En global insats mot nätfiske har slagit ut ett cyberkriminellt nätverk kopplat till mer än en miljard skadliga meddelanden. Operationen riktade sig mot över 75 000 organisationer i 150 länder genom infrastruktur som möjliggjorde bedrägerier i stor skala.
Sedan början av 2026 har nätverket riktat mer än 750 miljoner skadliga e-post- och SMS-meddelanden mot Microsofts kunder. Utredare kopplade aktiviteten till en underjordisk marknadsplats och flera nätfiskeplattformar.
Utredning avslöjar marknadsplats som förser nätfiskeoperationer med resurser
Microsoft och Japans nationella polismyndighet inledde en utredning efter att ha identifierat en våg av bedräglig aktivitet. Deras arbete avslöjade en kinesiskspråkig marknadsplats som erbjöd infrastruktur och verktyg för nätfiskekampanjer.
I centrum stod YAM Store, som utredare spårar under beteckningen Storm-3119. Marknadsplatsen tillhandahöll komprometterade eller bedrägligt förvärvade Microsoft- och Google-miljöer, tillsammans med konton, licenser och lagringsutrymme.
Utredarna kopplade därefter dess tjänster till nätfiskeverktygen CoGUI, Haozi och Iron Man System. Dessa plattformar samlas under spårningsnamnet Storm-2990.
Tillsammans gav marknadsplatsen och nätfiskeverktygen kriminella de resurser som behövdes för att genomföra kampanjer i ett stort antal länder.
Utgångna domäner och falska organisationer hjälpte till att skaffa konton
Operatörerna bakom YAM Store använde flera metoder för att skaffa molninfrastruktur.
Exempelvis köpte de utgångna domäner som tillhörde verkliga organisationer. Därefter återskapade de webbplatser för att få dessa inaktiva organisationer att framstå som aktiva igen.
Med hjälp av dessa återupplivade identiteter skaffade operatörerna molnkonton. Alternativt använde de AI-verktyg för att skapa fiktiva organisationer med tillhörande webbplatsinnehåll och dokumentation.
I komprometterade Microsoft-miljöer gjorde stulna inloggningsuppgifter för applikationer det möjligt att hantera konton och licenser. De missbrukade också lagringsutrymme i SharePoint och OneDrive för att lagra kampanjmaterial.
Därmed kunde operationen stödja nätfiskeaktivitet genom legitima molntjänster.
Nätfiskeverktyg erbjöd tusentals mallar för identitetsförfalskning
Nätfiskeplattformarna tillhandahöll välbekanta lockbeten, inklusive obetalda vägavgifter, trafikböter, leveransproblem och begäranden om kontoverifiering.
Deras funktionalitet sträckte sig dock längre än övertygande meddelanden. De använde också geografiska begränsningar, falska CAPTCHA-sidor och IP-filtrering för att försvåra säkerhetsanalyser.
CoGUI fokuserade inledningsvis på offer i USA och Japan. Vid mitten av 2026 hade dock Iron Man gått om plattformen.
Iron Man erbjöd mer än 2 300 mallar som utgav sig för att representera banker, återförsäljare, leveransföretag och myndigheter. Denna omfattande katalog hjälpte operatörerna att anpassa kampanjer till olika marknader.
Forskare undersökte också ett exponerat kod- och containerregister som innehöll 911 publicerade byggen och åtta registrerade konton.
Separat identifierade de ett produktvalssystem kopplat till insamling av betalkortsuppgifter. Det listade 2 360 nätfiskepaket som omfattade 130 länder och områden, med uppdateringar som fortsatte fram till den 1 oktober 2026.
Kampanjer försökte stjäla inloggningsuppgifter, betalningsinformation och autentiseringstoken
Många meddelanden riktade mot Microsoft 365-kunder använde nätfiske med enhetskoder för att komma över autentiseringstoken.
Samtidigt identifierade tidigare utredningar e-postkampanjer från CoGUI som konsekvent riktade sig mot Japan från slutet av 2024. Dessa meddelanden utgav sig för att komma från välkända japanska företag och internationella organisationer för att stjäla inloggningsuppgifter och betalningsinformation.
Ytterligare analyser avslöjade mer än 17 000 domäner kopplade till tre nätfiskeverktyg: CoGUI, CoAceV och CoFish_Ws.
Resultaten visade operatörernas förmåga att köpa, underhålla och ersätta nätfiskeinfrastruktur i betydande skala.
Global insats mot nätfiske blockerar konton och domäner
Ett domstolsbeslut från Southern District of Florida godkände åtgärder mot domäner som stödde operationen.
Med stöd av beslutet beslagtog och omdirigerade Microsoft och Health-ISAC domäner kopplade till YAM Store, CoGUI och Iron Man.
Microsoft inaktiverade också mer än 20 000 konton kopplade till YAM Store. Dessutom blockerade företaget 100 000 domäner som användes för identitetsförfalskning och bedrägerier.
Den bredare utredningen involverade japanska myndigheter, JC3, cybersäkerhetsforskare och infrastrukturleverantörer, tillsammans med specialister på blockkedjeanalys.
Ytterligare nedmontering av infrastrukturen pågår fortfarande medan utredarna agerar utifrån sina resultat. Även om insatsen slog ut viktiga resurser som stödde nätverket innebär det inte att all relaterad nätfiskeaktivitet har upphört.
0 svar till ”Global insats mot nätfiske slår ut nätverk bakom över 1 miljard skadliga meddelanden”