Microsoft rozbija trzy zestawy phishingowe powiązane z ponad miliardem wiadomości oszustw

securitybeztabu.pl 21 godzin temu

Wprowadzenie do problemu / definicja

Microsoft, we współpracy z partnerami branżowymi oraz organizacjami wymiany informacji o zagrożeniach, przeprowadził skoordynowaną operację wymierzoną w trzy zestawy phishingowe: CoGUI, Haozi oraz Iron Man System. Sprawa pokazuje, jak bardzo dojrzał model phishing-as-a-service, w którym cyberprzestępcy nie muszą samodzielnie budować całego zaplecza technicznego, ale kupują gotowe narzędzia, szablony oraz dostęp do przejętych środowisk chmurowych.

To istotna zmiana jakościowa w krajobrazie zagrożeń. Współczesny phishing nie opiera się już wyłącznie na prostych fałszywych stronach logowania, ale działa jako złożony ekosystem usług, automatyzacji i pośredników, którzy wspólnie tworzą łańcuch dostaw cyberprzestępczości.

W skrócie

Ujawnione informacje wskazują, iż od stycznia 2026 roku wspomniane zestawy phishingowe miały ułatwić wysłanie ponad miliarda wiadomości phishingowych do przeszło 75 tysięcy organizacji w ponad 150 krajach. Infrastruktura była wykorzystywana do podszywania się pod instytucje publiczne, marki finansowe, operatorów logistycznych i dostawców usług konsumenckich.

Celem kampanii była kradzież danych uwierzytelniających i informacji płatniczych.
W działaniach wykorzystano również przejęte lub oszukańczo utworzone środowiska chmurowe.
Operacja objęła nie tylko same zestawy phishingowe, ale też zaplecze handlowe i techniczne związane z rynkiem YAM Store.

Kontekst / historia

Śledztwo rozpoczęło się pod koniec 2025 roku po wykryciu złośliwych kampanii wymierzonych w użytkowników i organizacje w Japonii. W toku dalszej analizy ustalono, iż nie chodzi o pojedynczy incydent ani o odosobnione kampanie, ale o rozbudowany, chińskojęzyczny ekosystem przestępczy działający w modelu usługowym.

Microsoft przypisał podziemny marketplace do klastra oznaczonego jako Storm-3119, natomiast deweloperów trzech zestawów phishingowych do grupy Storm-2990. Zbieżności w kodzie, funkcjach oraz infrastrukturze sugerują wspólne pochodzenie części komponentów, ponowne wykorzystanie rozwiązań lub ścisłą współpracę pomiędzy twórcami narzędzi.

Ważnym elementem tej działalności była sprzedaż nie tylko samych zestawów, ale także dostępu do przejętych środowisk Microsoft i Google. Taki model znacząco obniża próg wejścia dla mniej zaawansowanych operatorów, którzy mogą gwałtownie uruchamiać własne kampanie bez budowania infrastruktury od podstaw.

Wcześniejsze badania branżowe wskazywały, iż CoGUI było aktywnie wykorzystywane przeciwko organizacjom i markom w Japonii już od października 2024 roku. W 2026 roku coraz większe znaczenie zyskał jednak Iron Man System, który wyrósł na jedną z bardziej rozwiniętych i dojrzałych platform phishingowych.

Analiza techniczna

Model działania tego ekosystemu wykraczał poza klasyczny hosting stron wyłudzających dane. Kluczowym elementem była automatyzacja rekonesansu. Operatorzy wyszukiwali wygasłe nazwy organizacji, profilowali podmioty korzystające z usług chmurowych i identyfikowali tenanty Microsoft 365, korzystając przy tym z infrastruktury anonimizującej.

Po przejęciu użytecznego środowiska napastnicy utrzymywali kontrolę dzięki panelom administracyjnym typu app-only, implementowanym między innymi w PHP, Java/Spring oraz Cloudflare Workers. Następnie nadawali sobie szerokie uprawnienia do Microsoft Graph i API SharePoint, co pozwalało wykorzystywać przejęty tenant jako wiarygodnie wyglądające zaplecze do hostowania treści phishingowych oraz magazynowania danych.

Z perspektywy obrony to szczególnie niebezpieczny model, ponieważ nadużywa zaufanej infrastruktury chmurowej. Treści serwowane z legalnie wyglądających środowisk mogą skuteczniej omijać mechanizmy filtrujące oparte na reputacji domen czy usług.

YAM Store pełnił funkcję komercyjnej warstwy całego ekosystemu. Oferował nie tylko zestawy phishingowe, ale również konta, licencje, przestrzeń dyskową oraz infrastrukturę pochodzącą z przejętych albo oszukańczo założonych środowisk. Sprzedaż i obsługa klientów były zautomatyzowane, a płatności realizowano m.in. z użyciem kryptowalut.

