Microsoft 摘毁与超过 10 亿条诈骗消息相关的 3 个钓鱼工具包

Microsoft 与 Health-ISAC，以及日本网络犯罪控制中心（JC3）和由 Resecurity、Cloudflare、Oracle、Proofpoint、TRM Labs 等私营企业组成的联盟，宣布摘毁了三个钓鱼工具包：CoGUI（又称 NX 或 FA）、Haozi（又称 Phoenix）和 Iron Man System。

"自 2026 年 1 月以来，这些工具包背后的威胁行为者促成了向全球超过 7.5 万个组织发送超过 10 亿封钓鱼电子邮件和短信，" Microsoft 威胁情报部门和 Microsoft 数字犯罪部门表示。

这项经法院授权的行动是 Microsoft 于 2025 年底启动的一项调查的结果，当时它获知了针对日本用户的恶意消息活动。

中文网络犯罪生态系统被描述为一个由钓鱼工具包运营者、开发者以及一个代号为 YAM Store 的非法市场和初始访问代理（IAB）组成的互联网络，后者利用被入侵或欺诈获取的 Microsoft 或 Google 环境兜售工具和基础设施，用于大规模钓鱼攻击。

Microsoft 将这个地下市场追踪为 Storm-3119，并将这三个工具包背后的开发者追踪为 Storm-2990。证据表明，这三个工具包在能力和基础设施上存在重叠，表明它们有共同的开发起源、代码复用，或其中文开发者之间存在密切合作。

与任何钓鱼即服务（PhaaS 或 PaaS）平台一样，其最终目标是提供冒充全球政府、金融和物流领域合法品牌和组织的钓鱼模板，并支持高流量的钓鱼和凭证窃取活动。

"这些消息被用于针对 150 多个国家的消费者、医疗保健组织、金融机构和其他企业，为其运营者带来了数千万美元的收入，" Health-ISAC 表示。

据悉，威胁行为者购买了这些钓鱼工具包，以及被入侵或欺诈获取的 Microsoft 或 Google 云环境的访问权限，以针对日本、美国、澳大利亚和印度的医疗保健、金融服务、批发分销和信息技术（IT）领域的组织。

"这些钓鱼工具包通过 YAM Store 进行宣传，首先是 CoGUI 和 Haozi，随后从 2026 年 6 月开始是 Iron Man System，" Microsoft 表示。"YAM Store 及其关联的钓鱼工具包公司通过加密货币（包括 USDT 和 Ethereum）接受付款，为掩盖非法活动又增加了一层保护。"

YAM Store 在整个运营中也占据核心地位，它宣传与其他网络犯罪分子可以购买用于攻击其目标的合法、过期或先前使用过的组织相关联的基础设施。

Storm-3119 的一些值得注意的手法如下：

• 使用自动化手段识别过期的环境或组织名称、分析支持云的组织，并发现 Microsoft 365 租户。侦察阶段通过 Tor 基础设施匿名进行。
• 接管可行的环境，并使用以 PHP、Java/Spring 和 Cloudflare Workers 实现的仅应用程序管理面板进行管理。
• 在被入侵的租户内建立存在，授予自己广泛的 Microsoft Graph 权限和对 SharePoint API 的完全控制权，滥用该租户的 SharePoint 和 OneDrive 作为批量托管，并将被劫持的存储变成可出售的产品。
• 维护专用基础设施，代表其客户支持和监督钓鱼活动。
• 通过自动化店面转售被劫持的账户、许可证和存储。
• 出售被追踪为 Storm-2990 的钓鱼工具包，以协助窃取登录凭证和财务数据。

正如 Proofpoint 在 2025 年 5 月所详述的，CoGUI 被观察到通过冒充 Amazon、PayPay、MyJCB、Apple、Orico 和 Rakuten 等知名消费和金融品牌来针对日本组织。据悉，该工具包至少自 2024 年 10 月起就被用于真实攻击活动。

据这家企业安全公司称，该钓鱼工具包还催生了两个密切相关的变体，名为 CoAceV 和 CoFish_Ws。这三个工具包总共使用了约 17,000 个独特域名。据 TRM Labs 称，到 2026 年年中，CoGUI 正逐渐被 Iron Man System 取代。

Iron Man System 拥有超过 2,335 个钓鱼模板，量身定制以冒充 139 个国家的可信品牌和组织，包括澳大利亚、日本、印度和美国，同时采取措施将钓鱼内容的访问限制为仅来自特定国家的用户。

Resecurity 购买了该工具包的许可证并将其部署在一个隔离的实验室中，称其支持 2,360 个不同的钓鱼诱饵包，冒充 130 个国家和地区的邮政、税务、银行、电信和忠诚度计划品牌。它还表示，其定位到一个自托管的 Git 和容器注册服务器，其中包含 2025 年 10 月至 2026 年 6 月期间管理面板的 911 个构建版本。

这家网络安全公司还发现，该工具包需要与供应商的许可证服务器定期联系才能运行，"这种依赖性有利于防御者，因为禁用或对授权主机进行 sinkhole 处理将使所有活跃部署降级，而不仅仅是被调查的那一个。"

这些工具包采用的其他高级规避技术包括用于过滤自动化浏览会话的假 CAPTCHA 门禁、基于 IP 的黑名单和白名单，以及当受害者对钓鱼诱饵采取行动时通知工具包运营者的基于 Telegram 的警报。

在钓鱼网站上输入的敏感信息通过 WebSocket 捕获，使运营者能够实时监控其进展并决定其目标接下来看到的内容。被窃取的财务信息被下游行为者用于对高端商品进行欺诈性购买或在合法金融平台上进行欺诈性交易。

"始于针对日本个人和组织的诈骗活动的调查，将调查人员引向了一个为全球犯罪分子供货的地下服务经济，" Microsoft 数字犯罪部门副总法律顾问兼总经理 Steven Masada 表示。

"YAM Store、CoGUI 和 Iron Man 只是这个更大犯罪网络的一部分，但摘毁它们使犯罪分子更难获得他们所依赖的账户、工具和基础设施。诈骗消息往往是受害者唯一看到的部分，而其背后的商业体系才是使其成为可能的关键。"

此次进展发生不到一个月前，Microsoft 宣布了对其所称在"攻击链的每一步"都使用人工智能（AI）的 EvilTokens 设备代码钓鱼服务的打击行动。