Microsoft与执法及网络安全合作伙伴宣布瓦解一个大型犯罪体系。该体系曾发送超过10亿封恶意邮件， targeting 150个国家的7.5万多家机构。此次行动围绕YAM Store（也称为Storm-3119）及与其相关的钓鱼平台展开，Microsoft将这些平台追踪为Storm-2990旗下的CoGUI、Haozi和Iron Man System。
此次行动源于Microsoft与日本警察厅（NPA）针对一系列欺诈活动展开的调查。据Microsoft称，自今年年初以来，超过7.5亿封邮件和短信通过大量活动针对其客户，其中许多活动采用基于设备代码的钓鱼方式，以获取身份验证代码。
一个钓鱼服务市场，而不只是单一活动团伙
调查显示，YAM Store出售Microsoft和Google的环境、账户、许可证及存储空间，无论这些资源是遭到入侵还是通过欺诈手段获得。运营者利用属于真实机构的过期域名，随后重建其网站，使其看起来仍在运营，并冒用这些机构的身份获取云账户。
他们还创建了由使用人工智能工具生成的内容和文件支持的虚假机构。在遭入侵的Microsoft环境中，攻击者使用被盗的应用凭据管理账户和许可证，同时利用SharePoint和OneDrive托管钓鱼内容。
多种模板与规避分析的方法
这些钓鱼团伙提供以交通违章、未缴道路通行费、配送问题和账户验证请求为诱饵的模板。他们还支持地理定位功能、虚假的CAPTCHA页面以及IP地址筛选，这些手段旨在向研究人员和防护系统隐藏其基础设施。
CoGUI的受害者位于美国和日本，但到2026年年中，Iron Man已成为主要平台，其中包含超过2300个冒充银行、商店、配送服务和政府机构的模板。参与调查的Resecurity确定了一个公开的构建和容器注册表，其中包含911个已发布版本和8个注册账户，此外还有一个与银行卡数据采集相关的产品选择系统。钓鱼软件包目录达到2360个，覆盖130个国家和地区，并持续更新至2026年10月1日。
实际发生了什么变化？
根据美国佛罗里达南区联邦地区法院的命令，Microsoft与Health-ISAC查扣并重新定向了支持YAM Store、CoGUI和Iron Man的域名。Microsoft还关闭了与该市场相关的超过2万个账户，并屏蔽了10万个用于冒充和欺诈的域名。
此次行动表明，现代钓鱼活动以可扩展的服务市场形式运作，出售基础设施、账户和模板，而不是依赖单一活动。不过，屏蔽域名和账户并不意味着相关活动已经结束；Microsoft表示，针对更多基础设施的清除行动仍在继续，而尚未被发现的基础设施规模仍是一个悬而未决的问题。
除Microsoft和NPA外，JC3、Resecurity、Cloudflare、Oracle、Proofpoint和TRM Labs也参与了调查。Proofpoint曾在2024年年底将针对日本的活动持续与CoGUI团伙联系起来，这些活动重点通过冒充知名日本企业和国际组织窃取凭据及支付数据。