Trend Micro đã hỗ trợ FBI triệt phá đường dây tội phạm công nghệ xuyên quốc gia trong suốt 5 năm qua, tận mắt chứng kiến hai nghi phạm được đưa ra xét xử và kết thúc dịch vụ Chống phần mềm diệt virus (Counter Antivirus – CAV) khét tiếng mang tên Scan4You.
Một chặng đường dài và đầy nguy hiểm
Mùa hè năm 2012, các nhà nghiên cứu của Trend Micro phát hiện một số hoạt động bất thường xảy ra trên máy quét các mối đe dọa. Các nhà nghiên cứu đã điều tra một công cụ phân phối phần mềm độc hại với tên gọi g01pack.
Trend Micro nhận thấy rằng một nhóm các địa chỉ IP đến từ Latvia liên tục trùng khớp URL liên quan đến g01pack với các hệ thống danh tiếng trên web của họ – một công cụ theo dõi hoạt động web và chặn các trang độc hại cho khách hàng. Các nhà nghiên cứu nhận thấy rằng địa chỉ IP của Latvia đã giới thiệu những kiểm tra này cho tất cả URL. Hãng đã xem xét một kho tàng thông tin khổng lồ về các hoạt động bên trong của một trình kiểm tra phần mềm độc hại khét tiếng.
“Một dịch vụ như Scan4You đang tiếp tay cho những hoạt động của tội phạm công nghệ cao. Nó đã trở thành công cụ quan trọng để các chiến dịch tấn công của tội phạm mạng thành công trên toàn cầu và bạn có thể thấy tác động của nó đến các nhóm tội phạm nổi tiếng. Hiệu ứng tạo sóng đã bắt đầu diễn ra”, Ed Cabrera – Giám đốc An ninh mạng tại Trend Micro cho biết.
Các dịch vụ CAV là một phần cực kì quan trọng trong các chiến dịch của tội phạm mạng toàn cầu, cho phép những kẻ tấn công có thể kiểm tra mức độ hiệu quả của phần mềm độc hại mà không bị phát hiện. Không có chúng, các cuộc tấn công của tội phạm mạng gần như không thể thành công.
Scan4You bắt đầu hoạt động vào năm 2009, là một trong những dịch vụ thành công nhất và giành được sự tin tưởng của vô số tin tặc mũ đen. Dịch vụ ngầm này cho phép bọn tội phạm mạng kiểm tra phần mềm độc hại mới nhất của chúng, chống lại hơn 35 công cụ AV nổi tiếng trên toàn cầu.
Bất kỳ ai cũng có thể đăng ký trên Scan4You, chúng cung cấp 100.000 lượt quét chỉ với mức giá 30 USD mỗi tháng, hoặc 0,15 USD cho mỗi lần quét. Phương thức thanh toán cũng rất đa dạng, bao gồm PayPal, WebMoney và thậm chí là Bitcoin. Cách thức giao dịch duy nhất là thông qua địa chỉ web và chúng cam kết không chia sẻ bất kỳ dữ liệu nào với các công ty bảo mật mạng và AV.
Diễn biến của chiến dịch truy lùng Scan4You
Scan4You cung cấp dịch vụ cho nhiều tin tặc với nhiều đường dây hoạt động trên toàn cầu, bao gồm Indetectables (Tây Ban Nha) và RazorScanner (Đức). Chủ sở hữu RazorScanner đã bị bắt vào tháng 4/2016, trong khi đó chủ sở hữu người Anh của Refud.me bị kết án 2 năm tù vào tháng 1/2018. Đây là kết quả của sự hợp tác giữa Cơ quan Tội phạm Quốc gia Vương quốc Anh (U.K’s National Crime Agency) và Trend Micro.
