Microsoft пресекла деятельность 3 фишинговых группировок, связанных с более чем миллиардом мошеннических сообщений.

[zender]

Microsoft и Health-ISAC, совместно с Японским центром по борьбе с киберпреступностью (JC3) и коалицией частных компаний, таких как Resecurity, Cloudflare, Oracle, Proofpoint и TRM Labs, объявили о пресечении деятельности трех фишинговых наборов: CoGUI (также известного как NX или FA), Haozi (также известного как Phoenix) и Iron Man System .


«С января 2026 года злоумышленники, стоящие за этими наборами инструментов, способствовали рассылке более миллиарда фишинговых электронных писем и SMS-сообщений более чем 75 тысячам организаций по всему миру», — заявили в подразделении Microsoft Threat Intelligence и Microsoft Digital Crimes Unit .


Операция, санкционированная судом, является результатом расследования, начатого Microsoft в конце 2025 года после получения уведомления о вредоносных кампаниях по рассылке сообщений, направленных против жителей Японии.


Экосистема киберпреступников, говорящих на китайском языке, описывается как взаимосвязанная сеть операторов фишинговых наборов, разработчиков и нелегальной торговой площадки и брокера первоначального доступа (IAB) под кодовым названием YAM Store, которая продает инструменты и инфраструктуру, используя скомпрометированные или незаконно полученные среды Microsoft или Google для крупномасштабных фишинговых атак.


Microsoft отслеживает подпольный рынок под названием Storm-3119, а разработчиков всех трех фишинговых наборов — под названием Storm-2990. Имеющиеся данные указывают на частичное совпадение возможностей и инфраструктуры трех наборов, что предполагает общее происхождение разработки, повторное использование кода или тесное сотрудничество между их разработчиками, говорящими на китайском языке.


Как и в случае с любой платформой фишинга как услуги (PhaaS или PaaS), конечная цель состоит в предоставлении шаблонов фишинговых атак, имитирующих легитимные бренды и организации из государственного, финансового и логистического секторов по всему миру, и обеспечении возможности проведения масштабных фишинговых атак и кражи учетных данных.

«Эти сообщения использовались для воздействия на потребителей, организации здравоохранения, финансовые учреждения и другие предприятия более чем в 150 странах, принося операторам десятки миллионов долларов», — заявила организация Health-ISAC .

Сообщается, что злоумышленники приобрели эти фишинговые наборы, а также доступ к скомпрометированным или мошенническим облачным средам Microsoft или Google, чтобы атаковать организации в секторах здравоохранения, финансовых услуг, оптовой торговли и информационных технологий (ИТ) в Японии, США, Австралии и Индии.


«Эти фишинговые наборы рекламировались через YAM Store, сначала через CoGUI и Haozi, а затем через Iron Man System, начиная с июня 2026 года», — заявила Microsoft. «YAM Store и связанные с ним компании, занимающиеся распространением фишинговых наборов, принимали платежи в криптовалюте, включая USDT и Ethereum, что добавляет еще один уровень для сокрытия незаконной деятельности».


YAM Store также занимает центральное место в операциях, поскольку рекламирует легальную инфраструктуру, связанную с законными, устаревшими или ранее использовавшимися организациями, которую другие киберпреступники могут приобрести для атак на свои цели.




Ниже перечислены некоторые примечательные аспекты мастерства Storm-3119:

• Использование автоматизации для выявления устаревших названий сред или организаций, составления профилей облачных организаций и обнаружения арендаторов Microsoft 365. Этап разведки проводится анонимно через инфраструктуру Tor.
• Возьмите под контроль работоспособные среды и управляйте ими с помощью административных панелей, доступных только для приложений и реализованных на PHP, Java/Spring и Cloudflare Workers.
• Закрепиться в скомпрометированном клиенте, предоставить себе широкие права доступа к Microsoft Graph и полный контроль над API SharePoint, а также использовать SharePoint и OneDrive клиента в качестве хранилища для больших объемов данных и превратить захваченное хранилище в товар для продажи.
• Поддерживать выделенную инфраструктуру для поддержки и контроля фишинговых операций от имени своих клиентов.
• Перепродавайте взломанные учетные записи, лицензии и хранилища через автоматизированный магазин.
• Продажа фишинговых наборов, отслеживаемых как Storm-2990, для содействия краже учетных данных и финансовых данных.

описала компания Proofpoint в мае 2025 года, CoGUI, как Как подробно было замечено, нацелен на японские организации, имитируя известные потребительские и финансовые бренды, такие как Amazon, PayPay, MyJCB, Apple, Orico и Rakuten. Сообщается, что этот набор инструментов использовался в реальных рекламных кампаниях как минимум с октября 2024 года.


По данным компании, занимающейся корпоративной безопасностью, этот фишинговый набор также породил , к середине 2026 года CoGUI все чаще заменялся Iron Man System два тесно связанных варианта, получивших названия CoAceV и CoFish_Ws. В общей сложности три набора использовали около 17 000 уникальных доменов. По данным TRM Labs .


Система Iron Man включает в себя более 2335 фишинговых шаблонов, созданных для имитации известных брендов и организаций в 139 странах, включая Австралию, Японию, Индию и США, а также предусматривает меры по ограничению доступа к фишинговому контенту только для пользователей из определенных стран.

Компания Resecurity, которая приобрела лицензию и развернула комплект в изолированной лаборатории, заявила, что он поддерживает 2360 различных пакетов фишинговых приманок, имитирующих почтовые, налоговые, банковские, телекоммуникационные компании и программы лояльности в 130 странах и регионах. Она также сообщила, что нашла собственный сервер Git и реестр контейнеров, содержащий 911 сборок для панели администратора на период с октября 2025 года по июнь 2026 года.


Компания, занимающаяся кибербезопасностью, также обнаружила, что для работы комплекта требуется регулярный контакт с сервером лицензирования поставщика, «зависимость, которая выгодна защитникам, поскольку отключение или перенаправление хоста авторизации приведет к ухудшению работы всех активных развертываний, а не только того, которое находится под следствием».


Среди других изощренных методов обхода защиты, используемых этими наборами, можно отметить поддельные CAPTCHA-шлюзы для фильтрации автоматических сеансов просмотра веб-страниц, списки блокировки и разрешения на основе IP-адресов, а также оповещения в Telegram, которые уведомляют оператора набора, когда жертва реагирует на фишинговую приманку.


Конфиденциальная информация, вводимая на фишинговом сайте, перехватывается с помощью WebSocket, что позволяет операторам отслеживать свои действия в режиме реального времени и решать, что увидят их жертвы дальше. Украденная финансовая информация используется злоумышленниками для совершения мошеннических покупок дорогостоящих товаров или мошеннических транзакций на легитимных финансовых платформах.


«Начавшись с мошеннических схем, направленных против людей и организаций в Японии, следователи вышли на подпольную сервисную экономику, поставляющую услуги преступникам по всему миру», — заявил Стивен Масада, заместитель главного юрисконсульта и генеральный менеджер подразделения Microsoft по борьбе с цифровыми преступлениями .


«YAM Store, CoGUI и Iron Man — лишь часть этой более крупной преступной сети, но их разгром затруднит преступникам доступ к учетным записям, инструментам и инфраструктуре, на которые они полагаются. Зачастую жертвы видят только мошенническое сообщение. А вот компании, стоящие за ним, делают это возможным».


Это событие произошло менее чем через месяц после того, как компания объявила о закрытии фишингового сервиса EvilTokens, использующего, по ее словам, искусственный интеллект (ИИ) «на каждом этапе цепочки атак».

Источник