全球联合打击行动摧毁发送 10 亿条钓鱼消息的网络

一个协助向 150 个国家超过 75,000 个组织发送超过 10 亿条恶意消息的大型网络犯罪生态系统，已被全球执法机构及合作伙伴摧毁。

自今年年初以来，超过 7.5 亿条恶意消息通过电子邮件和短信瞄准了 Microsoft 客户。

在 Microsoft 和日本国家警察厅（NPA）对一波欺诈活动发起调查后，发现了一个"庞大的中文网络犯罪市场"，其中提供用于钓鱼活动的工具和服务。

调查人员将恶意活动追踪到 YAM Store（Storm-3119），一个地下基础设施市场，随后将其与 CoGUI、Haozi 和 Iron Man System 钓鱼工具包关联起来，这些工具包被统称为 Storm-2990。

工具概述

在今天的报告中，Microsoft 表示，YAM Store 出售被入侵或欺诈获取的 Microsoft 和 Google 环境、账户、许可证和存储。

其运营者获取真实组织的过期域名，重建网站使已不存在的实体显得仍在运营，然后利用这些身份获取云账户。

另一种被观察到的方法是使用 AI 工具生成虚假组织，包括内容和文档。

在被入侵的 Microsoft 环境中，运营者使用窃取的应用程序凭证来管理账户和许可证，并滥用 SharePoint 和 OneDrive 存储进行 hosting。

这些钓鱼工具包为网络犯罪分子提供了广泛的诱饵，包括未付通行费、交通罚款、递送问题和账户验证请求。

这些工具包支持地理围栏、虚假 CAPTCHA 门、IP 过滤及其他阻碍安全分析的措施。

Microsoft 表示，CoGUI 针对美国和日本的受害者，但 Iron Man——提供超过 2,300 个冒充银行、零售商、递送服务和政府机构的模板——在 2026 年年中将其取而代之。

网络安全公司 Resecurity 也参与了调查，并在分析暴露的基础设施后分享了更多关于 Iron Man 的细节，包括一个公开暴露的 Git/容器注册表，其中包含 911 个已发布的构建版本和 8 个注册账户。

研究人员还发现了一个与支付卡捕获相关的产品选择子系统，编目了 2,360 个钓鱼包，覆盖 130 个国家/地区，更新至 2026 年 10 月 1 日。

Microsoft 表示，这些钓鱼平台发送了超过 7.5 亿条针对 Microsoft 365 客户的消息，其中许多使用设备码钓鱼来获取身份验证令牌。

2024 年底，企业安全公司 Proofpoint 发现了与 CoGUI 钓鱼工具包相关的"持续瞄准日本"的电子邮件活动。该活动专注于通过冒充知名日本公司或国际组织来窃取凭证和支付数据。

对钓鱼活动的进一步调查显示，超过 17,000 个域名被 CoGUI、CoAceV 和 CoFish_Ws 这三个工具包使用。

研究人员将该行动描述为"动态的"，且资源充足，"能够大规模购买和管理钓鱼基础设施"。

摧毁该行动

根据美国佛罗里达州南区地区法院的命令，Microsoft 和 Health-ISAC 查获并重定向了支持 YAM Store、CoGUI 和 Iron Man 的域名。

这家科技巨头还停用了与 YAM Store 相关的超过 20,000 个账户，并封锁了网络犯罪分子用于冒充和欺诈的 100,000 个域名。

目前，正在根据调查结果移除更多基础设施，此次调查还涉及日本当局、JC3、Resecurity、Cloudflare、Oracle、Proofpoint 和 TRM Labs。