Đường dây liên doanh ảo của Scan4You trải dài đến mọi lĩnh vực hoạt động của tin tặc: Tổ chức này đã trực tiếp tham gia với Eva Pharmacy trong việc bán các toa thuốc không được FDA chấp nhận. Bên cạnh đó, Scan4You còn dính líu với nhiều chiến dịch tấn công và đánh cắp dữ liệu thẻ tín dụng của nhiều hệ thống ngân hàng trên toàn thế giới.
Hoạt động kinh doanh của CAV cực kì dễ dàng và nhanh chóng sinh lợi. Dựa trên các bản quét và mức giá của mình, Scan4You đã kiếm được 15.000 USD mỗi tháng vào năm 2013. Con số đó tăng gấp đôi đến gấp ba lần vào thời gian sau đó bằng các chiến dịch tấn công vào ngân hàng trực tuyến.
Scan4You được điều hành bởi Ruslans Bondars (b0rland/Borland) và Jurijs Martisevs (Garrik), những tên tội phạm công nghệ cao khét tiếng, hoạt động từ năm 2006 tại thế giới ngầm. Boland và Garrik bị bắt năm ngoái theo kế hoạch được vạch sẵn giữa Trend Micro, Interpol và FBI.
Sau đó, Trend Micro nhận thấy tất cả các hoạt động từ Scan4You dừng lại hẳn. Thậm chí, tin tốt hơn là Trend Micro không nhìn thấy sự tăng đột biến ở đối thủ cạnh tranh của chúng là VirusCheckMate, vì vậy có vẻ như sự kiện này đã thay thế lời cảnh báo đến tội phạm công nghệ cao ở thế giới ngầm.
Hoạt động của Scan4You có dấu hiệu giảm từ mùa thu năm 2013 cho đến khoảng tháng 4/2016, tuy nhiên mạnh mẽ trở lại vào tháng 5/2017.
B0rland / Borland, một lập trình viên phát triển phần mềm, là tên tội phạm đã thiết kế các máy chủ Scan4You và Eva Pharmacy trên một ISP tại Latvia. Tài khoản Gmail sử dụng để đăng ký tên miền máy chủ C&C cho các phần mềm tấn công ngân hàng chứa ảnh và tên thật của hắn. Số điện thoại liên kết với tài khoản WebMoney của Scan4You khớp với dữ liệu Whols của các tên miền mà Garrik đã đăng ký.
Hắn cũng tham gia vào các dịch vụ giao dịch tùy chọn nhị phân và dịch vụ viết luận văn thuê. Đăng ký cho tên miền Eva Pharmacy liên quan đến việc tiếp thị thuốc không được chấp nhận bởi FDA.
Trend Micro đã liên lạc chặt chẽ với văn phòng của FBI tại Washington từ mùa xuân năm 2014. Cuộc điều tra kéo dài ba năm cho đến khi đủ bằng chứng bắt giữ và dẫn độ Borland cũng như Garrik vào năm 2017. Ngay lập tức, các yêu cầu quét tùy máy chủ của Scan4You với trang Trend Micro biến mất ngay sau đó.
Cuối cùng, sau 8 năm hoạt động, Scan4You chính thức sụp đổ, để lại đối thủ cạnh tranh là VirusCheckMate, dịch vụ CAV lớn nhất còn sót lại. Rất có thể, các khách hàng của Scan4You sẽ chuyển sang dịch vụ khác, nhưng Trend Micro vẫn chưa thấy sự hoạt động quét URL từ VirusCheckMate. Có vẻ như hầu hết các khách hàng của Scan4You đã ngừng sử dụng dịch vụ CAV.
Với việc bắt giữ Bondars và Martisevs, chiến dịch tấn công Scan4You đã hoàn toàn kết thúc với kết quả tốt đẹp. Chiến dịch này của Trend Micro chỉ là một trong nhiều hoạt động thu thập và phân tích tình báo các mối đe dọa để giúp các tổ chức thực thi pháp luật, nhà luật pháp và doanh nghiệp củng cố bằng chứng và chính sách chống lại tội phạm công nghệ cao.
Theo Trend Micro