Microsoft, we współpracy z Health-ISAC oraz organami ścigania, przeprowadził szeroko zakrojoną operację wymierzoną w chińskojęzyczny rynek usług cyberprzestępczych. Działania te doprowadziły do przejęcia domen wykorzystywanych przez YAM Store, CoGUI oraz Iron Man. Infrastruktura ta służyła do sprzedaży skradzionych kont, zestawów phishingowych oraz narzędzi do oszustw, generując dziesiątki milionów dolarów zysku.
Analiza wykazała, że YAM Store (identyfikowany jako Storm-3119) działał jako broker dostępu, handlując przejętymi kontami Microsoft 365 i Azure, w tym tymi z sektora edukacji i organizacji non-profit. Z kolei zestawy phishingowe, takie jak Iron Man, oferowały tysiące szablonów dostosowanych do ponad 130 krajów, często podszywając się pod instytucje rządowe lub transportowe.
Mechanizm działania zestawów phishingowych pozwalał napastnikom na monitorowanie ofiar w czasie rzeczywistym i wymuszanie kodów weryfikacyjnych (MFA). Microsoft zablokował ponad 20 000 powiązanych kont oraz ponad 100 000 domen służących do podszywania się pod inne podmioty. Operacja ta znacząco utrudni dostępowanie do infrastruktury niezbędnej do masowych kampanii phishingowych.
