Международная операция обезвредила сеть, разославшую миллиард фишинговых сообщений

Правоохранительные органы и партнёры по всему миру нарушили работу крупной киберпреступной экосистемы, обеспечивавшей рассылку свыше миллиарда вредоносных сообщений. Их жертвами стали более 75 000 организаций в 150 странах. Только с начала года более 750 миллионов таких сообщений — через электронную почту и SMS — было направлено клиентам Microsoft.

Подпольная «фабрика» фишинга

Расследование начали Microsoft и Национальное полицейское агентство Японии (NPA), заинтересовавшиеся волной мошенничества. В его ходе обнаружился обширный китайскоязычный киберпреступный маркетплейс, торговавший инструментами и услугами для фишинговых кампаний. Активность отследили до площадки YAM Store (Storm-3119), а затем связали с фишинговыми наборами CoGUI, Haozi и Iron Man System, объединёнными под обозначением Storm-2990.

По данным Microsoft, YAM Store продавал взломанные или полученные обманным путём учётные записи, лицензии и хранилища Microsoft и Google. Операторы скупали истёкшие домены реальных организаций и перестраивали их сайты, чтобы прекратившие существование компании выглядели действующими, а затем от их имени получали облачные аккаунты. Ещё один приём — создание фиктивных организаций вместе с их «содержимым» и документацией с помощью ИИ-инструментов.

Готовые наборы для обмана

Фишинговые наборы предлагали преступникам широкий выбор приманок: неоплаченные дорожные сборы, штрафы, проблемы с доставкой, запросы на подтверждение учётной записи. Они поддерживали геофильтрацию, фальшивые CAPTCHA, фильтрацию по IP и другие приёмы для затруднения анализа. Набор CoGUI был нацелен на жертв в США и Японии, но к середине 2026 года его потеснил Iron Man, предлагавший свыше 2300 шаблонов под банки, ритейлеров, службы доставки и госструктуры.

Компания Resecurity, также участвовавшая в расследовании, нашла у Iron Man открытый реестр контейнеров с 911 сборками и подсистему перехвата платёжных карт — каталог из 2360 фишинговых пакетов для 130 стран с обновлениями вплоть до 1 октября 2026 года. Многие сообщения, нацеленные на клиентов Microsoft 365, использовали device-code phishing для кражи токенов аутентификации.

Удар по инфраструктуре

По распоряжению федерального суда Южного округа Флориды Microsoft и Health-ISAC изъяли и перенаправили домены YAM Store, CoGUI и Iron Man. Корпорация отключила более 20 000 связанных с YAM Store аккаунтов и заблокировала 100 000 доменов, использовавшихся для подделки и мошенничества. Снос инфраструктуры продолжается; в операции также участвуют японские власти, JC3, Cloudflare, Oracle, Proofpoint и TRM Labs.

Источник: Bleeping Computer