En global aksjon mot phishing har rammet et nettverk av cyberkriminelle knyttet til mer enn én milliard skadelige meldinger. Operasjonen rettet seg mot over 75 000 organisasjoner i 150 land gjennom infrastruktur som støttet svindel i stor skala.
Siden begynnelsen av 2026 har nettverket rettet mer enn 750 millioner skadelige e-post- og SMS-meldinger mot Microsofts kunder. Etterforskere knyttet aktiviteten til en underjordisk markedsplass og flere phishing-plattformer.
Etterforskning avdekker markedsplass som leverer ressurser til phishing-operasjoner
Microsoft og Japans nasjonale politimyndighet startet en etterforskning etter å ha identifisert en bølge av svindelaktivitet. Arbeidet deres avdekket en kinesisk-språklig markedsplass som tilbød infrastruktur og verktøy for phishing-kampanjer.
I sentrum sto YAM Store, som etterforskere sporer under betegnelsen Storm-3119. Markedsplassen leverte kompromitterte eller svindelaktig anskaffede Microsoft- og Google-miljøer, sammen med kontoer, lisenser og lagringsplass.
Etterforskerne knyttet deretter tjenestene til phishing-verktøyene CoGUI, Haozi og Iron Man System. Disse plattformene samles under sporingsnavnet Storm-2990.
Til sammen ga markedsplassen og phishing-verktøyene kriminelle ressursene de trengte for å gjennomføre kampanjer i en rekke land.
Utløpte domener og falske organisasjoner bidro til å skaffe kontoer
Operatørene bak YAM Store brukte flere metoder for å skaffe skyinfrastruktur.
For eksempel kjøpte de utløpte domener som tilhørte ekte organisasjoner. Deretter bygget de opp nettstedene på nytt for å få disse inaktive organisasjonene til å fremstå som operative igjen.
Ved hjelp av disse gjenopplivede identitetene skaffet operatørene seg skykontoer. Alternativt brukte de AI-verktøy til å opprette fiktive organisasjoner med tilhørende nettstedinnhold og dokumentasjon.
I kompromitterte Microsoft-miljøer gjorde stjålne påloggingsopplysninger for applikasjoner det mulig å administrere kontoer og lisenser. De misbrukte også lagringsplass i SharePoint og OneDrive til å lagre kampanjemateriale.
Dermed kunne operasjonen støtte phishing-aktivitet gjennom legitime skytjenester.
Phishing-verktøy tilbød tusenvis av maler for etterligning
Phishing-plattformene tilbød velkjente lokkemidler, inkludert ubetalte bompenger, trafikkbøter, leveringsproblemer og forespørsler om kontoverifisering.
Funksjonaliteten deres strakte seg imidlertid lenger enn overbevisende meldinger. De brukte også geografiske begrensninger, falske CAPTCHA-sider og IP-filtrering for å vanskeliggjøre sikkerhetsanalyser.
CoGUI fokuserte opprinnelig på ofre i USA og Japan. Innen midten av 2026 hadde imidlertid Iron Man gått forbi plattformen.
Iron Man tilbød mer enn 2 300 maler som utga seg for å representere banker, detaljhandlere, leveringsselskaper og offentlige etater. Denne omfattende katalogen hjalp operatørene med å tilpasse kampanjer til ulike markeder.
Forskere undersøkte også et eksponert kode- og containerregister som inneholdt 911 publiserte bygg og åtte registrerte kontoer.
Separat identifiserte de et produktvalgssystem knyttet til innsamling av betalingskortopplysninger. Systemet listet opp 2 360 phishing-pakker fordelt på 130 land og områder, med oppdateringer som fortsatte frem til 1. oktober 2026.
Kampanjer forsøkte å stjele påloggingsopplysninger, betalingsinformasjon og autentiseringstokener
Mange meldinger rettet mot Microsoft 365-kunder brukte phishing med enhetskoder for å skaffe autentiseringstokener.
Samtidig identifiserte tidligere etterforskninger e-postkampanjer fra CoGUI som konsekvent rettet seg mot Japan fra slutten av 2024. Disse meldingene utga seg for å komme fra kjente japanske virksomheter og internasjonale organisasjoner for å stjele påloggingsopplysninger og betalingsinformasjon.
Ytterligere analyser avdekket mer enn 17 000 domener knyttet til tre phishing-verktøy: CoGUI, CoAceV og CoFish_Ws.
Funnene viste operatørenes evne til å kjøpe, vedlikeholde og erstatte phishing-infrastruktur i betydelig skala.
Global aksjon mot phishing blokkerer kontoer og domener
En rettskjennelse fra Southern District of Florida ga tillatelse til tiltak mot domener som støttet operasjonen.
I henhold til kjennelsen beslagla og omdirigerte Microsoft og Health-ISAC domener knyttet til YAM Store, CoGUI og Iron Man.
Microsoft deaktiverte også mer enn 20 000 kontoer knyttet til YAM Store. I tillegg blokkerte selskapet 100 000 domener som ble brukt til identitetsetterligning og svindel.
Den bredere etterforskningen involverte japanske myndigheter, JC3, cybersikkerhetsforskere og infrastrukturleverandører, sammen med spesialister på blokkjedeanalyse.
Ytterligere fjerning av infrastruktur pågår fortsatt mens etterforskerne handler på grunnlag av funnene sine. Selv om aksjonen rammet viktige ressurser som støttet nettverket, fastslår den ikke at all relatert phishing-aktivitet har opphørt.
0 responses to “Global aksjon mot phishing rammer nettverk bak over 1 milliard skadelige meldinger”