El 14 de octubre de 2026, organismos policiales y socios internacionales desarticularon una infraestructura de ciberdelincuencia que facilitaba campañas de phishing contra más de 75.000 organizaciones en 150 países. Desde comienzos de año, más de 750 millones de mensajes maliciosos se dirigieron a clientes de Microsoft mediante correo electrónico y SMS.
La investigación, iniciada por Microsoft y la National Police Agency (NPA) de Japón, identificó YAM Store (Storm-3119), un mercado clandestino en chino que ofrecía entornos, cuentas, licencias y almacenamiento de Microsoft y Google comprometidos o obtenidos de forma fraudulenta. La infraestructura estaba vinculada a los kits CoGUI, Haozi e Iron Man System, agrupados bajo el seguimiento Storm-2990.
Los operadores adquirían dominios caducados de organizaciones reales, reconstruían sus sitios web y utilizaban esas identidades para obtener cuentas cloud. También creaban organizaciones falsas con contenidos y documentación generados mediante herramientas de inteligencia artificial. Los kits incluían señuelos relacionados con peajes impagados, multas de tráfico, problemas de entrega y verificaciones de cuentas, además de geovallas, CAPTCHA falsos y filtrado por dirección IP.
Iron Man ofrecía más de 2.300 plantillas que suplantaban a bancos, comercios, empresas de reparto y organismos públicos. Resecurity identificó una infraestructura expuesta con 911 compilaciones publicadas y ocho cuentas registradas, así como 2.360 paquetes de phishing dirigidos a 130 países y áreas. Las plataformas empleaban con frecuencia técnicas de phishing mediante códigos de dispositivo para obtener tokens de autenticación.
Por orden del U.S. District Court for the Southern District of Florida, Microsoft y Health-ISAC se incautaron de dominios utilizados por YAM Store, CoGUI e Iron Man y los redirigieron. Microsoft desactivó más de 20.000 cuentas asociadas a YAM Store y bloqueó 100.000 dominios empleados para suplantación y fraude. La operación también contó con la participación de las autoridades japonesas, JC3, Resecurity, Cloudflare, Oracle, Proofpoint y TRM Labs.
Fuente: BleepingComputer.
Más noticias
Explotan una vulnerabilidad RCE de Collabora para instalar puertas traseras en servidores Nextcloud
El FBI desmantela en Texas una red de portátiles vinculada a trabajadores informáticos norcoreanos
Un implante en dispositivos de Ledger se vincula al robo de al menos 86 millones de dólares en criptomonedas
Un ciberataque descongela alimentos en cientos de supermercados europeos
Ahold Delhaize desconecta sistemas tras un ciberataque
Un ataque DDoS interrumpe las webs de Canonical por segunda vez este año