Microsoft und Health-ISAC haben Domains beschlagnahmt und umgeleitet, die YAM Store, CoGUI und Iron Man unterstützten. Diese drei Dienste gehören zu einem chinesischsprachigen Cyberkriminalitäts-Ökosystem, über das weltweit Phishing-Kampagnen verbreitet wurden.
Die Maßnahme wurde vom US-Bezirksgericht für den Southern District of Florida genehmigt, wie SecurityWeeks Bericht zur Ankündigung von Microsoft berichtet. Health-ISAC trat der Zivilklage bei, weil dieselbe Infrastruktur zur Ansprache von Krankenhäusern und anderen Gesundheitseinrichtungen genutzt worden war.
Die Maßnahme wurde am 14. Oktober 2026 bekannt gegeben. Microsoft führt seit Januar 2026 mehr als eine Milliarde schädlicher Nachrichten auf die drei Dienste zurück, darunter mehr als 750 Millionen, die sich an Microsoft-Kunden richteten. Diese Summen beziehen sich auf Nachrichten, nicht auf eindeutige Empfänger, kompromittierte Konten oder bestätigte Opfer.
Domains umgeleitet und mehr als 20.000 Konten deaktiviert
Die Maßnahme richtete sich gegen die Infrastruktur, die zwei miteinander verbundene Ebenen des Phishing-Geschäfts trug.
YAM Store, das Microsoft als Storm-3119 führt, fungierte als Vermittler für Zugänge und Infrastruktur. CoGUI und Iron Man gehören zu einer Gruppe von Phishing-Kits, die als Storm-2990 geführt wird, zusammen mit Haozi.
Im Rahmen der Maßnahme:
- wurden Domains beschlagnahmt und umgeleitet, die YAM Store, CoGUI und Iron Man unterstützten;
- wurden mehr als 20.000 Konten deaktiviert, die mit YAM Store in Verbindung standen;
- werden mehr als 100.000 Domains gesperrt, die für Identitätsmissbrauch und Betrug genutzt werden;
- wird weitere Infrastruktur auf Grundlage der Ermittlungsergebnisse entfernt, wie der Bericht von BleepingComputer vom 14. Oktober angibt.
Microsoft erklärte, die Dienste hätten sich an Verbraucher und an mehr als 75.000 Organisationen in mehr als 150 Ländern gerichtet. Außerdem schätzte das Unternehmen, dass die Betreiber Dutzende Millionen US-Dollar erwirtschafteten. Diese Angaben sind Microsofts Einschätzung von Umfang und Einnahmen der Operation.
Japans Nationale Polizeibehörde informierte Microsoft Ende 2025, nachdem sie schädliche Nachrichtenkampagnen entdeckt hatte, die sich an Menschen in Japan richteten. Weitere in Berichten genannte Beteiligte sind japanische Behörden, JC3, Resecurity, Cloudflare, Oracle, Proofpoint, TRM Labs sowie US-amerikanische und internationale Strafverfolgungsbehörden.
YAM Store lieferte Cloud-Konten und Hosting an Phishing-Betreiber
Die Rolle von YAM Store beschränkte sich nicht auf den Verkauf von Domains. Microsoft erklärte, der Dienst habe Mandanten von Microsoft 365 und Azure for Education übernommen und anschließend Konten, Lizenzen und Speicherplatz an nachgelagerte Betreiber weiterverkauft, darunter Nutzer der Phishing-Kits von Storm-2990.
Der Marktplatz bot außerdem Infrastruktur an, die aus kompromittierten oder betrügerisch erlangten Microsoft- und Google-Umgebungen stammte. Kunden konnten Konten laut Berichten nach Merkmalen auswählen, etwa dem Abonnementtyp, dem Kontoalter und der Frage, ob die Umgebung einer Bildungseinrichtung oder einer gemeinnützigen Organisation gehörte.
Betreiber erwarben abgelaufene Domains, die zuvor legitimen Organisationen gehört hatten, und bauten Websites nach, um diese Einrichtungen aktiv erscheinen zu lassen. Mit diesen Identitäten beantragten sie anschließend Cloud-Konten. Microsoft berichtete zudem, KI-Werkzeuge hätten bei der Erstellung fiktiver Organisationen geholfen, einschließlich unterstützender Inhalte und Dokumente.
In kompromittierten Microsoft-Umgebungen sollen die Betreiber mit gestohlenen Anwendungsanmeldedaten Konten und Lizenzen verwaltet haben. SharePoint- und OneDrive-Speicher dienten als Hosting für Teile der Operation.
Interaktive Phishing-Kits erbeuteten Zugangsdaten, Codes und Zahlungsdaten
CoGUI und Iron Man arbeiteten als Live-Plattformen zum Abgreifen von Zugangsdaten und nicht bloß als statische Kopien von Anmeldeseiten. Betreiber konnten die Interaktion eines Ziels mitverfolgen und in Echtzeit einmalige Bestätigungscodes anfordern.
