Um amplo ecossistema criminoso, responsável pelo envio de mais de 1 bilhão de mensagens maliciosas a mais de 75.000 organizações em 150 países, foi desarticulado por autoridades policiais e parceiros de diversas partes do mundo.
Desde o início do ano, mais de 750 milhões de mensagens maliciosas foram enviadas por e-mail e SMS a clientes da Microsoft.
Uma investigação iniciada pela Microsoft e pela Agência Nacional de Polícia do Japão (NPA) sobre uma onda de atividades fraudulentas revelou um amplo mercado clandestino de crimes cibernéticos em língua chinesa, que oferecia ferramentas e serviços para campanhas de phishing.
Os investigadores rastrearam as atividades maliciosas até a YAM Store (Storm-3119), um mercado clandestino de infraestrutura, e estabeleceram ligações com os kits de phishing CoGUI, Haozi e Iron Man System, monitorados em conjunto sob o nome Storm-2990.
Em um relatório divulgado hoje, a Microsoft afirma que a YAM Store vendia ambientes, contas, licenças e espaço de armazenamento da Microsoft e do Google que haviam sido comprometidos ou obtidos de forma fraudulenta.
Os operadores adquiriam domínios expirados de organizações reais, reconstruíam os sites para fazer empresas inativas parecerem em funcionamento e usavam essas identidades para obter contas na nuvem.
Outro método identificado consistia em criar organizações falsas com conteúdo e documentação produzidos com ferramentas de IA.
Em ambientes Microsoft comprometidos, os operadores usavam credenciais de aplicativos roubadas para gerenciar contas e licenças. Também abusavam do SharePoint e do OneDrive para armazenar conteúdo.
Os kits de phishing ofereciam aos criminosos diversos pretextos para enganar as vítimas, como pedágios não pagos, multas de trânsito, problemas com entregas e pedidos de verificação de contas.
As ferramentas permitiam restringir os ataques por localização, exibir etapas falsas de verificação humana, filtrar endereços IP e adotar outras medidas para dificultar as análises de segurança.
Segundo a Microsoft, o CoGUI tinha como alvo vítimas nos Estados Unidos e no Japão. Em meados de 2026, porém, o Iron Man tomou seu lugar. A ferramenta oferece mais de 2.300 modelos que imitam bancos, varejistas, serviços de entrega e órgãos governamentais.
A empresa de cibersegurança Resecurity também participou da investigação e divulgou mais detalhes sobre o Iron Man após analisar a infraestrutura exposta. Entre os elementos encontrados estavam um repositório público de Git e containers, com 911 compilações publicadas e oito contas registradas.
Os pesquisadores também identificaram um subsistema de seleção de produtos ligado à captura de dados de cartões de pagamento. O catálogo reunia 2.360 pacotes de phishing voltados a 130 países e territórios, com atualizações até 1º de outubro de 2026.
Segundo a Microsoft, as plataformas de phishing enviaram mais de 750 milhões de mensagens a clientes do Microsoft 365. Muitas recorriam ao phishing por código de dispositivo para obter tokens de autenticação.
Com base em uma ordem do Tribunal Distrital dos Estados Unidos para o Distrito Sul da Flórida, a Microsoft e a Health-ISAC apreenderam e redirecionaram domínios que davam suporte à YAM Store, ao CoGUI e ao Iron Man.
A Microsoft também desativou mais de 20.000 contas associadas à YAM Store e bloqueou 100.000 domínios usados pelos criminosos para se passar por organizações e aplicar fraudes.
A remoção de outras partes da infraestrutura continua com base nas descobertas da investigação, que também envolve autoridades japonesas, JC3, Resecurity, Cloudflare, Oracle, Proofpoint e TRM Labs.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...