Microsoft desmantela un mercado de phishing en chino tras más de mil millones de mensajes

Microsoft y Health-ISAC incautaron y redirigieron dominios utilizados por YAM Store, CoGUI e Iron Man, tres componentes de un mercado de ciberdelincuencia en chino que suministraba cuentas, kits de phishing e infraestructura. La operación se ejecutó al amparo de una orden del Tribunal de Distrito de Estados Unidos para el Distrito Sur de Florida.

Según Microsoft, los tres servicios se utilizaron para enviar más de mil millones de mensajes maliciosos desde enero de 2026. Las campañas afectaron a consumidores y a más de 75.000 organizaciones en más de 150 países; más de 750 millones de mensajes estaban dirigidos contra clientes de Microsoft. Los operadores habrían obtenido decenas de millones de dólares.

Microsoft ha deshabilitado más de 20.000 cuentas vinculadas a YAM Store y bloquea más de 100.000 dominios empleados para suplantación y fraude. Health-ISAC se incorporó a la demanda civil después de que los actores utilizaran con frecuencia esta infraestructura contra hospitales y organizaciones sanitarias.

Microsoft identifica YAM Store como Storm-3119 y lo describe como un intermediario que secuestraba o utilizaba entornos obtenidos de forma fraudulenta en proveedores como Microsoft y Google para revender cuentas, licencias y almacenamiento. El servicio también distribuía los kits de phishing Storm-2990, conocidos como CoGUI, Haozi e Iron Man.

La compañía atribuye estos kits, con alta confianza, a actores de habla china. CoGUI se empleó principalmente contra víctimas de Japón y Estados Unidos, pero desde mediados de 2026 fue sustituido progresivamente por Iron Man, promocionado por YAM Store desde junio. Microsoft indica que Iron Man ofrece más de 2.335 plantillas adaptadas a más de 139 países.

Los kits operaban como plataformas interactivas de robo de credenciales, permitiendo a los operadores monitorizar a las víctimas en tiempo real y solicitar códigos de verificación de un solo uso. Resecurity comprobó en un laboratorio aislado que Iron Man necesita comunicarse periódicamente con el servidor de licencias del proveedor, una dependencia que podría facilitar la interrupción de despliegues activos.

La investigación comenzó a finales de 2025, después de que la Agencia Nacional de Policía de Japón alertara a Microsoft sobre campañas de mensajería maliciosa contra personas en el país. Resecurity, Cloudflare, Oracle, Proofpoint y TRM Labs colaboraron posteriormente con Microsoft y con organismos policiales estadounidenses e internacionales.

Fuente: SecurityWeek.