Microsoft совместно с Health-ISAC, Центром по борьбе с киберпреступностью Японии (JC3) и коалицией частных компаний, таких как Resecurity, Cloudflare, Oracle, Proofpoint и TRM Labs, объявили о пресечении деятельности трех фишинговых комплектов: CoGUI (также известных как NX или FA), Haozi (также известных как Phoenix) и Iron Man System. «С января 2026 года злоумышленники, стоящие за этими комплектами, были ответственны за рассылку более одного миллиарда фишинговых электронных писем и SMS-сообщений более чем 75 тысячам организаций по всему миру», — заявили в Microsoft Threat Intelligence и Microsoft Digital Crimes Unit. Операция, санкционированная судом, стала результатом расследования, начатого Microsoft в конце 2025 года после получения уведомлений о вредоносных рассылках, нацеленных на жителей Японии. Китайскоязычная экосистема киберпреступности была описана как взаимосвязанная сеть операторов фишинговых комплектов, разработчиков и подпольного рынка, а также брокера начального доступа (IAB) под кодовым названием YAM Store, который продает инструменты и инфраструктуру, используя скомпрометированные или мошеннически полученные среды Microsoft или Google для крупномасштабных фишинговых атак. Microsoft отслеживает подпольный рынок как Storm-3119, а разработчиков всех трех фишинговых комплектов — как Storm-2990. Данные свидетельствуют о том, что три комплекта имеют общие возможности и инфраструктуру, что указывает на общие истоки разработки, повторное использование кода или тесное сотрудничество между их китайскоязычными разработчиками. Как и в случае любой платформы «фишинг как услуга» (PhaaS или PaaS), конечная цель состоит в предоставлении фишинговых шаблонов, имитирующих законные бренды и организации в государственном, финансовом и логистическом секторах по всему миру, а также в обеспечении высокообъемных фишинговых операций и кражи учетных данных. «Эти сообщения использовались для таргетинга потребителей, медицинских организаций, финансовых учреждений и других предприятий в более чем 150 странах, принося десятки миллионов долларов их операторам», — заявили в Health-ISAC. Сообщается, что злоумышленники приобретали эти фишинговые комплекты, а также доступ к скомпрометированным или мошенническим облачным средам Microsoft или Google, для таргетинга организаций в секторах здравоохранения, финансовых услуг, оптовой торговли и информационных технологий (ИТ) в Японии, США, Австралии и Индии. «Эти фишинговые комплекты рекламировались через YAM Store: сначала CoGUI и Haozi, а затем Iron Man System с июня 2026 года», — заявили в Microsoft. «YAM Store и связанные с ним компании, занимающиеся фишинговыми комплектами, принимали платежи через криптовалюту, включая USDT и Ethereum, что добавляло еще один уровень для сокрытия незаконной деятельности». YAM Store также занимает центральное место в операциях, поскольку он рекламирует законную инфраструктуру, связанную с законными, истекшими или ранее использовавшимися организациями, которые другие киберпреступники могут приобрести для атаки на своих целей. Ниже приведены некоторые примечательные аспекты методов работы Storm-3119: CoGUI, как подробно описано Proofpoint в мае 2025 года, был замечен в таргетинге японских организаций путем имитации известных потребительских и финансовых брендов, таких как Amazon, PayPay, MyJCB, Apple, Orico и Rakuten. Сообщается, что комплект использовался в реальных кампаниях как минимум с октября 2024 года. Фишинговый комплект, по данным компании по корпоративной безопасности, также породил два тесно связанных варианта под названием CoAceV и CoFish_Ws. В общей сложности три комплекта использовали около 17 000 уникальных доменов. К середине 2026 года CoGUI все чаще заменялся Iron Man System, согласно данным TRM Labs. Iron Man System включает более 2 335 фишинговых шаблонов, адаптированных для имитации доверенных брендов и организаций в 139 странах, включая Австралию, Японию, Индию и США, при этом принимаются меры для ограничения доступа к фишинговому контенту только для пользователей из определенных стран. Resecurity, которая приобрела лицензию и развернула комплект в изолированной лаборатории, заявила, что он поддерживает 2 360 различных пакетов фишинговых приманок, имитирующих бренды почтовых, налоговых, банковских, телекоммуникационных и программ лояльности в 130 странах и регионах. Компания также сообщила, что обнаружила собственный сервер Git и реестра контейнеров, содержащий 911 сборку для панели администратора с октября 2025 года по июнь 2026 года. Компания по кибербезопасности также обнаружила, что для работы комплекта требуется регулярный контакт с сервером лицензирования поставщика, «зависимость, которая благоприятствует защитникам, поскольку отключение или захват хоста авторизации ухудшит каждую активную развертывание, а не только то, которое расследуется». Другие передовые методы уклонения, используемые комплектами, включают поддельные CAPTCHA-ворота для фильтрации автоматических сеансов просмотра, списки блокировки и разрешения на основе IP-адресов, а также оповещения на базе Telegram, которые уведомляют оператора комплекта, когда жертва реагирует на фишинговую приманку. Конфиденциальная информация, введенная на фишинговом сайте, захватывается с помощью WebSocket, что позволяет операторам отслеживать свой прогресс в режиме реального времени и решать, что увидят их цели дальше. Украденная финансовая информация используется нижестоящими субъектами для мошеннических покупок дорогостоящих товаров или мошеннических транзакций на законных финансовых платформах. «То, что началось с мошеннической деятельности, нацеленной на людей и организации в Японии, привело следователей к подпольной сервисной экономике, снабжающей преступников по всему миру», — сказал Стивен Масада, помощник генерального юрисконсульта и генеральный директор подразделения цифровых преступлений Microsoft. «YAM Store, CoGUI и Iron Man — лишь часть этой более крупной преступной сети, но их пресечение затрудняет получение преступниками учетных данных, инструментов и инфраструктуры, на которые они полагаются. Мошенническое сообщение — это часто единственное, что видят жертвы. Компании, стоящие за этим, делают это возможным». Это развитие событий произошло менее чем через месяц после объявления о ликвидации фишингового сервиса EvilTokens, который, по словам компании, использовал искусственный интеллект (ИИ) «на каждом этапе цепочки атак».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
