1 Milliarde Phishing-Nachrichten zerschlagen

Microsoft hat die Zerschlagung eines chinesischsprachigen Marktplatzes für Cyberkriminalität bekanntgegeben. Die Digital Crimes Unit des Konzerns beschlagnahmte gemeinsam mit dem Informationsverbund der Gesundheitsbranche Health-ISAC auf Grundlage einer gerichtlichen Anordnung in den USA Domains der Dienste YAM Store, CoGUI und Iron Man und leitete sie um. Beteiligt waren zudem Japans Nationale Polizeibehörde (NPA) sowie mehrere Sicherheitsunternehmen. Laut Berichten sperrte Microsoft mehr als 20.000 Konten und blockierte rund 100.000 Domains.

Über die drei Dienste wurden laut Microsoft seit Januar 2026 mehr als eine Milliarde schädliche E-Mails und SMS verschickt. Ziel waren Verbraucher und mehr als 75.000 Organisationen in über 150 Ländern. Mehr als 750 Millionen Nachrichten richteten sich an Kunden von Microsoft.

Handel mit gekaperten Cloud-Konten

YAM Store, von Microsoft als Storm-3119 geführt, verkaufte Infrastruktur auf Basis kompromittierter oder betrügerisch angelegter Umgebungen bei Anbietern wie Microsoft und Google.

„YAM Store fungiert als Access Broker, also als Vermittler, der Mandanten von Microsoft 365 und Azure for Education übernimmt und die gestohlenen Konten, Lizenzen und Speicher als Dienst an nachgelagerte Akteure weiterverkauft, darunter die als Storm-2990 erfassten Phishing-Kits.”
Threat-Intelligence-Team von Microsoft

Fertige Köder für einzelne Länder

Zu den über YAM Store vertriebenen Phishing-Kits gehören CoGUI, Haozi und Iron Man. Sie stammen laut Microsoft mit hoher Wahrscheinlichkeit von chinesischsprachigen Entwicklern. CoGUI lieferte fertige Websites und Nachrichten, die Marken, Behörden und Banken nachahmen, und wurde vor allem gegen Menschen in Japan eingesetzt. Iron Man bot Abonnements mit länderspezifischen Ködern etwa für Australien, Japan und Indien an. Typische Inhalte waren angeblich unbezahlte Mautgebühren, Strafzettel, Lieferprobleme und Aufforderungen zur Kontobestätigung.

Viele Kampagnen nutzten Phishing über den Gerätecode-Anmeldeprozess von Microsoft, um Authentifizierungstokens zu erbeuten. Die Plattformen ermöglichten zudem, Zugangsdaten und Einmalcodes in Echtzeit abzugreifen. Laut Microsoft verdienten die Betreiber mit dem Verkauf gestohlener Konten und Phishing-Infrastruktur mehrere Dutzend Millionen Dollar.

Ermittlungen seit 2025

Die Ermittlungen begannen, nachdem die japanische Polizei Microsoft auf Phishing-Kampagnen gegen Menschen in Japan aufmerksam gemacht hatte. Da die Phishing-Kits regelmäßig Lizenzserver der Anbieter kontaktieren mussten, ließen sich laut Berichten durch das Abschalten oder Umleiten dieser Server auch bereits laufende Installationen stören. Die Entfernung weiterer Infrastruktur dauert an. Administratoren sollten Anmeldungen per Gerätecode in ihren Microsoft-365-Umgebungen prüfen und diese Anmeldeart wo möglich blockieren.

(red)