Microsoft hat ein chinesischsprachiges kriminelles Ökosystem aufgedeckt, das als integrierter Marktplatz für Phishing-Dienste fungiert und Entwickler von Phishing-Kits, Anbieter von Infrastruktur sowie Angreifer miteinander verbindet, die diese Dienste für groß angelegte Kampagnen kaufen. Nach Angaben des Unternehmens erleichterten die mit diesem Ökosystem verbundenen Akteure seit Januar 2026 den Versand von mehr als einer Milliarde E-Mail- und Textnachrichten an mehr als 75.000 Organisationen weltweit.
Die Kampagnen zielten auf Organisationen im Gesundheitswesen, im Finanzsektor, im Großhandel und in der Informationstechnologie. Opfer wurden in Japan, den Vereinigten Staaten, Australien und Indien festgestellt. In Zusammenarbeit mit Strafverfolgungsbehörden und anderen Partnern trug die Digital Crimes Unit von Microsoft dazu bei, die wichtigsten Entwickler und die zentrale Infrastruktur des Ökosystems zu stören.
Ein Marktplatz für den Verkauf von Zugängen und Infrastruktur
Microsoft verfolgte den illegalen Marktplatz unter der Bezeichnung Storm-3119. Er arbeitet nach dem Modell eines Brokers für den Erstzugang und tritt unter dem Namen YAM Store auf. Der Marktplatz verkauft kompromittierte oder durch Betrug erlangte Microsoft- und Google-Umgebungen, darunter Konten, Lizenzen, Speicherbereiche und Domains, die mit echten oder ehemaligen Organisationen verbunden zu sein scheinen.
Der Untersuchung zufolge verwenden die Betreiber automatisierte Tools, um ausnutzbare Cloud-Umgebungen zu identifizieren. Anschließend übernehmen sie Microsoft-365- und Azure-for-Education-Tenants und verwalten diese über Kontrollpanels, die mit PHP-, Java/Spring- und Cloudflare-Workers-Technologien erstellt wurden. Dieser Zugriff ermöglicht das Zurücksetzen von Passwörtern, die Zuweisung von Bildungslizenzen und die Vergabe weitreichender Berechtigungen. Anschließend werden SharePoint und OneDrive in vermietbare Hosting-Ressourcen umgewandelt.
Das Ökosystem bietet außerdem Domainverwaltung, SSL-Zertifikate und Website-Weiterleitung über Cloudflare. Die Ressourcen werden über eine automatisierte Schnittstelle verkauft, wobei Zahlungen über Alipay, WeChat Pay und USDT akzeptiert werden. Microsoft erklärte, dass die Betreiber auch Scheininstitutionen und unterstützende Websites eingerichtet hätten, um neue Tenants zu erhalten, wobei möglicherweise durch künstliche Intelligenz erzeugte Inhalte und gefälschte Dokumente verwendet wurden.
Phishing-Kits als Dienstleistung
Microsoft identifizierte drei über den YAM Store verkaufte Phishing-Kits: CoGUI, auch als NX oder FA bekannt, Haozi, auch als Phoenix bekannt, sowie Iron Man System. Das Unternehmen verfolgt die Entwickler und die mit diesen Kits verbundenen Aktivitäten unter der Bezeichnung Storm-2990.
Iron Man System enthält mehr als 2.335 Vorlagen für mehr als 139 Länder und imitiert Marken sowie Behörden aus dem staatlichen, finanziellen, gesundheitlichen und polizeilichen Bereich sowie aus Transport und Einzelhandel. Die Plattform unterstützt eine standortabhängige Inhaltsbeschränkung, gefälschte CAPTCHA-Seiten, Sperr- und Freigabelisten für IP-Adressen sowie Einstellungen zur Vermeidung einer Entdeckung.
Die Plattform sendet außerdem sofortige Benachrichtigungen über Telegram, sobald das Opfer Anmeldedaten, Karteninformationen oder Verifizierungscodes eingibt. Das Kit sammelt die Daten über WebSocket, wodurch der Betreiber die Interaktion des Opfers verfolgen und den nächsten Schritt manuell steuern kann. Microsoft zufolge machen diese Funktionen die Kits eher zu kommerziellen, mandantenfähigen Phishing-Produkten als zu einzelnen Tools, die von einem einzigen Angreifer eingesetzt werden.
Was ändert sich in der Praxis?
Die Ergebnisse zeigen, dass modernes Phishing auf einer verteilten Dienstleistungsökonomie beruht: Eine Partei stellt Konten und Speicher bereit, eine andere entwickelt die Vorlagen, und Käufer führen die abschließenden Kampagnen durch. Diese Aufteilung senkt die Einstiegshürde für weniger erfahrene Angreifer und macht den Missbrauch legitimer Cloud-Umgebungen zu einem Teil einer kriminellen Lieferkette, die sich nur schwer einer einzelnen Kampagne zuordnen lässt.
Microsoft stellte fest, dass die nachfolgenden Aktivitäten den Diebstahl von Anmeldedaten, Phishing über einen Gerätecode-Fluss zur Erlangung von Zugriffstoken sowie Finanzbetrug mithilfe gestohlener Zahlungsdaten umfassten. Daher empfiehlt das Unternehmen Organisationen, Nutzer in der Erkennung von Dringlichkeitssignalen und unerwarteten Links zu schulen, phishing-resistente Multifaktor-Authentifizierung oder Passkeys einzusetzen und die Berechtigungen von Global Administrator nach dem Prinzip der geringsten Privilegien und von Zero Trust zu beschränken.
Zu den weiteren Maßnahmen gehören die Überprüfung der Einstellungen von Exchange Online Protection und Microsoft Defender for Office 365, die Aktivierung von Safe Links für interne Empfänger, die Beschränkung der Registrierung von Authentifizierungsmethoden auf vertrauenswürdige Standorte und Geräte sowie die Aktivierung des Netzwerkschutzes, um den Zugriff auf schädliche Domains und Inhalte zu verhindern. Die im Bericht genannten Zahlen und Bewertungen beruhen weiterhin auf der Beobachtung durch Microsoft, während die Quelle den Umfang der detaillierten rechtlichen Maßnahmen oder die Dauer der Unterbrechung nicht erläuterte.