Microsoft et Health-ISAC ont saisi et redirigé des domaines qui soutenaient YAM Store, CoGUI et Iron Man, trois éléments d’un écosystème de cybercriminalité de langue chinoise utilisé pour diffuser des campagnes d’hameçonnage dans le monde entier.
L’action a été autorisée par le tribunal de district des États-Unis pour le district sud de la Floride, selon le rapport de SecurityWeek sur l’annonce de Microsoft. Health-ISAC s’est joint à la procédure civile parce que la même infrastructure avait servi à cibler des hôpitaux et d’autres organisations du secteur de la santé.
L’opération a été rendue publique le 14 octobre 2026. Microsoft attribue aux trois services plus d’un milliard de messages malveillants depuis janvier 2026, dont plus de 750 millions visant des clients de Microsoft. Ces totaux décrivent des messages, et non des destinataires uniques, des comptes compromis ou des victimes confirmées.
Domaines redirigés et plus de 20 000 comptes désactivés
L’opération visait l’infrastructure qui soutenait deux niveaux liés de l’activité d’hameçonnage.
YAM Store, que Microsoft suit sous le nom de Storm-3119, jouait le rôle de courtier en accès et en infrastructure. CoGUI et Iron Man appartiennent à un groupe de kits d’hameçonnage suivi sous le nom de Storm-2990, aux côtés de Haozi.
Dans le cadre de l’opération :
- les domaines soutenant YAM Store, CoGUI et Iron Man ont été saisis et redirigés ;
- plus de 20 000 comptes associés à YAM Store ont été désactivés ;
- plus de 100 000 domaines utilisés pour l’usurpation d’identité et la fraude sont en cours de blocage ;
- d’autres infrastructures sont en cours de suppression, sur la base des résultats de l’enquête, selon le rapport de BleepingComputer du 14 octobre.
Microsoft indique que les services visaient des particuliers et plus de 75 000 organisations dans plus de 150 pays. L’entreprise estime aussi que leurs opérateurs ont généré des dizaines de millions de dollars. Ces chiffres correspondent à l’évaluation de Microsoft sur l’ampleur et les revenus de l’opération.
L’Agence nationale de police du Japon a alerté Microsoft fin 2025, après avoir détecté des campagnes de messagerie malveillantes visant des personnes au Japon. Parmi les autres acteurs cités dans les rapports figurent les autorités japonaises, JC3, Resecurity, Cloudflare, Oracle, Proofpoint, TRM Labs ainsi que des services de police américains et internationaux.
YAM Store fournissait des comptes cloud et un hébergement aux opérateurs d’hameçonnage
Le rôle de YAM Store ne se limitait pas à la vente de domaines. Selon Microsoft, le service détournait des locataires Microsoft 365 et Azure for Education, puis revendait comptes, licences et espace de stockage à des opérateurs en aval, notamment aux utilisateurs des kits d’hameçonnage Storm-2990.
La place de marché proposait aussi une infrastructure créée à partir d’environnements Microsoft et Google compromis ou obtenus frauduleusement. Selon les informations disponibles, les clients pouvaient sélectionner des comptes en fonction de critères tels que le type d’abonnement, l’ancienneté du compte et le fait que l’environnement appartienne à un établissement d’enseignement ou à une organisation à but non lucratif.
Les opérateurs rachetaient des domaines expirés ayant appartenu à des organisations légitimes, et reconstruisaient des sites web pour faire paraître ces entités actives. Ces identités servaient ensuite à demander des comptes cloud. Microsoft indique également que des outils d’IA ont contribué à générer des organisations fictives, avec des contenus et des documents d’accompagnement.
Dans les environnements Microsoft compromis, les opérateurs auraient utilisé des identifiants d’application volés pour administrer les comptes et les licences. Les espaces de stockage SharePoint et OneDrive ont servi d’hébergement pour certaines parties de l’opération.
Des kits d’hameçonnage interactifs captaient identifiants, codes et données de paiement
CoGUI et Iron Man fonctionnaient comme des plateformes de capture d’identifiants en direct, et non comme de simples copies statiques de pages de connexion. Les opérateurs pouvaient suivre les actions d’une cible et demander des codes de vérification à usage unique en temps réel.
