W ramach szeroko zakrojonej operacji, Microsoft oraz koalicja firm takich jak Cloudflare, Oracle czy Proofpoint, doprowadziła do rozbicia trzech zestawów phishingowych: CoGUI, Haozi oraz Iron Man System. Grupy te, powiązane z chińskojęzycznym ekosystemem przestępczym, odpowiadały za wysłanie ponad miliarda wiadomości phishingowych (e-mail i SMS) do 75 tysięcy organizacji w ponad 150 krajach.
Ataki opierały się na modelu Phishing-as-a-Service (PhaaS), gdzie przestępcy kupowali gotowe szablony podszywające się pod marki finansowe, rządowe i logistyczne. Kluczowym elementem infrastruktury był nielegalny marketplace YAM Store (identyfikowany jako Storm-3119), który oferował m.in. przejęte konta Microsoft 365 i Google oraz przestrzeń w SharePoint i OneDrive do hostowania złośliwych treści.
Analiza techniczna wykazała, że napastnicy wykorzystywali automatyzację do identyfikacji wygasłych domen i kont chmurowych, a także stosowali zaawansowane techniki unikania wykrycia, takie jak fałszywe bramki CAPTCHA czy filtrowanie ruchu na podstawie adresów IP. Zestawy te pozwalały na monitorowanie kradzieży danych w czasie rzeczywistym za pomocą protokołu WebSocket.
Działania Microsoftu i partnerów miały na celu przerwanie łańcucha dostaw dla cyberprzestępców, uderzając w infrastrukturę i narzędzia, które umożliwiały skalowanie ataków na niespotykaną dotąd skalę.
