Judge Jed Rakoff Closed the RaccoonO365 Civil Case in Default While Nigeria’s File Still Names Okitipi Samuel
En Manhattan dommer afsluttede borgerkrigen over RaccoonO365 uden en retssag. Nigerias politi har stadig et andet navn på den kriminelle side af samme sæt. Disse to fakta kan sidde i samme uge og stadig efterlade den person, der skrev koden uprøvet i en retssal, der kan låse en celle.
Den 18. maj 2026, Forenede Stater distriktsdommer Jed S. Rakoff tildelt Microsoft Corporation og Health- ISAC en standarddom og et permanent påbud i det sydlige distrikt i New York, sag 1: 25-cv-07111. De tiltalte var Joshua Ogundipe og John gør 1 til 4. De dukkede ikke op. Standard er, hvad en civil domstol gør, når en sagsøgt part springer kampen. Det er ikke en jury, der siger, at en navngivet person begik en forbrydelse, og det er ikke en flybillet til en nigeriansk havn. Ordren tilbageholder de tiltalte, deres repræsentanter og personer, der handler med dem, fra bevidst at få adgang til beskyttede computere uden tilladelse, blandt andet andre grænser indskrevet i påbuddet. Dokumentet viser, at sagen blev afsluttet den dag.
Måneder tidligere, Nigeria Police Force National Cybercrime Centre fortalte journalister, at det havde booket Okitipi Samuel, også kaldet Moses Felix, som udvikler phishing infrastruktur. Talsmand Benjamin Hundeyin sagde, at officerer arbejdede fra efterretninger, der blev videregivet af mikrosoft gennem FBI og USA 's efterretningstjeneste. Raid i Lagos og Edo stater produceret bærbare computere, telefoner og andre enheder. To andre mennesker blev senere løsladt. Hundeyin sagde, at efterforskere ikke fandt noget bevis, de to byggede eller styrede platformen, og han beskrev dem som ofre for identitetstyveri. Punch rapporteret de tre navne på den oprindelige anholdelse liste som Joshua, James, og Okitipi Samuel, med pickups placeret mellem september 20 og oktober 4, 2025, og offentligheden briefing kommer i december. Den offentlige rapport har ikke vist, at Joshua er Joshua Ogundipe Microsoft sagsøgt i New York. At behandle disse navne som én person ville opfinde et faktum politiet erklæring og Microsofts klage ikke deler.
A storefront that rented the Microsoft logo
RaccoonO365 blev solgt som et abonnement, ikke som en one-off udnyttelse. Købere betalt omkring $355 for 30 dage eller $999 for 90 dage, i cryptocurrency kun. Kit genereret sign- i sider, der kopierede microsoft, documentn, SharePoint, Adobe, og maersk. De lokker lænet på fakturaer, løn og menneskelige ressourcer temaer, de budskaber en træt medarbejder er uddannet til at åbne. Telegramkanaler bundet til butikken talte mere end 850 medlemmer. Optaget crypto betalinger toppet $100.000. En afsender kunne skubbe den samme lokke mod så mange som 9.000 mål på en dag.
Forskere, der sporede tjenesten fra mindst juli 2024 siger, at det høstet mere end 5.000 Microsoft 365 legitimation i 94 lande. Mekanikeren var en modstander af den mellemste proxy. Den falske side talte med Microsofts rigtige login-servere, så et offer, der indtastede en adgangskode og godkendte en prompt udleveret password, one-time kode, og en live session cookie i samme bevægelse. Cloudflare Turnstile udfordringer gjorde siderne ligner almindelige corporate porte. Cloudflare senere sagde, at den betalende kundebase var hovedsagelig besætninger baseret i Rusland. Ved slutningen af 2025 var operatørerne sælger en ad- on kaldet RaccoonO365 AI- MailCheck, et filter beregnet til at score, som stjålne postkasser var værd at holde. Microsoft sporer aktiviteten som Storm- 2246. September 2025 afbrydelse, beskrevet i Digital Crimes Unit som Operation Trashpanda, er genstand for en ANS CTI topmøde briefing af efterforskere Maurice Mason og Nick Monaco.
Three hundred thirty-eight domains, then a default
Politiarbejdet fulgte efter et teknisk anfald. Microsoft "s digitale kriminalitet enhed, cloudflare" s cloudforce en, og kæinanalyse brugt en sydlige distrikt af New York ordre til at gribe 338 domæner i september 2025. Microsoft og sundhed-er sagsøgt under computer svig og misbrug, den afpresning påvirket og korrupte organisationer handle, og den elektroniske kommunikation privatlivets fred lov. Microsoft fortalte retten operationen havde kostet det mere end $650.000. Efterforskere sagde en sjusket cryptocurrency tegnebog hjalp med at sætte et navn på besætningen. Besætningssteder blev erstattet med advarselssider. Betalende kunder flyttede til nye værter, hvilket er, hvad en phishing- as-a-service shop gør, når et mærke bliver brændt. Den maj 2026 standard dom er den civile afslutning af samme retssag, ikke en anden, separat historie. Record og BleepingComputer laid out the Nigerian arrests when they were new. The Hacker News reported Samuel was accused of running the Telegram sales channel and hosting fake portals on Cloudflare with stolen or fraudulently obtained email accounts.
