Microsoft e Health-ISAC hanno sequestrato e reindirizzato i domini che supportavano YAM Store, CoGUI e Iron Man, tre componenti di un ecosistema di cybercrime in lingua cinese usato per distribuire campagne di phishing in tutto il mondo.
L'azione è stata autorizzata dalla Corte distrettuale degli Stati Uniti per il Distretto Sud della Florida, secondo il report di SecurityWeek sull'annuncio di Microsoft. Health-ISAC si è unita alla causa civile perché la stessa infrastruttura era stata usata per colpire ospedali e altre organizzazioni sanitarie.
L'operazione è stata resa nota il 14 ottobre 2026. Microsoft attribuisce ai tre servizi oltre un miliardo di messaggi malevoli dall'inizio di gennaio 2026, di cui più di 750 milioni diretti a clienti Microsoft. Questi totali riguardano messaggi, non destinatari unici, account compromessi o vittime confermate.
Domini reindirizzati e oltre 20.000 account disabilitati
L'operazione ha preso di mira l'infrastruttura che sosteneva due livelli collegati dell'attività di phishing.
YAM Store, che Microsoft traccia come Storm-3119, operava come intermediario per l'accesso e l'infrastruttura. CoGUI e Iron Man appartengono a un gruppo di kit di phishing tracciato come Storm-2990, insieme a Haozi.
Nell'ambito dell'operazione:
- i domini che supportavano YAM Store, CoGUI e Iron Man sono stati sequestrati e reindirizzati;
- oltre 20.000 account associati a YAM Store sono stati disabilitati;
- oltre 100.000 domini usati per impersonificazione e frode sono in fase di blocco;
- ulteriore infrastruttura viene rimossa sulla base dei risultati dell'indagine, secondo il report del 14 ottobre di BleepingComputer.
Microsoft ha dichiarato che i servizi prendevano di mira utenti privati e oltre 75.000 organizzazioni in più di 150 Paesi. Ha inoltre stimato che i loro gestori abbiano generato decine di milioni di dollari. Si tratta della valutazione di Microsoft sulla portata e sui ricavi dell'operazione.
La National Police Agency giapponese ha segnalato a Microsoft, alla fine del 2025, campagne di messaggistica malevola rivolte a persone in Giappone. Tra gli altri soggetti citati nei report figurano le autorità giapponesi, JC3, Resecurity, Cloudflare, Oracle, Proofpoint, TRM Labs e organismi delle forze dell'ordine statunitensi e internazionali.
YAM Store forniva account cloud e hosting agli operatori di phishing
Il ruolo di YAM Store non si limitava alla vendita di domini. Secondo Microsoft, il servizio dirottava tenant Microsoft 365 e Azure for Education, quindi rivendeva account, licenze e spazio di archiviazione a operatori a valle, inclusi gli utenti dei kit di phishing Storm-2990.
Il marketplace offriva anche infrastruttura creata a partire da ambienti Microsoft e Google compromessi o ottenuti in modo fraudolento. Secondo quanto riportato, i clienti potevano selezionare gli account in base a caratteristiche come il tipo di abbonamento, l'anzianità dell'account e il fatto che l'ambiente appartenesse a un'organizzazione scolastica o no profit.
Gli operatori acquisivano domini scaduti già usati da organizzazioni legittime e ricostruivano i siti web per far apparire attive quelle entità. Queste identità venivano poi usate per richiedere account cloud. Microsoft ha inoltre riferito che strumenti di intelligenza artificiale hanno contribuito a generare organizzazioni fittizie, compresi contenuti e documenti di supporto.
All'interno degli ambienti Microsoft compromessi, secondo quanto riportato, gli operatori avrebbero usato credenziali di applicazione rubate per amministrare account e licenze. SharePoint e OneDrive hanno fornito l'hosting per parti dell'operazione.
