Microsoft раскрыла китайскоязычную преступную экосистему, работающую как комплексный рынок фишинговых услуг и связывающую разработчиков фишинговых наборов, продавцов инфраструктуры и злоумышленников, которые покупают эти услуги для проведения масштабных кампаний. Компания сообщила, что связанные с этой экосистемой субъекты с января 2026 года способствовали отправке более миллиарда электронных и текстовых сообщений более чем 75 тысячам организаций по всему миру.
Кампании были направлены против организаций в сферах здравоохранения, финансовых услуг, оптовой торговли и информационных технологий; жертвы были выявлены в Японии, США, Австралии и Индии. При содействии правоохранительных органов и других партнёров подразделение Microsoft по борьбе с цифровыми преступлениями помогло вывести из строя ключевых разработчиков и основную инфраструктуру экосистемы.
Рынок, продающий доступ и инфраструктуру
Microsoft отслеживала нелегальный рынок под обозначением Storm-3119. Он работает по модели брокера первичного доступа под названием YAM Store. Рынок продаёт взломанные или полученные мошенническим путём среды Microsoft и Google, включая учётные записи, лицензии, пространства хранения и домены, которые выглядят связанными с реальными или ранее существовавшими организациями.
Согласно расследованию, операторы используют автоматизированные инструменты для выявления уязвимых облачных сред, после чего захватывают тенанты Microsoft 365 и Azure for Education и управляют ими через панели, созданные с использованием PHP, Java/Spring и Cloudflare Workers. Такой доступ позволяет сбрасывать пароли, назначать образовательные лицензии, предоставлять повышенные привилегии, а затем превращать SharePoint и OneDrive в пригодные для продажи ресурсы хостинга.
Экосистема также предоставляет управление доменами и SSL-сертификатами, а также маршрутизацию сайтов через Cloudflare, продавая ресурсы через автоматизированный интерфейс и принимая платежи через Alipay, WeChat Pay и USDT. Microsoft отметила, что операторы также создавали фиктивные организации и вспомогательные сайты для получения новых тенантов, при этом могли использоваться контент, сгенерированный искусственным интеллектом, и поддельные документы.
Фишинговые наборы как услуга
Microsoft выявила три фишинговых набора, продаваемых через YAM Store: CoGUI, также известный как NX или FA; Haozi, известный как Phoenix; и Iron Man System. Компания отслеживает разработчиков и связанную с этими наборами активность под обозначением Storm-2990.
Iron Man System содержит более 2 335 шаблонов, предназначенных для более чем 139 стран, и имитирует бренды и организации из государственных, финансовых, медицинских и полицейских структур, а также связанные с транспортом и розничной торговлей. Платформа поддерживает ограничение контента по географическому местоположению, поддельные страницы CAPTCHA, списки блокировки и разрешения IP-адресов, а также настройки для уклонения от обнаружения.
Платформа также отправляет мгновенные уведомления через Telegram, когда жертва вводит учётные данные, данные карты или коды подтверждения. Набор собирает данные через WebSocket, позволяя оператору отслеживать взаимодействие с жертвой и вручную управлять следующим шагом. Microsoft заявляет, что эти возможности делают наборы скорее коммерческими многоарендными фишинговыми продуктами, чем отдельными инструментами, используемыми одним злоумышленником.
Что меняется на практике?
Результаты показывают, что современный фишинг опирается на распределённую экономику услуг: одна сторона предоставляет учётные записи и хранилища, другая разрабатывает шаблоны, а покупатели проводят итоговые кампании. Такое разделение снижает порог входа для менее опытных злоумышленников и делает злоупотребление легитимными облачными средами частью преступной цепочки поставок, которую сложно связать с одной кампанией.
Microsoft отметила, что последующая активность включала кражу учётных данных, фишинг через поток кода устройства для получения токенов доступа и финансовое мошенничество с использованием украденных платёжных данных. Поэтому компания рекомендует организациям обучать пользователей распознавать признаки срочности и неожиданные ссылки, внедрять устойчивую к фишингу многофакторную аутентификацию или ключи доступа, а также ограничивать права Global Administrator в соответствии с принципом наименьших привилегий и Zero Trust.
К другим мерам относятся проверка настроек Exchange Online Protection и Microsoft Defender for Office 365, включение Safe Links для внутренних получателей, ограничение регистрации методов аутентификации доверенными местоположениями и устройствами, а также включение защиты сети для блокировки доступа к вредоносным доменам и контенту. При этом приведённые в отчёте цифры и оценки основаны на наблюдениях Microsoft, тогда как источник не уточнил масштаб подробных юридических мер или продолжительность нарушения работы.