Weltweite Aktion gegen Phishing legt Netzwerk hinter mehr als 1 Milliarde schädlicher Nachrichten lahm

Eine weltweite Aktion gegen Phishing hat ein Cybercrime-Netzwerk gestört, das mit mehr als einer Milliarde schädlicher Nachrichten in Verbindung steht. Die Operation richtete sich über eine Infrastruktur, die groß angelegten Betrug unterstützte, gegen mehr als 75.000 Organisationen in 150 Ländern.

Seit Anfang 2026 hat das Netzwerk mehr als 750 Millionen schädliche E-Mail- und SMS-Nachrichten an Microsoft-Kunden verschickt. Ermittler brachten die Aktivitäten mit einem Untergrundmarktplatz und mehreren Phishing-Plattformen in Verbindung.

Ermittlungen decken Marktplatz zur Unterstützung von Phishing-Operationen auf

Microsoft und die nationale Polizeibehörde Japans begannen mit Ermittlungen, nachdem sie eine Welle betrügerischer Aktivitäten festgestellt hatten. Ihre Arbeit deckte einen chinesischsprachigen Marktplatz auf, der Infrastruktur und Werkzeuge für Phishing-Kampagnen anbot.

Im Mittelpunkt stand YAM Store, den Ermittler unter der Bezeichnung Storm-3119 verfolgen. Der Marktplatz stellte kompromittierte oder betrügerisch erworbene Microsoft- und Google-Umgebungen sowie Konten, Lizenzen und Speicherplatz bereit.

Anschließend brachten die Ermittler dessen Dienste mit den Phishing-Kits CoGUI, Haozi und Iron Man System in Verbindung. Diese Plattformen werden unter der gemeinsamen Tracking-Bezeichnung Storm-2990 zusammengefasst.

Gemeinsam stellten der Marktplatz und die Phishing-Werkzeuge Kriminellen die Ressourcen zur Verfügung, die sie für Kampagnen in zahlreichen Ländern benötigten.

Abgelaufene Domains und gefälschte Organisationen halfen bei der Beschaffung von Konten

Die Betreiber von YAM Store nutzten verschiedene Methoden, um Cloud-Infrastruktur zu beschaffen.

Beispielsweise kauften sie abgelaufene Domains, die echten Organisationen gehört hatten. Anschließend bauten sie die Websites neu auf, um diese inaktiven Organisationen wieder als aktiv erscheinen zu lassen.

Mithilfe dieser wiederbelebten Identitäten beschafften sich die Betreiber Cloud-Konten. Alternativ nutzten sie KI-Werkzeuge, um fiktive Organisationen mit entsprechenden Website-Inhalten und Dokumentationen zu erstellen.

In kompromittierten Microsoft-Umgebungen ermöglichten gestohlene Anmeldedaten für Anwendungen die Verwaltung von Konten und Lizenzen. Außerdem missbrauchten die Betreiber Speicherplatz in SharePoint und OneDrive, um Kampagnenmaterial zu hosten.

Dadurch konnte die Operation Phishing-Aktivitäten über legitime Cloud-Dienste unterstützen.

Phishing-Kits boten Tausende Vorlagen zur Identitätsnachahmung

Die Phishing-Plattformen stellten bekannte Köder bereit, darunter unbezahlte Mautgebühren, Verkehrsstrafen, Lieferprobleme und Aufforderungen zur Kontoverifizierung.

Ihre Funktionalität ging jedoch über überzeugende Nachrichten hinaus. Sie nutzten außerdem geografische Beschränkungen, gefälschte CAPTCHA-Seiten und IP-Filterung, um Sicherheitsanalysen zu erschweren.

CoGUI konzentrierte sich zunächst auf Opfer in den USA und Japan. Bis Mitte 2026 hatte Iron Man die Plattform jedoch überholt.

Iron Man bot mehr als 2.300 Vorlagen, die Banken, Einzelhändler, Lieferunternehmen und Regierungsbehörden nachahmten. Dieser umfangreiche Katalog half den Betreibern, Kampagnen an unterschiedliche Märkte anzupassen.

Forscher untersuchten außerdem ein offengelegtes Code- und Container-Register, das 911 veröffentlichte Builds und acht registrierte Konten enthielt.

Unabhängig davon identifizierten sie ein Produktauswahlsystem, das mit der Erfassung von Zahlungskartendaten verbunden war. Es listete 2.360 Phishing-Pakete für 130 Länder und Gebiete auf, wobei Aktualisierungen bis zum 1. Oktober 2026 fortgesetzt wurden.

Kampagnen zielten auf Anmeldedaten, Zahlungsinformationen und Authentifizierungstoken ab

Viele Nachrichten, die sich gegen Microsoft 365-Kunden richteten, nutzten Device-Code-Phishing, um Authentifizierungstoken zu erlangen.

Unterdessen hatten frühere Ermittlungen E-Mail-Kampagnen von CoGUI identifiziert, die seit Ende 2024 kontinuierlich auf Japan abzielten. Diese Nachrichten gaben sich als bekannte japanische Unternehmen und internationale Organisationen aus, um Anmeldedaten und Zahlungsinformationen zu stehlen.

Weitere Analysen deckten mehr als 17.000 Domains auf, die mit drei Kits verbunden waren: CoGUI, CoAceV und CoFish_Ws.

Die Ergebnisse verdeutlichten die Fähigkeit der Betreiber, Phishing-Infrastruktur in erheblichem Umfang zu kaufen, zu warten und auszutauschen.

Weltweite Aktion gegen Phishing blockiert Konten und Domains

Ein Gerichtsbeschluss des Southern District of Florida genehmigte Maßnahmen gegen Domains, die die Operation unterstützten.

Auf Grundlage dieses Beschlusses beschlagnahmten Microsoft und Health-ISAC Domains, die mit YAM Store, CoGUI und Iron Man verbunden waren, und leiteten sie um.

Microsoft deaktivierte außerdem mehr als 20.000 Konten, die mit YAM Store in Verbindung standen. Zusätzlich blockierte das Unternehmen 100.000 Domains, die für Identitätsnachahmung und Betrug genutzt wurden.

An den umfassenderen Ermittlungen waren japanische Behörden, JC3, Cybersicherheitsforscher und Infrastrukturanbieter sowie Spezialisten für Blockchain-Analysen beteiligt.

Die Entfernung weiterer Infrastruktur dauert an, während die Ermittler auf Grundlage ihrer Erkenntnisse handeln. Obwohl die Maßnahmen wichtige Ressourcen des Netzwerks beeinträchtigten, belegen sie nicht, dass sämtliche damit verbundenen Phishing-Aktivitäten eingestellt wurden.