I kit di phishing interattivi raccoglievano credenziali, codici e dati di pagamento
CoGUI e Iron Man funzionavano come piattaforme attive per la raccolta di credenziali, e non come semplici copie statiche delle pagine di accesso. Gli operatori potevano osservare l'interazione di un bersaglio e richiedere in tempo reale codici di verifica monouso.
I kit includevano geofencing, filtraggio degli IP e pagine CAPTCHA false, progettate per limitare l'accesso e ostacolare l'analisi di sicurezza. I temi delle campagne includevano pedaggi non pagati, multe stradali, problemi di consegna e richieste di verifica dell'account. Microsoft ha inoltre affermato che molte campagne usavano il phishing basato sul device code per ottenere token di autenticazione.
CoGUI è stato usato in modo esteso contro bersagli in Giappone e negli Stati Uniti. Proofpoint aveva individuato campagne email CoGUI che, già alla fine del 2024, prendevano costantemente di mira il Giappone, con messaggi che impersonavano importanti aziende giapponesi e organizzazioni internazionali per rubare credenziali e dati di pagamento.
Entro metà 2026, Iron Man stava progressivamente sostituendo CoGUI. YAM Store ha iniziato a pubblicizzare Iron Man nel giugno 2026.
Microsoft ha contato più di 2.335 template di Iron Man che coprono oltre 139 Paesi, con la raccolta più ampia concentrata sugli Stati Uniti. Molti template statunitensi impersonavano agenzie di trasporto, autorità per il parcheggio e altri servizi legati alla pubblica amministrazione.
Resecurity ha prodotto un conteggio separato di 2.360 pacchetti di phishing che coprono 130 Paesi e territori, con aggiornamenti fino al 1 ottobre 2026. I due dati usano descrizioni e raggruppamenti geografici diversi, quindi non vanno considerati misure dello stesso identico catalogo.
Il sistema di licenze di Iron Man crea una dipendenza centrale
Resecurity ha acquistato una licenza di Iron Man e ha fatto funzionare il kit in un laboratorio isolato. La sua analisi ha rilevato che le installazioni dovevano contattare regolarmente il server di licenza del fornitore per restare funzionanti.
I ricercatori hanno valutato che disattivare o mettere in sinkhole l'host di autorizzazione potrebbe compromettere ogni installazione attiva che dipende da quel server, e non soltanto un singolo sito di phishing. I resoconti dell'operazione non stabiliscono che quello specifico host di autorizzazione sia tra l'infrastruttura reindirizzata.
Resecurity ha inoltre individuato un sottosistema per la selezione delle pagine di cattura dei dati delle carte di pagamento. Separatamente, ha trovato un registry Git/container esposto pubblicamente, con 911 build pubblicate associate a otto account registrati.
Microsoft valuta con alta confidenza che gli autori dei kit di phishing siano attori di minaccia di lingua cinese. Somiglianze nell'infrastruttura e sovrapposizioni nell'attività hanno portato l'azienda a considerare origini comuni, riutilizzo di codice o una stretta collaborazione tra gli sviluppatori.
Cosa devono controllare utenti e organizzazioni
Il sequestro dei domini, la chiusura degli account e le misure di blocco possono interrompere hosting, vendite e pagine di phishing attive. Non stabiliscono però se credenziali, dati di pagamento o token di autenticazione inviati prima dell'operazione siano ancora in mano ai criminali.
Gli utenti dovrebbero evitare di inserire credenziali, dati della carta, codici monouso o codici di autorizzazione del dispositivo dopo aver seguito link contenuti in email o SMS non richiesti. Avvisi su pedaggi, parcheggi, consegne e verifiche dell'account vanno controllati tramite il sito web o l'app ufficiale dell'organizzazione, e non tramite il messaggio ricevuto.
Le organizzazioni che usano servizi cloud Microsoft dovrebbero indagare su attività inattese relative ad account, licenze, credenziali di applicazione, SharePoint o OneDrive, in particolare quando sono coinvolti tenant scolastici o no profit. Le credenziali sospettate di essere esposte vanno revocate o reimpostate, insieme alle sessioni attive e ai token, ove applicabile.
