Microsoft und seine Partner aus den Bereichen Strafverfolgung und Cybersicherheit haben die Lahmlegung eines weitreichenden kriminellen Ökosystems bekannt gegeben, das den Versand von mehr als einer Milliarde bösartiger Nachrichten und Angriffe auf mehr als 75.000 Organisationen in 150 Ländern ermöglichte. Im Mittelpunkt der Operation standen der YAM Store, auch bekannt als Storm-3119, sowie damit verbundene Phishing-Plattformen, die Microsoft unter den Namen CoGUI, Haozi und Iron Man System innerhalb von Storm-2990 verfolgt.
Die Operation folgte auf eine Untersuchung, die Microsoft und die japanische Nationale Polizeibehörde (NPA) zu einer Welle betrügerischer Aktivitäten eingeleitet hatten. Laut Microsoft richteten sich seit Jahresbeginn mehr als 750 Millionen Nachrichten per E-Mail und SMS gegen seine Kunden. Bei zahlreichen Kampagnen wurde dabei Phishing mit Geräte-Codes eingesetzt, um Authentifizierungscodes zu erlangen.
Ein Marktplatz für Phishing-Dienste, nicht nur eine Gruppe von Kampagnen
Die Untersuchungen ergaben, dass der YAM Store Microsoft- und Google-Umgebungen, deren Konten und Lizenzen sowie Speicherplatz verkaufte, unabhängig davon, ob diese zuvor kompromittiert oder auf betrügerische Weise erworben worden waren. Die Betreiber nutzten abgelaufene Domains, die echten Organisationen gehört hatten, bauten deren Websites anschließend so um, dass sie aktiv wirkten, und verwendeten deren Identitäten, um Cloud-Konten zu erhalten.
Außerdem gründeten sie fiktive Organisationen, die durch mithilfe von Werkzeugen der künstlichen Intelligenz erzeugte Inhalte und Dokumente unterstützt wurden. In kompromittierten Microsoft-Umgebungen wurden gestohlene Anmeldedaten von Anwendungen zur Verwaltung von Konten und Lizenzen eingesetzt, während SharePoint und OneDrive zum Hosten von Phishing-Inhalten missbraucht wurden.
Mehrere Vorlagen und Methoden zur Erschwerung der Analyse
Die Phishing-Gruppen boten Köder zu Verkehrsverstößen, unbezahlten Mautgebühren, Lieferproblemen und Aufforderungen zur Kontoverifizierung an. Zudem unterstützten sie Geolokalisierung, gefälschte CAPTCHA-Seiten und die Filterung von IP-Adressen – Maßnahmen, die darauf abzielten, die Infrastruktur vor Forschern und Schutzsystemen zu verbergen.
CoGUI zielte auf Opfer in den Vereinigten Staaten und Japan ab. Bis Mitte 2026 wurde Iron Man jedoch zur führenden Plattform und umfasste mehr als 2.300 Vorlagen, die Banken, Geschäfte, Lieferdienste und Regierungsstellen imitierten. Resecurity, das an der Untersuchung beteiligt war, identifizierte ein öffentliches Build- und Container-Register mit 911 veröffentlichten Versionen und acht registrierten Konten sowie ein System zur Produktauswahl, das mit der Erfassung von Kartendaten verbunden war. Der Katalog der Phishing-Pakete umfasste 2.360 Pakete für 130 Länder und Regionen, mit Aktualisierungen bis zum 1. Oktober 2026.
Was hat sich praktisch geändert?
Auf Grundlage einer Anordnung des US-Bundesbezirksgerichts für den südlichen Bezirk von Florida beschlagnahmten Microsoft und Health-ISAC unterstützende Domains des YAM Store, von CoGUI und Iron Man und leiteten sie um. Microsoft deaktivierte außerdem mehr als 20.000 mit dem Marktplatz verbundene Konten und blockierte 100.000 Domains, die für Identitätsmissbrauch und Betrug verwendet wurden.
Die Operation zeigt, dass modernes Phishing als skalierbarer Dienstleistungsmarkt funktioniert, der Infrastruktur, Konten und Vorlagen verkauft, anstatt sich auf eine einzelne Kampagne zu stützen. Die Sperrung der Domains und Konten bedeutet jedoch nicht das Ende der Aktivitäten: Microsoft erklärte, dass die Entfernung weiterer Infrastruktur noch andauere, während das Ausmaß der bislang unentdeckten Infrastruktur eine offene Frage bleibe.
An der Untersuchung beteiligten sich neben Microsoft und der NPA auch JC3, Resecurity, Cloudflare, Oracle, Proofpoint und TRM Labs. Proofpoint hatte Ende 2024 Kampagnen, die sich gegen Japan richteten, dauerhaft mit der Gruppe CoGUI in Verbindung gebracht; im Mittelpunkt standen der Diebstahl von Anmeldedaten und Zahlungsdaten durch die Nachahmung bekannter japanischer Unternehmen und internationaler Organisationen.