Microsoft y Health-ISAC han incautado y redirigido dominios que daban soporte a YAM Store, CoGUI e Iron Man, tres componentes de un ecosistema de cibercrimen en chino utilizado para distribuir campañas de phishing en todo el mundo.
La acción fue autorizada por el Tribunal de Distrito de los Estados Unidos para el Distrito Sur de Florida, según el informe de SecurityWeek sobre el anuncio de Microsoft. Health-ISAC se unió a la demanda civil porque la misma infraestructura se había usado para atacar hospitales y otras organizaciones sanitarias.
La interrupción se informó el 14 de octubre de 2026. Microsoft atribuyó a los tres servicios más de mil millones de mensajes maliciosos desde enero de 2026, de los cuales más de 750 millones iban dirigidos a clientes de Microsoft. Esas cifras describen mensajes, no destinatarios únicos, cuentas comprometidas ni víctimas confirmadas.
Dominios redirigidos y más de 20.000 cuentas desactivadas
La operación tuvo como objetivo la infraestructura que sostenía dos capas conectadas del negocio de phishing.
YAM Store, que Microsoft sigue como Storm-3119, actuaba como intermediario de acceso e infraestructura. CoGUI e Iron Man pertenecen a un grupo de kits de phishing identificado como Storm-2990, junto con Haozi.
Como parte de la interrupción:
- Se incautaron y redirigieron los dominios que daban soporte a YAM Store, CoGUI e Iron Man.
- Se desactivaron más de 20.000 cuentas asociadas a YAM Store.
- Se están bloqueando más de 100.000 dominios usados para suplantación de identidad y fraude.
- Se está eliminando infraestructura adicional según los hallazgos de la investigación, de acuerdo con el informe de BleepingComputer del 14 de octubre.
Microsoft señaló que los servicios iban dirigidos a consumidores y a más de 75.000 organizaciones en más de 150 países. También estimó que sus operadores generaron decenas de millones de dólares. Estas cifras son la evaluación de Microsoft sobre la escala y los ingresos de la operación.
La Agencia Nacional de Policía de Japón alertó a Microsoft a finales de 2025, tras detectar campañas de mensajería maliciosa dirigidas a personas en Japón. Entre los demás participantes mencionados en los informes figuran las autoridades japonesas, JC3, Resecurity, Cloudflare, Oracle, Proofpoint, TRM Labs y organismos policiales de Estados Unidos e internacionales.
YAM Store proporcionaba cuentas en la nube y alojamiento a los operadores de phishing
El papel de YAM Store iba más allá de la venta de dominios. Microsoft afirmó que el servicio secuestraba inquilinos de Microsoft 365 y Azure for Education, y luego revendía cuentas, licencias y almacenamiento a operadores intermedios, entre ellos usuarios de los kits de phishing de Storm-2990.
El mercado también ofrecía infraestructura creada a partir de entornos de Microsoft y Google comprometidos u obtenidos de forma fraudulenta. Según se informó, los clientes podían elegir cuentas según características como el tipo de suscripción, la antigüedad de la cuenta y si el entorno pertenecía a una organización educativa o sin ánimo de lucro.
Los operadores adquirían dominios caducados que antes utilizaban organizaciones legítimas y reconstruían sitios web para que esas entidades parecieran activas. Después usaban esas identidades para solicitar cuentas en la nube. Microsoft también informó de que herramientas de IA ayudaron a generar organizaciones ficticias, incluido contenido y documentos de respaldo.
Dentro de entornos de Microsoft comprometidos, los operadores habrían usado credenciales de aplicación robadas para administrar cuentas y licencias. SharePoint y OneDrive proporcionaron alojamiento para partes de la operación.
Los kits de phishing interactivos capturaban credenciales, códigos y datos de pago
CoGUI e Iron Man funcionaban como plataformas en tiempo real para robar credenciales, y no como copias estáticas de páginas de inicio de sesión. Los operadores podían observar la interacción de la víctima y solicitar en tiempo real códigos de verificación de un solo uso.
