Microsoft Disrupts 3 Phishing Kits Linked to Over 1 Billion Scam Messages
The Hacker News · 14 oct, 19:09
Microsoft, junto con Health-ISAC, el Centro de Ciberdelincuencia de Japón y empresas como Cloudflare y Proofpoint, ha desarticulado tres kits de phishing (CoGUI, Haozi e Iron Man System) vinculados a más de mil millones de mensajes fraudulentos dirigidos a más de 75 mil organizaciones en todo el mundo desde enero de 2026. Los operadores, agrupados bajo los identificadores Storm-2990 (desarrolladores) y Storm-3119 (mercado ilícito YAM Store), han generado decenas de millones de dólares robando credenciales e información financiera de sectores sanitario, financiero, logístico y tecnológico en más de 150 países.
La operación, autorizada por tribunal, fue resultado de una investigación iniciada en octubre de 2025 tras detectar campañas de mensajería maliciosa dirigidas a Japón. El ecosistema criminal vinculado a la lengua china opera como una red interconectada de operadores de kits de phishing, desarrolladores y un mercado ilícito (YAM Store) que comercializa acceso a entornos comprometidos o fraudulentos de Microsoft y Google para ataques masivos. Los tres kits comparten capacidades e infraestructura, sugiriendo orígenes de desarrollo compartido o colaboración cercana.
Los kits ofrecen plantillas que suplanten marcas legítimas de gobiernos, finanzas y logística, y emplean técnicas avanzadas de evasión: puertas CAPTCHA falsas, listas de bloqueo/autorización basadas en IP, alertas por Telegram, y captura de datos mediante WebSocket para monitoreo en tiempo real. Iron Man System contiene más de 2.335 plantillas de phishing personalizadas para 139 países. Los operadores aceptaban pagos en criptomonedas (USDT, Ethereum) y utilizaban automatización para identificar entornos expirados, acceder a tenants de Microsoft 365 y abusar de SharePoint y OneDrive como almacenamiento masivo reventa.
Puntos clave
- Más de mil millones de mensajes de phishing y SMS enviados desde enero de 2026 a 75 mil organizaciones
- Iron Man System contenía 2.335 plantillas dirigidas a 139 países con capacidad de restricción por país
- Los kits dependían de contacto regular con servidores de licencia del proveedor, ofreciendo un vector de defensa
- YAM Store distribuyó acceso a entornos comprometidos de Microsoft y Google mediante automatización y Tor
- Aceptaban pagos en USDT y Ethereum para dificultar rastreo de actividades ilícitas