Cybercriminelen worden vaak niet gepakt door geavanceerde detectiemethoden, maar door eenvoudige operationele fouten zoals hergebruik van identiteit, zwakke scheiding van infrastructuur of over het hoofd geziene metadata. Onderzoekers van Flare analyseerden een recente post op een cybercrimeforum waarin een dreigingsactor een gestructureerd OPSEC-framework presenteert, specifiek gericht op "high-volume carding operations". De focus ligt niet op tools of geld verdienen, maar volledig op het langdurig vermijden van detectie. Volgens de actor is dit framework een "beproefde methode die teams operationeel houdt terwijl anderen worden gecompromitteerd".

De post leest meer als een intern operationeel handboek dan als een forumtip, met een driedelige architectuur, een classificatie van veelvoorkomende fouten en noodmechanismen die zijn overgenomen uit de inlichtingenwereld. Hoewel veel technieken niet nieuw zijn, toont de gestructureerde aanpak een methodische manier om grootschalige activiteiten vol te houden. Voor verdedigers biedt dit een zeldzaam inzicht in hoe cybercriminelen hun operationele beveiliging op lange termijn inrichten.

Centraal in de methode staat een driedelig infrastructuurmodel dat blootstelling, uitvoering en monetisatie strikt van elkaar scheidt. De publieke laag bestaat uit "schone apparaten, residentiële IP-adressen die elke 48 uur worden geroteerd, en nul persoonlijke informatie". Elke operator moet aparte identiteiten hanteren, wat aansluit bij moderne detectiemethoden die identiteitshergebruik en gedragsanalyse inzetten. Het gebruik van residentiële IP-rotatie sluit aan bij fraudecampagnes waarbij proxy-netwerken worden ingezet om legitiem verkeer na te bootsen.

De operationele laag is volledig geïsoleerd van de publieke laag en mag nooit vanaf die laag worden benaderd. Deze laag bevat versleutelde containers met gescheiden data, dedicated infrastructuur en hardware-ondersteunde sleutelbeheer. Het doel is compartimentering, zodat een compromis in één deel niet de gehele infrastructuur blootlegt. Dit weerspiegelt ook de werkwijze van moderne ransomwaregroepen, zoals LockBit die met affiliate-modellen werken, waarbij toegang, uitvoering en monetisatie door verschillende actoren worden afgehandeld om risico’s te beperken.

De laatste laag richt zich op monetisatie en bestaat uit geïsoleerde systemen met dedicated cashout-kanalen, bij voorkeur airgapped. Er mag geen kruisbesmetting zijn met andere lagen, omdat financiële transacties vaak het startpunt zijn van onderzoeken. Door de cashout-infrastructuur te isoleren, proberen de criminelen de forensische keten tussen fraude en geldonttrekking te doorbreken.

De dreigingsactor benoemt ook terugkerende fouten die nog steeds leiden tot blootstelling, zoals het hergebruik van burner-accounts. Deze fouten blijven een belangrijke zwakte in cybercrime-operaties.

Meer details en de volledige post zijn te vinden via deze link. Voor wie wil volgen wat dreigingsactoren plannen voordat ze toeslaan, biedt Flare monitoring van cybercrimeforums, darkwebgemeenschappen en Telegram-kanalen met een gratis proefperiode.