteri Sorumlusu Patrice Boffa “Rolümüz ilk başta Microsoft’u kötü amaçlı hesapların oluşturulmasına karşı korumaktı,” diye açıklıyor, “Ancak Storm-1152 bir grup olarak tanımlandığında biz de çok sayıda tehdit bilgisi toplamaya başladık.”

Dolandırıcılık faaliyetleri Mart 2023’te kaynama noktasına ulaştığında, Cambric ve Mesa başka nelerin yapılabileceğini öğrenmek üzere Microsoft’un Dijital Suçlar Birimi (DCU) ile iletişime geçti.

DCU, Microsoft’un harici yürütme kolu olarak genellikle yalnızca en ciddi veya inatçı aktörlerin peşine düşer. Adli sevklerin ve/veya hukuk davalarının birincil araçlar olarak kullanıldığı, iş yapma maliyetini artıran aksatmalara odaklanır.

Microsoft’un DCU’sunda Siber Suç İcra ekibinin Baş Danışmanı olarak görev alan Sean Farrell, Microsoft’ta DCU Siber Suç İcra Ekibi’nden Soruşturma Müdürü Jason Lyons ve Kıdemli Siber Soruşturmacı Maurice Mason bir araya gelerek daha ayrıntılı bir soruşturma yürüttü. Yasal bir strateji tasarlamak için Microsoft’un dışarıdan tuttuğu danışman ile işbirliği yaptılar ve Microsoft genelindeki birden çok ekipten ve Arkose Labs’in topladığı tehdit bilgilerinden içgörüler elde ederek dava açmak için gereken kanıtı hazırladılar.

“DCU dahil olana kadar işin çoğu zaten yapılmıştı,” diye anlatıyor Lyons. “Kimlik ekibi ve Arkose Labs hesapları belirleyip devre dışı bırakmada zaten önemli ölçüde iş başarmıştı ve MSTIC ise sahte hesaplar ile belirli altyapı seviyeleri arasında bağlantı kurabildiği için bunun iyi bir DCU davası olabileceğini düşündük.”

Davada kullanılabilecek yasalara sahip olmak, yetki alanının olması ve şirketin kamu önünde isim vermeye gönüllü olması takip etmeye değecek bir dava oluşturmaya katkıda bulunan faktörlerden bazılarıdır.

Lyons bu faktörlerin dikkate alınmasını, her şeyin iyi bir dava için yeterli olup olmadığını belirlemeye yardımcı olmak için DCU’nun gerçekleri ve bilgileri incelediği değerlendirme sürecine benzetti. “Yaptıklarımıza dayanarak, zamanımızı ve enerjimizi yasal işlem başlatmaya harcamak isteyip istemediğimizi soruyoruz,” diyor. “Ortaya koymak zorunda olduğumuz kaynaklar yaratacağı etkiye değecek mi?” Bu durumda cevap evetti.

Mason, Storm-1152’nin hizmet olarak siber suç faaliyetlerini nitelendirmek üzerinde çalışmakla görevliydi. “Benim rolüm, Storm-1152’nin bu sahte hesapları diğer tehdit aktörü gruplarına nasıl sattığı ve Storm-1152’nin arkasındaki kişileri saptamaktı,” diye açıklıyor Mason.

Microsoft ve Arkose Labs, sosyal medya sayfalarının ve ödeme tanımlayıcılarının ayrıntılı olarak incelenmesini içeren araştırma süreçleri boyunca Storm-1152’nin arkasındaki kişileri tanımlayabildi: Duong Dinh Tu, Linh Van Nguyễn (diğer adıyla Nguyễn Van Linh) ve Tai Van Nguyen.

Bulguları, bu kişilerin yasadışı web sitelerinin kodunu yazdığını ve bu siteleri işlettiğini, video eğitimleri aracılığıyla ürünlerinin nasıl kullanılacağına dair ayrıntılı adım adım talimatlar yayımladıklarını ve dolandırıcılık hizmetlerini kullananlara yardımcı olmak için sohbet hizmetleri sağladıklarını göstermektedir. Grubun teknik altyapısına ek bağlantılar yapılmıştı ve ekip de bunların kaynağının ABD merkezli konaklar olduğunu saptayabilmişti.

Davayı sürdürme kararını açıklarken Farrell diyor ki, “Altyapıyı ve suç hizmetlerini düzenleyen aktörleri belirlemiş olan ekiplerin harika çalışmaları sayesinde bu durumda şanslıydık.

DCU’da bu işlemlere başvurmamızın nedenlerinden biri, bu siber suçluların etkisine engel olmaktır. Bunu, dava açarak veya tutuklama ve kovuşturmalara yol açan adli sevkler sağlayarak yapıyoruz. Bence aktörleri tespit edebildiğinizde ve Amerika Birleşik Devletleri’nde düzenlenen davalarda onları halkın önünde tanımlayabildiğinizde güçlü bir mesaj göndermiş oluyorsunuz.”​​

Storm-1152 soruşturma ve aksatılma sonucundan bahsederken Farrell, davanın yalnızca bize ve etkilenen diğer şirketlere olan etkisi yüzünden değil, aynı zamanda Microsoft’un hizmet olarak siber suçlara ilişkin genel ekosistemin bir parçası olan bu operasyonların etkisini ölçme çabası yüzünden önemli olduğunu belirtiyor.