Microsoft, kimlik avı hizmetleri için kapsamlı bir pazar gibi çalışan ve kimlik avı kitlerinin geliştiricileriyle altyapı satıcılarını, geniş çaplı kampanyalar yürütmek üzere bu hizmetleri satın alan saldırganları birbirine bağlayan Çince konuşulan bir suç ekosistemini ortaya çıkardı. Şirket, bu ekosistemle bağlantılı tarafların Ocak 2026'dan bu yana dünya genelinde 75 binden fazla kuruluşa bir milyardan fazla e-posta ve kısa mesaj gönderilmesini kolaylaştırdığını belirtti.
Kampanyalar sağlık hizmetleri, finansal hizmetler, toptan dağıtım ve bilgi teknolojileri sektörlerindeki kuruluşları hedef aldı; Japonya, Amerika Birleşik Devletleri, Avustralya ve Hindistan'da mağdurlar tespit edildi. Microsoft'un Dijital Suçlar Birimi, kolluk kuvvetleri ve diğer ortaklarla iş birliği içinde ekosistemin başlıca geliştiricilerinin ve temel altyapısının devre dışı bırakılmasına yardımcı oldu.
Erişim ve altyapı satan pazar
Microsoft, yasa dışı pazarı Storm-3119 adıyla izledi. Pazar, YAM Store adı altında ilk erişim aracısı modeliyle faaliyet gösteriyor. Pazar; gerçek veya eski kuruluşlarla bağlantılı görünen hesaplar, lisanslar, depolama alanları ve alan adları da dahil olmak üzere ele geçirilmiş veya dolandırıcılıkla elde edilmiş Microsoft ve Google ortamlarını satıyor.
Soruşturmaya göre operatörler, istismar edilebilir bulut ortamlarını belirlemek için otomatik araçlar kullanıyor, ardından Microsoft 365 ve Azure for Education kiracılarını ele geçirip PHP ve Java/Spring teknolojileriyle oluşturulmuş ve Cloudflare Workers kullanan kontrol panelleri üzerinden yönetiyor. Bu erişim; parolaların sıfırlanmasına, eğitim lisanslarının atanmasına ve yüksek ayrıcalıklar verilmesine, ardından SharePoint ve OneDrive'ın satılabilir barındırma kaynaklarına dönüştürülmesine olanak tanıyor.
Ekosistem ayrıca alan adı ve SSL sertifikası yönetimi ile Cloudflare üzerinden site yönlendirmesi sağlıyor; kaynakları otomatik bir arayüz üzerinden satıyor ve Alipay, WeChat Pay ve USDT aracılığıyla ödeme kabul ediyor. Microsoft, operatörlerin yeni kiracılar elde etmek için sahte kuruluşlar ve destek siteleri de oluşturduğunu, yapay zekâ tarafından üretilmiş içerik ve sahte belgelerin kullanılmış olabileceğini belirtti.
Hizmet olarak kimlik avı kitleri
Microsoft, YAM Store üzerinden satılan üç kimlik avı kiti tespit etti: NX veya FA olarak da bilinen CoGUI, Phoenix olarak da bilinen Haozi ve Iron Man System. Şirket, bu kitlerin geliştiricilerini ve bunlarla bağlantılı faaliyetleri Storm-2990 adı altında izliyor.
Iron Man System, 139'dan fazla ülkeye yönelik 2.335'ten fazla şablon içeriyor ve kamu, finans, sağlık, emniyet, ulaşım ve perakende alanlarındaki markaları ve kurumları taklit ediyor. Platform; içeriğin coğrafi konuma göre kısıtlanmasını, sahte CAPTCHA sayfalarını, IP adresleri için engelleme ve izin listelerini ve tespit edilmekten kaçınmaya yönelik ayarları destekliyor.
Platform ayrıca mağdurun oturum açma bilgilerini, kart bilgilerini veya doğrulama kodlarını girmesi üzerine Telegram üzerinden anlık bildirimler gönderiyor. Kit, verileri WebSocket aracılığıyla topluyor; bu da operatörün mağdurun etkileşimini izlemesine ve sonraki adımı manuel olarak kontrol etmesine olanak tanıyor. Microsoft, bu özelliklerin kitleri tek bir saldırganın kullandığı bağımsız araçlardan ziyade çok kiracılı ticari kimlik avı ürünlerine yaklaştırdığını belirtiyor.
Pratikte ne değişiyor?
Bulgular, modern kimlik avının dağıtık bir hizmet ekonomisine dayandığını ortaya koyuyor: Bir taraf hesapları ve depolama alanını sağlıyor, başka bir taraf şablonları geliştiriyor ve alıcılar nihai kampanyaları yürütüyor. Bu iş bölümü, daha az deneyimli saldırganların giriş engelini düşürüyor ve meşru bulut ortamlarının kötüye kullanılmasını tek bir kampanyaya bağlanması zor olan suç niteliğindeki bir tedarik zincirinin parçası hâline getiriyor.
Microsoft, sonraki faaliyetler arasında kimlik bilgilerinin çalınması, erişim belirteçleri elde etmek için cihaz kodu akışı üzerinden kimlik avı yapılması ve çalınan ödeme bilgileri kullanılarak finansal dolandırıcılık gerçekleştirilmesinin bulunduğunu gözlemledi. Bu nedenle şirket, kuruluşlara kullanıcıları aciliyet göstergeleri ve beklenmedik bağlantılar konusunda eğitmeyi, kimlik avına dayanıklı çok faktörlü kimlik doğrulama veya geçiş anahtarları uygulamayı ve Global Administrator ayrıcalıklarını en az ayrıcalık ilkesi ile Zero Trust doğrultusunda kısıtlamayı öneriyor.
Diğer önlemler arasında Exchange Online Protection ve Microsoft Defender for Office 365 ayarlarının gözden geçirilmesi, kurum içindeki alıcılar için Safe Links'in etkinleştirilmesi, kimlik doğrulama yöntemlerinin kaydının güvenilir konumlar ve cihazlarla sınırlandırılması ve zararlı alan adlarına ve içeriğe erişimi engellemek için ağ korumasının etkinleştirilmesi yer alıyor. Raporda yer alan sayı ve değerlendirmeler Microsoft'un gözlemlerine dayanıyor; kaynak ise ayrıntılı yasal işlemlerin kapsamını veya kesintinin ne kadar sürdüğünü açıklamadı.