Een wereldwijd cybercriminaliteitsnetwerk dat meer dan een miljard phishingberichten verstuurde, is door internationale opsporingsdiensten ontmanteld.
Een omvangrijk cybercriminaliteitsecosysteem dat meer dan een miljard kwaadaardige berichten verstuurde naar ruim 75.000 organisaties in 150 landen, is door internationale opsporingsinstanties en partners ontmanteld. Sinds begin dit jaar werden meer dan 750 miljoen van deze berichten gericht op Microsoft-klanten via e-mail en sms.
Na een onderzoek gestart door Microsoft en de Japanse Nationale Politie (NPA) naar een golf van frauduleuze activiteiten, werd een uitgebreid Chineestalig cybercrime-marktplaats ontdekt met tools en diensten voor phishingcampagnes. De onderzoekers traceerden de kwaadaardige activiteiten naar YAM Store (Storm-3119), een ondergrondse infrastructuurmarkt, en koppelden deze aan de phishingkits CoGUI, Haozi en Iron Man, gezamenlijk bekend als Storm-2990.
Volgens een rapport van Microsoft verkocht YAM Store gecompromitteerde of frauduleus verkregen Microsoft- en Google-omgevingen, accounts, licenties en opslagruimte. De beheerders kochten verlopen domeinen van echte organisaties, bouwden websites na om inactieve entiteiten actief te laten lijken en gebruikten deze identiteiten om cloudaccounts te verkrijgen. Daarnaast werden neporganisaties gegenereerd met content en documentatie, waarbij AI-tools werden ingezet.
In de gecompromitteerde Microsoft-omgevingen werden gestolen applicatiegegevens gebruikt om accounts en licenties te beheren, en werd SharePoint en OneDrive opslag misbruikt voor hosting. De phishingkits boden een breed scala aan lokmiddelen, zoals onbetaalde tol, verkeersboetes, leveringsproblemen en verzoeken tot accountverificatie. Ze ondersteunden geofencing, nep-CAPTCHA’s, IP-filtering en andere technieken om beveiligingsonderzoek te bemoeilijken.
Microsoft meldt dat CoGUI slachtoffers in de Verenigde Staten en Japan richtte, maar Iron Man, met meer dan 2.300 sjablonen die banken, retailers, bezorgdiensten en overheidsinstanties imiteerden, deze kit medio 2026 verdrong. Cybersecuritybedrijf Resecurity analyseerde de infrastructuur van Iron Man en ontdekte onder andere een openbaar toegankelijke Git/container registry met 911 builds en acht geregistreerde accounts. Ook werd een productselectiesysteem geïdentificeerd dat 2.360 phishingpakketten voor 130 landen beheerde, met updates tot oktober 2026.
De phishingplatformen verstuurden meer dan 750 miljoen berichten gericht op Microsoft 365-klanten, waarbij vaak device-code phishing werd toegepast om authenticatietokens te verkrijgen. Eind 2024 identificeerde Proofpoint e-mailcampagnes die consequent Japan als doelwit hadden en gekoppeld waren aan de CoGUI-kit. Deze activiteiten waren gericht op het stelen van inloggegevens en betalingsinformatie door zich voor te doen als bekende Japanse bedrijven of internationale organisaties.
Verder onderzoek toonde aan dat meer dan 17.000 domeinen werden gebruikt door drie phishingkits, CoGUI, CoAceV en CoFish_Ws. De operatie werd omschreven als dynamisch en voldoende kapitaalkrachtig om phishinginfrastructuur op grote schaal aan te schaffen en te beheren.
Op bevel van de Amerikaanse rechtbank in het zuidelijke district van Florida namen Microsoft en Health-ISAC de controle over en herleidden zij domeinen die YAM Store, CoGUI en Iron Man ondersteunden. Microsoft deactiveerde meer dan 20.000 accounts die aan YAM Store waren gekoppeld en blokkeerde 100.000 domeinen die door de cybercriminelen werden gebruikt voor imitatie en fraude. Op dit moment wordt op basis van de onderzoeksresultaten, waaraan ook Japanse autoriteiten, JC3, Resecurity en Cloudflare deelnemen, verdere infrastructuur verwijderd.
