Microsoft ликвидировала китайский фишинговый маркетплейс, рассылавший более 1 млрд сообщений

Microsoft и Health-ISAC захватили домены китайского маркетплейса YAM Store

Microsoft и Health-ISAC (Health Information Sharing and Analysis Center) захватили и перенаправили домены, связанные с YAM Store, CoGUI и Iron Man. Эти компоненты составляли китайскоязычный киберпреступный маркетплейс. Сервисы предоставляли злоумышленникам доступ к учетным записям, фишинговым наборам и инфраструктуре. Действия основаны на приказе Окружного суда США по Южному округу Флориды. Health-ISAC присоединился к гражданскому иску после того, как злоумышленники начали активно использовать инфраструктуру для атак на больницы и медицинские организации. По данным Microsoft, с января 2026 года через эти сервисы было отправлено более 1 миллиарда вредоносных сообщений. Целями стали потребители и более 75 000 организаций в 150 странах. Более 750 миллионов сообщений предназначались клиентам Microsoft. Операторы маркетплейса заработали десятки миллионов долларов. Microsoft заблокировал более 20 000 учетных записей, связанных с YAM Store, и более 100 000 доменов, используемых для выдачи себя за других и мошенничества. Расследование началось в конце 2025 года после уведомления Национального полицейского агентства Японии о вредоносных рассылках.

YAM Store продавал украденные учетные записи и фишинговые наборы

Microsoft отслеживает YAM Store под кодовым названием Storm-3119. Маркетплейс продавал инфраструктуру, созданную на скомпрометированных или мошеннически полученных средах у провайдеров, таких как Microsoft и Google. Покупатели могли выбирать учетные записи по возрасту, типу подписки и типу среды, например, образовательной или некоммерческой. YAM Store функционировал как брокер доступа, перепродавая украденные учетные записи Microsoft 365 и Azure for Education. Фишинговые наборы, отслеживаемые как Storm-2990, продавались на YAM Store под названиями CoGUI, Haozi и Iron Man. Microsoft с высокой степенью уверенности предполагает, что наборы разработаны китайскоязычными злоумышленниками. Сходство в инфраструктуре и совпадение в активности указывают на общее происхождение разработки, повторное использование кода или тесное сотрудничество между разработчиками. CoGUI активно использовался против жертв в Японии и США. К середине 2026 года его начали вытеснять фишинговые наборы Iron Man, которые YAM Store начал рекламировать в июне 2026 года. Iron Man предлагает более 2335 шаблонов для 139 стран. Наибольшее количество шаблонов приходится на США, где злоумышленники имитируют транспортные и государственные организации. Наборы функционируют как интерактивные платформы для сбора учетных данных, позволяя операторам отслеживать жертв в реальном времени и запрашивать коды одноразовой верификации. Компания Resecurity, приобретя лицензию Iron Man, насчитала 2360 шаблонов для 130 стран. Последний шаблон был добавлен 1 октября. Для работы набора требуется регулярный контакт с сервером лицензирования поставщика. Эта зависимость позволяет защитникам выводить из строя или захватывать сервер авторизации, что повлияет на все активные развертывания.

Атаки на организации в 150 странах и на клиентов Microsoft

Сообщения, отправленные через YAM Store, CoGUI и Iron Man, нацелены на потребителей и более 75 000 организаций в более чем 150 странах. Более 750 миллионов сообщений были направлены клиентам Microsoft. Health-ISAC присоединился к иску, поскольку злоумышленники часто использовали инфраструктуру маркетплейса для атак на больницы и медицинские организации. Фишинговые наборы Iron Man содержат шаблоны, имитирующие транспортные и государственные органы США. Операторы наборов могут отслеживать жертв в реальном времени и запрашивать коды одноразовой верификации.

Microsoft заблокировал более 20 000 учетных записей и 100 000 доменов

Microsoft заблокировал более 20 000 учетных записей, связанных с YAM Store. Компания также блокирует более 100 000 доменов, используемых для выдачи себя за других и мошенничества. Захват доменов YAM Store, CoGUI и Iron Man затрудняет для преступников получение учетных записей, инструментов и инфраструктуры. Зависимость фишинговых наборов Iron Man от сервера лицензирования поставщика позволяет защитникам деактивировать или захватывать сервер авторизации, что нарушит работу всех активных развертываний.