Microsoft и Health-ISAC предприемат действия срещу три свързани компонента на киберпрестъпна екосистема – YAM Store, CoGUI и Iron Man. Според Microsoft от януари 2026 г. услугите са подпомогнали разпространението на над 1 милиард злонамерени съобщения към повече от 75 000 организации в над 150 държави. Повече от 750 милиона от съобщенията са били насочени към клиенти на Microsoft.

Операцията цели не само отделни фишинг кампании, а инфраструктурата, която позволява на престъпниците да извършват измами, да крадат идентификационни данни и да се представят за легитимни организации.

Киберпрестъпност като услуга

Разследването, проведено със съдействието на японската Национална полицейска агенция и Japan Cybercrime Control Center (JC3), както и на Resecurity, Cloudflare, Oracle, Proofpoint и TRM Labs, разкрива китайскоезичен пазар за готови инструменти и услуги за измами.

YAM Store функционира като онлайн магазин за измамни акаунти и инструменти за кражба на идентификационни данни. Клиентите му са можели да избират и купуват готови акаунти на Microsoft и Google, както и други ресурси за фишинг кампании.

CoGUI предоставя готови уебсайтове и съобщения, които имитират компании, финансови институции и държавни организации. Така престъпниците могат да използват подготвени фишинг страници, вместо сами да изграждат инфраструктура за кражба на пароли, платежни данни и лична информация.

Към средата на 2026 г. CoGUI все по-често е бил изместван от Iron Man – услуга с хиляди готови шаблони за имитация на доверени организации и марки.

Над 2300 шаблона за имитация на организации

При контролирани покупки и сътрудничество с Resecurity разследващите са идентифицирали над 2300 шаблона на Iron Man, имитиращи банки, търговци, здравни организации, транспортни оператори, телекомуникационни компании, полицейски структури и държавни институции.

Шаблоните позволяват бързо създаване на съдържание за електронна поща, текстови съобщения и уебсайтове, адаптирано към конкретна марка, държава или сектор. Част от тях са предназначени за измами от името на държавни органи, при които жертвите се притискат да извършат плащане или да предоставят чувствителни данни.

Разследването установява и друга схема: престъпници придобиват изтекли интернет домейни на легитимни организации, особено в образованието и нестопанския сектор, възстановяват сайтовете им и ги използват за измамно получаване на акаунти в Microsoft 365. След това акаунтите могат да бъдат предлагани на престъпния пазар.

Съдебна намеса и блокиране на инфраструктурата

Със съдебно разпореждане от Окръжния съд на САЩ за Южния окръг на Флорида Microsoft и Health-ISAC са иззели и пренасочили домейни, използвани от трите услуги.

Microsoft съобщава, че е деактивирала над 20 000 акаунта, свързани с YAM Store, и продължава да премахва инфраструктура, хоствана в нейните услуги. Компанията блокира и над 100 000 домейна, използвани за имитация на организации и измами.

Съществена роля в разследването има обменът на информация между частния сектор и правоохранителните органи. Японската Национална полицейска агенция е подпомогнала разкриването на дейността, а JC3 е свързал отделни инциденти в Япония с по-широк модел на измами срещу компании, финансови институции и потребители. Health-ISAC е допринесла с информация за въздействието върху здравния сектор.

От фишинг към финансова измама

Microsoft описва и последващи атаки, използващи фишинг инструменти, свързани със Storm-2990. В наблюдаваните случаи престъпниците разчитат на спешни съобщения и злонамерени връзки, които отвеждат жертвите към контролирана от нападателите инфраструктура.

Освен стандартната кражба на пароли се използва и фишинг чрез код за устройство (device code phishing). При него жертвата е подведена да се удостовери пред легитимно приложение, което може да позволи на нападателя да получи токени за удостоверяване и достъп до компрометирания акаунт.

Крайната цел често е финансова измама – от злоупотреба с платежни данни до покупки на скъпи стоки и неразрешени транзакции. Примамките могат да бъдат привидно рутинни съобщения за неплатена пътна такса или пътно нарушение.

Основният риск за организациите е, че готовата престъпна инфраструктура намалява времето, знанията и ресурсите, необходими за провеждане на мащабни измами. Защитата не може да се ограничава до блокиране на отделни домейни: необходим е многослоен подход с многофакторна автентикация, защита на процесите за удостоверяване, контрол върху достъпа до акаунти и своевременно споделяне на индикатори за компрометиране.