Масштабы киберпреступной сети и расследование
Совместное расследование, инициированное технологическим гигантом и Национальным полицейским агентством Японии, выкрыло крупную теневую экосистему. В поле зрения исследователей попал китайскоязычный маркетплейс под названием YAM Store, также известный как Storm-3119, и связанные с ним специализированные инструменты. С начала 2026 года эта инфраструктура помогла разослать свыше миллиарда вредоносных писем и SMS-сообщений, затронув более 75 000 организаций в полутораста странах.
Основной удар пришелся на клиентов Microsoft — на них было направлено более 750 миллионов сообщений. Подобные атаки нередко сопровождаются угрозами или фейковыми уведомлениями, а пользователи все чаще сталкиваются с цифровым мошенничеством, подобно тому, как Google Messages получит ИИ-функции защиты от мошенников для борьбы с подобными угрозами на мобильных устройствах.
Инструменты и методы злоумышленников
На черном рынке YAM Store киберпреступники приобретали скомпрометированные учетные записи Google и Microsoft, а также различные цифровые лицензии и хранилища. Организаторы схемы скупали истекшие домены реально существовавших компаний, восстанавливали их веб-сайты для придания видимости легитимности или генерировали фальшивые организации с помощью алгоритмов искусственного интеллекта. Полученные цифровые активы использовались для рассылок.
В арсенале группировки числились фишинговые комплекты CoGUI, Haozi и масштабная платформа Iron Man System (Storm-2990). Последняя содержала свыше 2300 готовых шаблонов для имитации банковских учреждений, ритейлеров, курьерских служб и государственных ведомств. Для рассылок злоумышленники активно злоупотребляли облачными сервисами SharePoint и OneDrive, а также применяли технологию device-code phishing для кражи токенов аутентификации.
Ответные меры и блокировка инфраструктуры
По ордеру суда Южного округа Флориды специалисты Microsoft в партнерстве с некоммерческой организацией Health-ISAC провели операцию по изъятию и перенаправлению доменов, обеспечивавших работу YAM Store, CoGUI и Iron Man. Вдобавок компания деактивировала свыше 20 000 учетных записей, задействованных в схеме, и заблокировала порядка 100 000 веб-доменов, применявшихся мошенниками для обмана пользователей и маскировки под официальные сервисы.
В международной операции также участвовали эксперты по кибербезопасности из компаний Resecurity, Proofpoint, Cloudflare, Oracle, TRM Labs и японский центр JC3. Анализ инфраструктуры Iron Man показал наличие сотен публичных сборок и специализированных подсистем для перехвата платежных данных банковских карт.
Что это значит для вас
Ликвидация инфраструктуры YAM Store и связанных с ней фишинговых наборов снизит объем массовых рассылок о несуществующих штрафах, посылках или проблемах с банковскими счетами. Тем не менее, полностью исключать риск подобных атак нельзя. Всегда проверяйте адреса отправителей писем, критически относитесь к сообщениям о срочной верификации аккаунтов и изучите руководство о том, как распознать фишинговое письмо от банка или сервиса, чтобы не потерять доступ к личным данным.
