Microsoft揭露了一个以中文为主的犯罪生态，该生态作为网络钓鱼服务的综合市场运作，将网络钓鱼工具开发者、基础设施卖家以及购买这些服务以实施大规模活动的攻击者联系起来。该公司表示，与这一生态有关的实体自2026年1月以来协助向全球超过7.5万家机构发送了超过10亿封电子邮件和短信。
这些活动的目标包括医疗保健、金融服务、批发分销和信息技术行业的机构，并在日本、美国、澳大利亚和印度发现了受害者。在执法机构和其他合作伙伴的协助下，Microsoft数字犯罪部门帮助瓦解了该生态的主要开发者和核心基础设施。
出售访问权限和基础设施的市场
Microsoft以Storm-3119的名称追踪这一非法市场。该市场以YAM Store的名义按照初始访问经纪商模式运作，出售被入侵或通过欺诈取得的Microsoft和Google环境，包括看似与真实或曾经存在的机构有关联的账户、许可证、存储空间和域名。
根据调查，运营者使用自动化工具识别可被利用的云环境，随后接管Microsoft 365和Azure for Education租户，并通过使用PHP、Java/Spring和Cloudflare Workers技术构建的控制面板进行管理。这种访问权限可用于重置密码、分配教育许可证、授予高权限，随后将SharePoint和OneDrive转变为可出售的托管资源。
该生态还提供域名管理、SSL证书和通过Cloudflare进行的网站路由，并通过自动化界面销售资源，接受Alipay、WeChat Pay和USDT付款。Microsoft指出，运营者还创建了虚假机构和辅助网站，以获取新的租户，并可能使用人工智能生成的内容和伪造文件。
网络钓鱼即服务工具
Microsoft确认了三套通过YAM Store销售的网络钓鱼工具：CoGUI，也称为NX或FA；Haozi，也称为Phoenix；以及Iron Man System。该公司以Storm-2990的名称追踪这些工具的开发者及相关活动。
Iron Man System包含超过2,335个模板，面向139个以上国家，冒充政府、金融、医疗、警察、交通和零售相关品牌及机构。该平台支持根据地理位置限制内容、使用虚假的CAPTCHA页面、设置IP地址黑名单和白名单，以及配置规避检测的选项。
受害者输入登录凭据、银行卡信息或验证码后，该平台还会通过Telegram发送实时通知。该工具通过WebSocket收集数据，使运营者能够跟踪受害者的互动，并手动控制下一步操作。Microsoft表示，这些能力使这些工具更接近多租户商业网络钓鱼产品，而不是由单个攻击者使用的独立工具。
实际发生了哪些变化？
调查结果显示，现代网络钓鱼依赖于一种分散式服务经济：一方提供账户和存储空间，另一方开发模板，买家则执行最终活动。这种分工降低了经验不足的攻击者进入的门槛，并使滥用合法云环境成为难以与单一活动关联的犯罪供应链一部分。
Microsoft注意到，后续活动包括窃取凭据、通过设备代码流程进行网络钓鱼以获取访问令牌，以及利用被盗支付信息实施金融诈骗。因此，Microsoft建议机构培训用户识别紧迫性迹象和非预期链接，采用抗网络钓鱼的多重身份验证或通行密钥，并按照最小权限和Zero Trust原则限制Global Administrator权限。
其他措施包括审查Exchange Online Protection和Microsoft Defender for Office 365的设置，为内部收件人启用Safe Links，将身份验证方式的注册限制在受信任的位置和设备上，并启用网络保护以阻止访问恶意域名和内容。报告中的数字和评估仍基于Microsoft的监测，而消息来源未说明详细法律行动的范围或中断持续的时间。