Trend Micro và FBI vừa triệt phá đường dây tội phạm công nghệ xuyên quốc gia trong suốt 5 năm qua, tận mắt chứng kiến hai nghi phạm được đưa ra xét xử và kết thúc dịch vụ Chống phần mềm diệt virus (Counter Antivirus - CAV) khét tiếng mang tên Scan4You.
Chặng đường dài, nguy hiểm
Vào mùa hè năm 2012, các nhà nghiên cứu của Trend Micro phát hiện một số hoạt động bất thường xảy ra trên máy quét các mối đe dọa. Các nhà nghiên cứu đã điều tra một công cụ phân phối phần mềm độc hại với tên gọi “g01pack”. Các chuyên gia bảo mật nhận thấy rằng một nhóm các địa chỉ IP Latvia liên tục trùng khớp URL liên quan đến g01pack với các hệ thống danh tiếng trên web của Trend Micro, một công cụ theo dõi hoạt động web và chặn các trang độc hại cho khách hàng. Các nhà nghiên cứu nhận thấy rằng địa chỉ IP của Latvia đã giới thiệu những kiểm tra này cho tất cả URL. Họ xem xét một kho tàng thông tin khổng lồ về các hoạt động bên trong của một trình kiểm tra phần mềm độc hại khét tiếng.
 |
|
Scan4You hoạt động trở lại cực kì mạnh mẽ vào tháng 5 năm 2017 trước khi hai tên tội phạm bị FBI bắt giữ. |
“Một dịch vụ như Scan4You đang tiếp tay cho những hoạt động của tội phạm công nghệ cao. Nó đã trở thành công cụ quan trọng để các chiến dịch tấn công của tội phạm mạng thành công trên toàn cầu và bạn có thể thấy tác động của nó đến các nhóm tội phạm nổi tiếng. Hiệu ứng gợn sóng đã bắt đầu diễn ra”, Ed Cabrera – Giám đốc An ninh mạng tại Trend Micro cho biết.
Các dịch vụ CAV là một phần cực kỳ quan trọng trong các chiến dịch của tội phạm mạng toàn cầu, cho phép những kẻ tấn công có thể kiểm tra mức độ hiệu quả của phần mềm độc hại mà không bị phát hiện. Không có chúng, các cuộc tấn công của tội phạm mạng gần như không thể thành công. Scan4You bắt đầu hoạt động vào năm 2009, là một trong những dịch vụ thành công nhất và giành được sự tin tặc của vô số tin tặc mũ đen. Dịch vụ ngầm này cho phép bọn tội phạm mạng kiểm tra phần mềm độc hại mới nhất của chúng, chống lại hơn 35 công cụ Antivirus nổi tiếng trên toàn cầu.
Bất kỳ ai cũng có thể đăng ký trên Scan4You, chúng cung cấp 100.000 quét mỗi tháng chỉ với mức giá 30 USD mỗi tháng hoặc 0,15 USD cho mỗi lần quét. Phương thức thanh toán cũng rất đa dạng bao gồm PayPal, WebMoney và thậm chí là Bitcoin. Cách thức giao dịch duy nhất là thông qua địa chỉ web và chúng cam kết không chia sẻ bất kỳ dữ liệu nào với các công ty bảo mật mạng và Antivirus.
Truy lùng Scan4You
Scan4You cung cấp dịch vụ cho nhiều tin tặc với nhiều đường dây hoạt động trên toàn cầu, bao gồm Indetectables (Tây Ban Nha) và RazorScanner (Đức). Chủ sở hữu RazorScanner đã bị bắt vào tháng 4/2016, trong khi đó chủ sở hữu người Anh của Refud.me bị kết án 2 năm tù vào tháng 1/2018. Đây là kết quả của sự hợp tác giữa Cơ quan Tội phạm Quốc gia Vương quốc Anh (U.K’s National Crime Agency) và Trend Micro.
 |
|
Những công cụ Antivirus nổi tiếng bị Scan4You tấn công.
|
Đường dây liên doanh ảo của Scan4You trải dài đến mọi lĩnh vực hoạt động của tin tặc: Chúng trực tiếp tham gia với Eva Pharmacy trong việc bán các toa thuốc không được FDA chấp nhận. Bên cạnh đó, Scan4You còn dính líu với nhiều chiến dịch tấn công và đánh cắp dữ liệu thẻ tín dụng của nhiều hệ thống ngân hàng trên toàn thế giới.
Hoạt động kinh doanh của CAV cực kỳ dễ dàng và nhanh chóng sinh lợi. Dựa trên các bản quét và mức giá của chúng, Scan4You đã kiếm được 15.000 USD mỗi tháng vào năm 2013. Con số đó tăng gấp đôi hoặc gấp ba lần vào thời gian sau đó bằng các chiến dịch tấn công vào ngân hàng trực tuyến.
Scan4You được điều hành bởi Ruslans Bondars (b0rland/Borland) và Jurijs Martisevs (Garrik), những tên tội phạm công nghệ cao khét tiếng, hoạt động từ năm 2006 tại thế giới ngầm. Boland và Garrik bị bắt năm ngoái theo kế hoạch được vạch sẵn giữa Trend Micro, Interpol và FBI. Sau đó, các chuyên gia bảo mật nhận thấy tất cả các hoạt động từ Scan4You dừng lại hẳn. Thậm chí, tin tốt hơn là không nhìn thấy sự tăng đột biến ở đối thủ cạnh tranh của chúng là VirusCheckMate, vì vậy có vẻ như sự kiện này đã thay thế lời cảnh báo đến tội phạm công nghệ cao ở thế giới ngầm.
B0rland / Borland, một lập trình viên phát triển phần mềm, là tên tội phạm đã thiết kế các máy chủ Scan4You và Eva Pharmacy trên một ISP Latvia. Tài khoản Gmail sử dụng để đăng ký tên miền máy chủ C&C cho các phần mềm tấn công ngân hàng chứa ảnh và tên thật của hắn.
Số điện thoại liên kết với tài khoản WebMoney của Scan4You khớp với dữ liệu Whols của các tên miền mà Garrik đã đăng ký. Hắn cũng tham gia vào các dịch vụ giao dịch tùy chọn nhị phân và dịch vụ viết luận văn thuê. Đăng ký cho tên miền Eva Pharmacy liên quan đến việc tiếp thị thuốc không được chấp nhận bởi FDA.
 |
|
Chân dung tên tội phạm B0rland trên tài khoản Linkedln của hắn.
|
Trend Micro đã liên lạc chặt chẽ với văn phòng của FBI tại Washington từ đầu năm 2014. Cuộc điều tra kéo dài ba năm cho đến khi đủ bằng chứng bắt giữ và dẫn độ Borland cũng như Garrik vào năm 2017. Ngay lập tức, các yêu cầu quét tùy máy chủ của Scan4You với trang Trend Micro biến mất ngay sau đó.
Cuối cùng, sau 8 năm hoạt động, Scan4You chính thức sụp đổ. Với việc bắt giữ Bondars và Martisevs, chiến dịch tấn công Scan4You đã hoàn toàn kết thúc với kết quả tốt đẹp. Chiến dịch này chỉ là một trong nhiều hoạt động thu thập và phân tích tình báo các mối đe dọa để giúp các tổ chức thực thi pháp luật, nhà luật pháp và doanh nghiệp củng cố bằng chứng và chính sách chống lại tội phạm công nghệ cao.