En fanget Outlook-session er ikke et trofæ login. Det er en plads i lønningerne, sælgerfakturaer, patientjournaler og studenteroptegnelser. Microsoft dokumenterede en april 2025 taxameteret blast, der ramte mere end 2.300 amerikanske organisationer, herunder mindst 20 hospitaler og sundhedstjenesteydere. Fra en levende postkasse de næste trin er velkendte: se trådene, sende intern phishing, der ligner en kollega, og derefter åbne døren for ransomware. Det samme risikomønster viser sig i AEGIS Alliance, der rapporterer om 700Credit breach that exposed nearly 6 million car buyers og Mixpanel incident that put Pornhub Premium analytics in play.
Abuja’s statute and a docket that does not share a defendant list
Politikommissær Ifeanyi Uche, der leder det nationale center for cyberkriminalitet, sagde til brugerne, at de ikke skulle behandle uventede login-prompts som rutine. Hundeyin sagde kampagner af denne slags produceret business e-mail kompromis, data tyveri, og tab på tværs af flere lande. Sættet behøvede ikke en zero-dag. Det havde brug for en person villig til at skrive en adgangskode til en side, der lignede Microsoft.
Samuel står over for påstande om identitetstyveri, ulovlig adgang, skabelse og distribution af ondsindet software, og relaterede tæller i henhold til Nigerias Cybercrime Act af 2024. Tidlig rapportering sætte en foreløbig domstol dato omkring februar 3, 2026. De nigerianske myndigheder blev også beskrevet som at have indefrosne konti til en værdi af omkring 250 millioner naira, i størrelsesordenen 550.000 dollars, mens kortlægning penge muldyr. Fra slutningen af september 2026, offentlig rapportering stadig ikke viser en afsluttet kriminel dom af Samuel eller en afsluttet USA udlevering af Ogundipe. FBI 's interesse i det påståede geni er en henvisning, ikke en afsagt dom. Dommer Rakoffs påbud kan binde folk, der dukker op i en amerikansk sag. Det kan ikke i sig selv sætte en tiltalt i en celle i Lagos.
Det er derfor, navnene betyder noget. Microsoft 's klage siger Ogundipe, en programmør det placeret i Nigeria, sandsynligvis skrev det meste af koden og arbejdede med medarbejdere om udvikling, salg og støtte. Nigerias december briefing navngivet Samuel som den vigtigste udvikler og ikke navnet Ogundipe. En civil misligholdelse mod en person, der aldrig har besvaret klagen, løser ikke, hvilke af disse beskrivelser en fremtidig straffedomstol vil acceptere. Læsere, der ønsker den grænseoverskridende mønster kan se på AEGIS Alliance-fil om, hvordan U.S. Treasury workstations were remotely accessed, and at the later account of how Google dismantled a shadow network that used phones as quiet infrastructure.
What actually breaks this product
Password-plus- text- message multi- faktor autentificering er kontrol RaccoonO365 blev bygget til at stjæle. En proxy, der sidder mellem brugeren og den rigtige login side kan relæ både password og one-time kode, derefter ride den resulterende cookie. Adgangstaster og hardware sikkerhedstaster er sværere at genspille på den måde, fordi beviset er bundet til den virkelige hjemmeside, ikke til en ligner. Kontrol af adresselinjen før en adgangskode går ind, og rapportering af beskeden til den person, der driver lejeren i stedet for at klikke på "verificer din konto", er kedeligt. Det er også grunden til en $355 Telegram abonnement stopper udskrivning penge.
En phishing- as-a-service shop, der sælger til kunder på flere kontinenter, vil ikke blive lukket på et lands pressekonference. Domæne anfald øger omkostningerne. De sletter ikke kundelisten. Det åbne spørgsmål, efter standarddommen og efter Samuels booking, er, om det næste sæt holder vaskebjørn klistermærke eller bare ændrer mærket på samme proxy. Indtil en straffedomstol tester beviserne mod en bestemt person, er afbrydelsen en pause. Relateret dækning lever på AEGIS Alliance hacker news, teknologiName, og international nyhedname desks. The kit was cheap. The mailbox it opened was not.