Les kits intégraient du géoblocage, un filtrage par adresse IP et de fausses pages CAPTCHA, conçus pour restreindre l’accès et entraver l’analyse de sécurité. Les thèmes des campagnes comprenaient les péages impayés, les amendes de circulation, les problèmes de livraison et les demandes de vérification de compte. Microsoft indique aussi que de nombreuses campagnes recouraient à l’hameçonnage par code d’appareil pour obtenir des jetons d’authentification.
CoGUI a été largement utilisé contre des cibles au Japon et aux États-Unis. Proofpoint avait relevé, fin 2024, des campagnes de courriels CoGUI visant systématiquement le Japon, avec des messages usurpant l’identité d’entreprises japonaises de premier plan et d’organisations internationales, afin de voler identifiants et informations de paiement.
Vers la mi-2026, Iron Man prenait de plus en plus la place de CoGUI. YAM Store a commencé à faire la promotion d’Iron Man en juin 2026.
Microsoft a recensé plus de 2 335 modèles Iron Man couvrant plus de 139 pays, la plus grande partie de la collection visant les États-Unis. Beaucoup de modèles américains usurpaient l’identité d’agences de transport, d’autorités de stationnement et d’autres services liés à l’administration.
Resecurity a produit un décompte distinct de 2 360 packages de hameçonnage couvrant 130 pays et territoires, avec des mises à jour jusqu’au 1er octobre 2026. Les deux chiffres utilisent des descriptions et des regroupements géographiques différents ; ils ne doivent pas être considérés comme la mesure exacte d’un même catalogue.
Le système de licences d’Iron Man créait une dépendance centrale
Resecurity a acheté une licence Iron Man et a fait fonctionner le kit dans un laboratoire isolé. Son analyse a montré que les déploiements devaient contacter régulièrement le serveur de licences du fournisseur pour rester opérationnels.
Les chercheurs ont estimé que la désactivation ou le sinkholing de l’hôte d’autorisation pouvait perturber chaque déploiement actif dépendant de ce serveur, et non un seul site d’hameçonnage. Les comptes rendus de l’opération n’établissent pas que cet hôte d’autorisation précis faisait partie de l’infrastructure redirigée.
Resecurity a également identifié un sous-système servant à sélectionner des pages de capture de données de carte bancaire. Par ailleurs, l’entreprise a trouvé un registre Git et de conteneurs exposé publiquement, contenant 911 builds publiés associés à huit comptes enregistrés.
Microsoft estime avec un degré de confiance élevé que les acteurs de la menace de langue chinoise ont développé les kits d’hameçonnage. Des similitudes d’infrastructure et des recoupements d’activité ont conduit l’entreprise à envisager des origines communes, la réutilisation de code ou une coopération étroite entre les développeurs.
Ce que doivent surveiller les utilisateurs et les organisations
Les saisies de domaines, les fermetures de comptes et les mesures de blocage peuvent interrompre l’hébergement, les ventes et les pages d’hameçonnage actives. Elles ne permettent pas de déterminer si les identifiants, coordonnées de paiement ou jetons d’authentification soumis avant l’opération sont toujours entre les mains des criminels.
Les utilisateurs doivent éviter de saisir identifiants, coordonnées bancaires, codes à usage unique ou codes d’autorisation d’appareil après avoir suivi des liens figurant dans des courriels ou des SMS non sollicités. Les avis concernant les péages, le stationnement, les livraisons et la vérification de compte doivent être vérifiés sur le site web ou dans l’application habituels de l’organisation concernée, et non via le message reçu.
Les organisations qui utilisent les services cloud de Microsoft doivent enquêter sur toute activité inattendue touchant les comptes, les licences, les identifiants d’application, SharePoint ou OneDrive, en particulier lorsque des locataires d’établissements d’enseignement ou d’organisations à but non lucratif sont concernés. Tout identifiant soupçonné d’avoir été exposé doit être révoqué ou réinitialisé, ainsi que les sessions actives et les jetons, le cas échéant.
