En global indsats mod phishing har forstyrret et cyberkriminelt netværk, der er knyttet til mere end en milliard ondsindede beskeder. Operationen var rettet mod over 75.000 organisationer i 150 lande gennem infrastruktur, der understøttede svindel i stor skala.
Siden begyndelsen af 2026 har netværket rettet mere end 750 millioner ondsindede e-mail- og SMS-beskeder mod Microsofts kunder. Efterforskere forbandt aktiviteten med en undergrundsmarkedsplads og flere phishing-platforme.
Efterforskning afslører markedsplads, der leverer ressourcer til phishing-operationer
Microsoft og Japans nationale politimyndighed indledte en efterforskning efter at have identificeret en bølge af svindelaktivitet. Deres arbejde afslørede en kinesisk-sproget markedsplads, der tilbød infrastruktur og værktøjer til phishing-kampagner.
I centrum stod YAM Store, som efterforskere sporer under betegnelsen Storm-3119. Markedspladsen leverede kompromitterede eller svigagtigt erhvervede Microsoft- og Google-miljøer samt konti, licenser og lagerplads.
Efterforskerne forbandt derefter markedspladsens tjenester med phishing-værktøjerne CoGUI, Haozi og Iron Man System. Disse platforme er samlet under sporingsnavnet Storm-2990.
Tilsammen gav markedspladsen og phishing-værktøjerne kriminelle de ressourcer, de havde brug for til at gennemføre kampagner i adskillige lande.
Udløbne domæner og falske organisationer hjalp med at skaffe konti
Operatørerne bag YAM Store brugte flere metoder til at skaffe cloud-infrastruktur.
For eksempel købte de udløbne domæner, der tilhørte ægte organisationer. Derefter genopbyggede de hjemmesider for at få disse inaktive organisationer til at fremstå som aktive igen.
Ved hjælp af disse genoplivede identiteter skaffede operatørerne cloud-konti. Alternativt brugte de AI-værktøjer til at oprette fiktive organisationer med tilhørende hjemmesideindhold og dokumentation.
I kompromitterede Microsoft-miljøer gjorde stjålne applikationslegitimationsoplysninger det muligt at administrere konti og licenser. De misbrugte også lagerplads i SharePoint og OneDrive til at opbevare kampagnemateriale.
Dermed kunne operationen understøtte phishing-aktivitet gennem legitime cloud-tjenester.
Phishing-værktøjer tilbød tusindvis af skabeloner til efterligning
Phishing-platformene tilbød velkendte lokkemidler, herunder ubetalte vejafgifter, trafikbøder, leveringsproblemer og anmodninger om kontobekræftelse.
Deres funktionalitet strakte sig dog ud over overbevisende beskeder. De brugte også geografiske begrænsninger, falske CAPTCHA-sider og IP-filtrering til at besværliggøre sikkerhedsanalyser.
CoGUI fokuserede oprindeligt på ofre i USA og Japan. I midten af 2026 havde Iron Man dog overhalet platformen.
Iron Man tilbød mere end 2.300 skabeloner, der udgav sig for at repræsentere banker, detailhandlere, leveringsvirksomheder og offentlige myndigheder. Dette omfattende katalog hjalp operatørerne med at tilpasse kampagner til forskellige markeder.
Forskere undersøgte også et eksponeret kode- og containerregister, der indeholdt 911 offentliggjorte builds og otte registrerede konti.
Separat identificerede de et produktvalgssystem knyttet til indsamling af betalingskortoplysninger. Systemet indeholdt 2.360 phishing-pakker fordelt på 130 lande og områder, med opdateringer, der fortsatte frem til den 1. oktober 2026.
Kampagner forsøgte at stjæle loginoplysninger, betalingsoplysninger og autentificeringstokens
Mange beskeder rettet mod Microsoft 365-kunder brugte phishing med enhedskoder til at skaffe autentificeringstokens.
Samtidig identificerede tidligere efterforskninger e-mailkampagner fra CoGUI, der konsekvent var rettet mod Japan fra slutningen af 2024. Disse beskeder udgav sig for at komme fra velkendte japanske virksomheder og internationale organisationer for at stjæle loginoplysninger og betalingsinformation.
Yderligere analyser afslørede mere end 17.000 domæner forbundet med tre phishing-værktøjer: CoGUI, CoAceV og CoFish_Ws.
Resultaterne demonstrerede operatørernes evne til at købe, vedligeholde og udskifte phishing-infrastruktur i betydelig skala.
Global indsats mod phishing blokerer konti og domæner
En retskendelse fra Southern District of Florida gav tilladelse til at gribe ind over for domæner, der understøttede operationen.
I henhold til kendelsen beslaglagde og omdirigerede Microsoft og Health-ISAC domæner forbundet med YAM Store, CoGUI og Iron Man.
Microsoft deaktiverede også mere end 20.000 konti forbundet med YAM Store. Derudover blokerede virksomheden 100.000 domæner, der blev brugt til identitetsefterligning og svindel.
Den bredere efterforskning involverede japanske myndigheder, JC3, cybersikkerhedsforskere og infrastrukturudbydere samt specialister i blockchain-analyse.
Yderligere fjernelse af infrastruktur er stadig i gang, efterhånden som efterforskerne handler på baggrund af deres resultater. Selvom indsatsen forstyrrede væsentlige ressourcer, der understøttede netværket, fastslår det ikke, at al relateret phishing-aktivitet er ophørt.
0 svar til “Global indsats mod phishing rammer netværk bag over 1 milliard ondsindede beskeder”