Los kits incluían geofencing (filtrado por geolocalización), filtrado por IP y páginas CAPTCHA falsas diseñadas para restringir el acceso y dificultar el análisis de seguridad. Los temas de las campañas incluían peajes impagados, multas de tráfico, problemas de entrega y solicitudes de verificación de cuentas. Microsoft también señaló que muchas campañas usaban phishing por código de dispositivo para obtener tokens de autenticación.
CoGUI se utilizó intensamente contra objetivos en Japón y Estados Unidos. Proofpoint había identificado campañas de correo de CoGUI que apuntaban de forma constante a Japón a finales de 2024, con mensajes que suplantaban a empresas japonesas destacadas y a organizaciones internacionales para robar credenciales e información de pago.
A mediados de 2026, Iron Man estaba ocupando cada vez más el lugar de CoGUI. YAM Store comenzó a anunciar Iron Man en junio de 2026.
Microsoft contabilizó más de 2.335 plantillas de Iron Man que abarcan más de 139 países, con la colección más grande centrada en Estados Unidos. Muchas plantillas estadounidenses suplantaban a agencias de transporte, autoridades de aparcamiento y otros servicios relacionados con la administración pública.
Resecurity elaboró un recuento independiente de 2.360 paquetes de phishing que abarcan 130 países y territorios, con actualizaciones hasta el 1 de octubre de 2026. Las dos cifras usan descripciones y agrupaciones geográficas distintas, por lo que no deben tomarse como mediciones exactamente del mismo catálogo.
El sistema de licencias de Iron Man creó una dependencia central
Resecurity compró una licencia de Iron Man y ejecutó el kit en un laboratorio aislado. Su análisis reveló que las implementaciones debían contactar periódicamente con el servidor de licencias del proveedor para seguir funcionando.
Los investigadores consideraron que desactivar o redirigir a un sinkhole el host de autorización podría afectar a todas las implementaciones activas que dependen de ese servidor, y no solo a un sitio de phishing. Los informes sobre la interrupción no establecen que este host de autorización concreto estuviera entre la infraestructura redirigida.
Resecurity también identificó un subsistema para seleccionar páginas de captura de datos de tarjetas de pago. Por otro lado, encontró un registro de contenedores y Git expuesto públicamente, con 911 compilaciones publicadas asociadas a ocho cuentas registradas.
Microsoft evalúa con un alto grado de confianza que actores de amenazas de habla china desarrollaron los kits de phishing. Las similitudes en la infraestructura y las coincidencias en la actividad llevaron a la empresa a considerar orígenes compartidos, reutilización de código o una colaboración estrecha entre los desarrolladores.
Qué deben vigilar usuarios y organizaciones
Las incautaciones de dominios, los cierres de cuentas y las medidas de bloqueo pueden interrumpir el alojamiento, las ventas y las páginas de phishing activas. No establecen si las credenciales, los datos de pago o los tokens de autenticación enviados antes de la interrupción siguen en manos de los delincuentes.
Los usuarios deben evitar introducir credenciales, datos de tarjetas, códigos de un solo uso o códigos de autorización de dispositivo después de seguir enlaces en correos o SMS no solicitados. Los avisos sobre peajes, aparcamiento, entregas y verificación de cuentas deben comprobarse a través del sitio web o la aplicación conocidos de la organización, y no a través del mensaje.
Las organizaciones que usan servicios en la nube de Microsoft deben investigar cualquier actividad inesperada en cuentas, licencias, credenciales de aplicaciones, SharePoint u OneDrive, especialmente cuando intervengan inquilinos educativos o sin ánimo de lucro. Las credenciales que se sospeche que han quedado expuestas deben revocarse o restablecerse, junto con las sesiones activas y los tokens cuando corresponda.