Die Kits enthielten Geofencing, IP-Filter und gefälschte CAPTCHA-Seiten, die den Zugang einschränken und die Sicherheitsanalyse erschweren sollten. Zu den Kampagnenthemen gehörten unbezahlte Mautgebühren, Verkehrsstrafen, Lieferprobleme und Aufforderungen zur Kontobestätigung. Microsoft erklärte außerdem, viele Kampagnen hätten Device-Code-Phishing eingesetzt, um Authentifizierungs-Token zu erlangen.
CoGUI wurde in großem Umfang gegen Ziele in Japan und den USA eingesetzt. Proofpoint hatte E-Mail-Kampagnen mit CoGUI identifiziert, die Ende 2024 konstant auf Japan zielten. Die Nachrichten gaben sich als bekannte japanische Unternehmen und internationale Organisationen aus, um Zugangsdaten und Zahlungsinformationen zu stehlen.
Bis Mitte 2026 übernahm Iron Man zunehmend die Rolle von CoGUI. YAM Store begann im Juni 2026, für Iron Man zu werben.
Microsoft zählte mehr als 2.335 Iron-Man-Vorlagen für mehr als 139 Länder, wobei die größte Sammlung auf die USA ausgerichtet war. Viele US-Vorlagen gaben sich als Verkehrsbehörden, Parkbehörden oder andere staatsnahe Dienste aus.
Resecurity erhob eine eigene Zählung von 2.360 Phishing-Paketen in 130 Ländern und Gebieten, mit Aktualisierungen bis zum 1. Oktober 2026. Die beiden Angaben verwenden unterschiedliche Beschreibungen und geografische Gruppierungen und sollten nicht als Messungen desselben Katalogs gelten.
Das Lizenzsystem von Iron Man schuf eine zentrale Abhängigkeit
Resecurity kaufte eine Iron-Man-Lizenz und betrieb das Kit in einem isolierten Labor. Die Analyse ergab, dass Installationen regelmäßig den Lizenzserver des Anbieters kontaktieren mussten, um funktionsfähig zu bleiben.
Die Forscher schätzten ein, dass das Abschalten oder Sinkholing des Autorisierungs-Hosts jede aktive Installation beeinträchtigen könnte, die von diesem Server abhängt, und nicht nur eine einzelne Phishing-Seite. Berichte über die Maßnahme belegen nicht, dass dieser konkrete Autorisierungs-Host zu der umgeleiteten Infrastruktur gehörte.
Resecurity identifizierte außerdem ein Teilsystem zur Auswahl von Seiten zur Erfassung von Zahlungskarten. Zudem fand das Unternehmen eine öffentlich erreichbare Git-/Container-Registry mit 911 veröffentlichten Builds, die acht registrierten Konten zugeordnet waren.
Microsoft schätzt mit hoher Sicherheit ein, dass chinesischsprachige Bedrohungsakteure die Phishing-Kits entwickelt haben. Ähnlichkeiten in der Infrastruktur und Überschneidungen bei den Aktivitäten veranlassten das Unternehmen, gemeinsame Ursprünge, wiederverwendeten Code oder eine enge Zusammenarbeit der Entwickler in Betracht zu ziehen.
Worauf Nutzer und Organisationen achten sollten
Die Beschlagnahme von Domains, die Kontoschließungen und die Sperrmaßnahmen können Hosting, Verkauf und aktive Phishing-Seiten unterbrechen. Sie belegen jedoch nicht, ob Zugangsdaten, Zahlungsdaten oder Authentifizierungs-Token, die vor der Maßnahme eingegeben wurden, noch in kriminellen Händen sind.
Nutzer sollten nach dem Anklicken von Links in unaufgeforderten E-Mails oder SMS keine Zugangsdaten, Kartendaten, einmaligen Codes oder Geräte-Autorisierungscodes eingeben. Mitteilungen zu Mautgebühren, Parkgebühren, Lieferungen oder Kontobestätigungen sollten über die bekannte Website oder App der jeweiligen Organisation überprüft werden und nicht über den Link in der Nachricht.
Organisationen, die Microsoft-Cloud-Dienste nutzen, sollten unerwartete Aktivitäten bei Konten, Lizenzen, Anwendungsanmeldedaten, SharePoint oder OneDrive untersuchen, besonders dort, wo Bildungs- oder Non-Profit-Mandanten betroffen sind. Zugangsdaten, bei denen der Verdacht einer Offenlegung besteht, sollten widerrufen oder zurückgesetzt werden, ebenso aktive Sitzungen und, sofern zutreffend, Token.
