Microsoft и её партнёры в сфере правоохранительной деятельности и кибербезопасности объявили о выводе из строя масштабной криминальной инфраструктуры, которая позволила отправить более миллиарда вредоносных сообщений и атаковать свыше 75 тысяч организаций в 150 странах. Операция была сосредоточена вокруг рынка YAM Store, также известного как Storm-3119, и связанных с ним фишинговых платформ, которые Microsoft отслеживает под названиями CoGUI, Haozi и Iron Man System в составе Storm-2990.
Операция стала результатом расследования, начатого Microsoft и Национальным полицейским агентством Японии (NPA) в связи с волной мошеннической активности. По данным Microsoft, с начала года более 750 миллионов сообщений атаковали её клиентов через электронную почту и текстовые сообщения; во многих кампаниях применялся фишинг на основе кодов устройств для получения кодов аутентификации.
Рынок фишинговых услуг, а не просто набор кампаний
Расследования показали, что YAM Store продавал среды Microsoft и Google, их аккаунты, лицензии и хранилища — либо после их взлома, либо после получения мошенническим путём. Операторы использовали просроченные домены, ранее принадлежавшие реальным организациям, затем воссоздавали их сайты, чтобы те выглядели активными, и использовали их идентичность для получения облачных аккаунтов.
Они также создавали фиктивные организации, подкрепляя их содержимым и документами, сгенерированными с помощью инструментов искусственного интеллекта. Во взломанных средах Microsoft украденные учётные данные приложений использовались для управления аккаунтами и лицензиями, а SharePoint и OneDrive — для размещения фишингового содержимого.
Многочисленные шаблоны и методы противодействия анализу
Фишинговые группы предлагали приманки, связанные с нарушениями правил дорожного движения, неоплаченными дорожными сборами, проблемами с доставкой и запросами на проверку аккаунтов. Они также поддерживали геолокацию, поддельные страницы CAPTCHA и фильтрацию IP-адресов — методы, призванные скрыть инфраструктуру от исследователей и систем защиты.
CoGUI атаковала жертв в США и Японии, однако к середине 2026 года ведущей платформой стала Iron Man: она включала более 2 300 шаблонов, имитировавших банки, магазины, службы доставки и государственные учреждения. Компания Resecurity, участвовавшая в расследовании, обнаружила общедоступный реестр сборок и контейнеров, содержащий 911 опубликованных версий и восемь зарегистрированных аккаунтов, а также систему выбора продуктов, связанную с перехватом данных карт. Каталог фишинговых пакетов достиг 2 360 пакетов, охватывавших 130 стран и регионов, с обновлениями вплоть до 1 октября 2026 года.
Что изменилось на практике?
На основании постановления окружного суда США по Южному округу Флориды Microsoft и Health-ISAC конфисковали поддерживающие домены YAM Store, CoGUI и Iron Man и перенаправили их. Microsoft также отключила более 20 тысяч аккаунтов, связанных с рынком, и заблокировала 100 тысяч доменов, использовавшихся для подмены личности и мошенничества.
Операция показывает, что современный фишинг работает как масштабируемый рынок услуг, продающий инфраструктуру, аккаунты и шаблоны вместо опоры на отдельную кампанию. Однако блокировка доменов и аккаунтов не означает прекращения активности: Microsoft заявила, что удаление дополнительной инфраструктуры продолжается, а объём ещё не обнаруженной инфраструктуры остаётся открытым вопросом.
Помимо Microsoft и NPA, в расследовании участвовали JC3, Resecurity, Cloudflare, Oracle, Proofpoint и TRM Labs. В конце 2024 года Proofpoint связала кампании, нацеленные на Японию, с продолжающей деятельность группой CoGUI, сосредоточенной на краже учётных данных и платёжной информации посредством имитации известных японских компаний и международных организаций.