Microsoft ile kolluk kuvvetleri ve siber güvenlik alanındaki ortakları, 150 ülkede 75 binden fazla kuruluşun hedef alınmasını ve 1 milyardan fazla kötü amaçlı mesaj gönderilmesini sağlayan geniş çaplı bir suç ekosistemini devre dışı bıraktığını açıkladı. Operasyon, Storm-3119 olarak da bilinen YAM Store ile Microsoft'un Storm-2990 kapsamında CoGUI, Haozi ve Iron Man System adlarıyla izlediği bağlantılı kimlik avı platformlarına odaklandı.
Operasyon, Microsoft ile Japonya Ulusal Polis Teşkilatı'nın (NPA) bir dolandırıcılık faaliyetleri dalgasına ilişkin başlattığı soruşturmanın ardından gerçekleştirildi. Microsoft'a göre, yılın başından bu yana 750 milyondan fazla mesaj, e-posta ve kısa mesaj yoluyla müşterilerini hedef aldı; çok sayıda kampanyada kimlik doğrulama kodlarını ele geçirmek amacıyla cihaz kodlarına dayalı bir kimlik avı yöntemi kullanıldı.
Sadece kampanya grubu değil, kimlik avı hizmetleri pazarı
Soruşturmalar, YAM Store'un Microsoft ve Google ortamlarını, hesaplarını, lisanslarını ve depolama alanlarını, bunlar ele geçirildikten veya dolandırıcılık yoluyla elde edildikten sonra sattığını ortaya koydu. Operatörler gerçek kuruluşlara ait süresi dolmuş alan adlarından yararlandı, ardından bu kuruluşların sitelerini etkin görünmeleri için yeniden oluşturdu ve bulut hesapları edinmek üzere kimliklerini kullandı.
Ayrıca yapay zekâ araçları kullanılarak oluşturulan içerik ve belgelerle desteklenen sahte kuruluşlar kurdular. Microsoft'un ele geçirilmiş ortamlarında, hesapları ve lisansları yönetmek için çalınmış uygulama kimlik bilgileri kullanılırken, kimlik avı içeriğini barındırmak için SharePoint ve OneDrive'dan yararlanıldı.
Analizi engellemeye yönelik çok sayıda şablon ve yöntem
Kimlik avı grupları trafik ihlalleri, ödenmemiş yol ücretleri, teslimat sorunları ve hesap doğrulama taleplerine dayalı yemler sundu. Ayrıca coğrafi konum belirleme özelliği, sahte CAPTCHA sayfaları ve IP adresi filtreleme desteklendi; bunlar altyapıyı araştırmacılardan ve koruma sistemlerinden gizlemeyi amaçlayan yöntemlerdi.
CoGUI, Amerika Birleşik Devletleri ve Japonya'daki mağdurları hedef aldı; ancak Iron Man, 2026'nın ortalarına gelindiğinde önde gelen platform hâline geldi ve bankaları, mağazaları, teslimat hizmetlerini ve devlet kurumlarını taklit eden 2.300'den fazla şablon içeriyordu. Soruşturmaya katılan Resecurity, 911 yayımlanmış sürüm ve sekiz kayıtlı hesap içeren herkese açık bir derleme ve konteyner kayıt defterinin yanı sıra kart verilerini yakalamayla bağlantılı bir ürün seçme sistemi belirledi. Kimlik avı paketleri kataloğu, 130 ülke ve bölgeyi kapsayan 2.360 pakete ulaştı ve 1 Ekim 2026'ya kadar güncellemeler içerdi.
Pratikte ne değişti?
Microsoft ve Health-ISAC, Amerika Birleşik Devletleri Florida Güney Bölgesi Bölge Mahkemesi'nin emri uyarınca YAM Store, CoGUI ve Iron Man'i destekleyen alan adlarına el koyarak bunları yeniden yönlendirdi. Microsoft ayrıca pazarla bağlantılı 20 binden fazla hesabı devre dışı bıraktı ve kimliğe bürünme ile dolandırıcılıkta kullanılan 100 bin alan adını engelledi.
Operasyon, çağdaş kimlik avının tek bir kampanyaya dayanmak yerine altyapı, hesap ve şablon satan ölçeklenebilir bir hizmet pazarı olarak faaliyet gösterdiğini ortaya koyuyor. Bununla birlikte, alan adlarının ve hesapların engellenmesi faaliyetlerin sona erdiği anlamına gelmiyor; Microsoft, ek altyapının kaldırılmasının hâlâ sürdüğünü belirtti. Bu sırada henüz keşfedilmemiş altyapının boyutu da açık bir soru olmaya devam ediyor.
Soruşturmaya Microsoft ve NPA'nın yanı sıra JC3, Resecurity, Cloudflare, Oracle, Proofpoint ve TRM Labs katıldı. Proofpoint, 2024'ün sonlarında Japonya'yı hedef alan kampanyaları CoGUI grubuyla sürekli olarak ilişkilendirmiş; bu kampanyaların tanınmış Japon şirketlerini ve uluslararası kuruluşları taklit ederek kimlik bilgileri ile ödeme verilerini çalmaya odaklandığını belirtmişti.