CoGUI i powiązane warianty były znane z masowych kampanii wymierzonych przede wszystkim w japońskie marki konsumenckie i finansowe. Iron Man System reprezentował natomiast wyższy poziom dojrzałości operacyjnej. Platforma zawierała tysiące gotowych szablonów phishingowych dopasowanych do organizacji z wielu państw oraz mechanizmy ograniczające dostęp do treści wyłącznie dla ofiar z określonych lokalizacji.

Zestawy wykorzystywały również techniki utrudniające analizę i detekcję:

fałszywe ekrany CAPTCHA,
listy blokowania i dopuszczania adresów IP,
powiadomienia przez Telegram o aktywności ofiary,
przechwytywanie danych w czasie rzeczywistym za pośrednictwem WebSocketów,
dynamiczne sterowanie dalszym przebiegiem oszustwa.

W praktyce oznaczało to możliwość natychmiastowego reagowania na zachowanie ofiary, żądania kolejnych informacji, prezentowania dodatkowych formularzy płatniczych lub przekierowania do strony końcowej mającej uwiarygodnić cały proces.

Istotnym ustaleniem było także to, iż Iron Man System wymagał regularnej komunikacji z serwerem licencyjnym dostawcy. Taka centralna zależność oznacza, iż skuteczne zakłócenie infrastruktury autoryzacyjnej może ograniczyć działanie wielu aktywnych wdrożeń jednocześnie, a nie tylko pojedynczej wykrytej instancji.

Konsekwencje / ryzyko

Skala operacji pokazuje, iż nowoczesny phishing działa dziś jak pełnoprawny rynek usług cyberprzestępczych. Ryzyko nie dotyczy wyłącznie pojedynczych użytkowników, którzy klikają w złośliwe wiadomości. Równie istotnym problemem jest kompromitacja środowisk chmurowych, które następnie stają się częścią infrastruktury ataku.

Dla organizacji oznacza to kilka równoległych zagrożeń. Kradzież danych uwierzytelniających może prowadzić do przejęcia kont, naruszenia poczty, oszustw finansowych i dalszego ruchu lateralnego. Wykorzystanie legalnych tenantów oraz usług takich jak SharePoint czy OneDrive zwiększa z kolei szansę obejścia klasycznych filtrów bezpieczeństwa. Dodatkowo modularność i komercjalizacja zestawów phishingowych pozwalają choćby mniej doświadczonym przestępcom gwałtownie prowadzić kampanie transgraniczne na dużą skalę.

Szczególnie narażone pozostają sektory ochrony zdrowia, finansów, dystrybucji hurtowej i IT, jednak charakter szablonowy tych platform sprawia, iż praktycznie każda branża może zostać łatwo dodana do katalogu obsługiwanych przynęt. Skutki biznesowe obejmują utratę danych, fraud płatniczy, koszty reagowania, szkody reputacyjne oraz potencjalne konsekwencje regulacyjne.

Rekomendacje

Organizacje powinny traktować phishing-as-a-service jako zagrożenie infrastrukturalne, a nie wyłącznie problem świadomości użytkowników. Skuteczna obrona wymaga podejścia wielowarstwowego, obejmującego tożsamość, aplikacje chmurowe, usługi SaaS i kanały komunikacji.

Wdrażać phishing-resistant MFA wszędzie tam, gdzie jest to możliwe.
Ograniczać nadmierne uprawnienia aplikacji i regularnie przeglądać zgody OAuth.
Monitorować nietypowe nadania uprawnień do Microsoft Graph oraz zmiany w konfiguracji SharePoint i OneDrive.
Rozszerzać detekcję na legalne usługi chmurowe nadużywane do hostowania przynęt.
Łączyć telemetrię pocztową, logi SaaS, zdarzenia tożsamościowe i ruch do nietypowych ścieżek w usługach współpracy.
Stosować DMARC, SPF i DKIM oraz rozwijać analizę treści pod kątem phishingu wielokanałowego i smishingu.
Przygotować playbooki dla incydentów obejmujących kompromitację tenantów i nadużycie tokenów sesyjnych.

Zespoły SOC oraz IR powinny ćwiczyć scenariusze wykraczające poza prostą kradzież hasła. Chodzi między innymi o przejęcie sesji, nadużycie tokenów, wyłudzenie danych płatniczych oraz wykorzystanie komunikatorów do wspierania operatorów ataku w czasie rzeczywistym.

Podsumowanie

Rozbicie CoGUI, Haozi i Iron Man System to istotny przykład działań wymierzonych nie tylko w pojedyncze kampanie, ale w całe ekonomiczne i techniczne zaplecze phishingu. Ujawniona skala, poziom automatyzacji i wykorzystywanie legalnych środowisk chmurowych potwierdzają, iż phishing-as-a-service przekształcił się w wyspecjalizowany rynek usług cyberprzestępczych.

Dla obrońców najważniejszy wniosek jest jasny: skuteczna ochrona wymaga jednoczesnego zabezpieczenia tożsamości, aplikacji chmurowych, infrastruktury SaaS oraz kanałów komunikacji. Współczesny phishing nie jest już pojedynczą techniką ataku, ale zintegrowanym ekosystemem operacyjnym.