Microsoft hat ein globales Cyberkriminellennetzwerk lahmgelegt, das seit Januar 2026 mit mehr als 1 Milliarde schädlicher Nachrichten in Verbindung steht, die sich weltweit gegen Verbraucher und mehr als 75.000 Organisationen richteten.
In einer Ankündigung vom 14. Okt., erklärte Microsoft, gemeinsam mit Health-ISAC gearbeitet zu haben, um Domains zu beschlagnahmen und umzuleiten, die drei miteinander verbundenen kriminellen Diensten zugutekamen: YAM Store, CoGUI und Iron Man. Die Dienste ermöglichten es Kriminellen, vertrauenswürdige Organisationen zu imitieren, Zugangsdaten zu stehlen und Phishing-Kampagnen in mehr als 150 Ländern durchzuführen.
Allein auf Microsoft-Kunden zielten mehr als 750 Millionen Nachrichten. Die Zerschlagung zeigt, wie kommerzialisierte Phishing-Infrastruktur es Kriminellen ermöglicht, Angriffe in großem Maßstab zu starten, wodurch für Unternehmen auch nach der Störung einzelner Kampagnen anhaltende Risiken entstehen.
Microsoft beschlagnahmt Domains zur Unterstützung einer globalen Phishing-Operation
Microsoft und die japanische Nationale Polizeibehörde untersuchten eine Welle betrügerischer Messaging-Kampagnen gegen Verbraucher und Unternehmen in Japan und stießen dabei auf ein weitaus größeres internationales Cyberkriminellennetzwerk.
Ihre Untersuchung führte zu einem chinesischsprachigen Marktplatz, auf dem Kriminelle kompromittierte Konten und Cloud-Infrastruktur kaufen konnten sowie Phishing-Dienste mit fertig erstellten betrügerischen Websites und Vorlagen zur Identitätsimitation angeboten wurden.
Laut Microsoft Threat Intelligence umfasste das Ökosystem mehrere miteinander verbundene Dienste:
- YAM Store: Ein unterirdischer Marktplatz, der Zugang zu kompromittierten oder betrügerisch erlangten Microsoft- und Google-Cloud-Umgebungen verkaufte, darunter Microsoft-365-Konten, Lizenzen und Speicherplatz zur Unterstützung von Phishing-Kampagnen.
- CoGUI: Ein Phishing-Kit mit betrügerischen Websites und Nachrichten, die legitime Organisationen imitierten.
- Iron Man: Ein Phishing-Dienst mit Tausenden Vorlagen zur Imitation von Banken, Einzelhändlern, Behörden und anderen vertrauenswürdigen Einrichtungen.
Microsoft führt YAM Store unter der Bezeichnung Storm-3119. Einen mit CoGUI, Haozi und Iron Man verbundenen Aktivitätscluster führt das Unternehmen separat als Storm-2990. Haozi war ein weiteres Phishing-Kit, das über YAM Store vermarktet wurde, doch die Ankündigung der Störung vom 14. Okt. konzentrierte sich auf YAM Store, CoGUI und Iron Man.
Das Unternehmen erklärte, Ähnlichkeiten zwischen den drei Phishing-Kits deuteten auf gemeinsame Entwicklungsursprünge, die Wiederverwendung von Code oder eine enge Zusammenarbeit ihrer Entwickler hin.
Microsoft erklärte, die Ermittler hätten mehr als 2.300 Iron-Man-Phishing-Vorlagen identifiziert, die Banken, Einzelhändler, Gesundheitsdienstleister, Behörden und andere Organisationen in mehr als 150 Ländern imitierten.
Die Aktivitäten richteten sich gegen das Gesundheitswesen, Finanzdienstleistungen, die Informationstechnologie und andere Branchen. Dass eine Organisation von einer Phishing-Vorlage imitiert wird, bedeutet jedoch nicht zwangsläufig, dass ihre Systeme kompromittiert wurden.
Auf Grundlage einer Anordnung des US-Bezirksgerichts für den südlichen Bezirk von Florida beschlagnahmten Microsoft und Health-ISAC Domains, die mit der Infrastruktur zur Unterstützung von YAM Store, CoGUI und Iron Man verbunden waren, und leiteten sie um.
Mit Stand vom 14. Okt. erklärte Microsoft, mehr als 20.000 mit YAM Store verbundene Konten deaktiviert zu haben. Außerdem entferne das Unternehmen weiterhin Infrastruktur aus seinen Diensten und blockiere mehr als 100.000 Domains, die zur Identitätsimitation und für Betrug genutzt wurden.
Die Operation richtete sich gegen Anbieter von Phishing-Infrastruktur und nicht gegen einzelne Betrugskampagnen. Obwohl Microsoft wichtige Bestandteile des Netzwerks störte, beseitigt die Maßnahme das größere Phishing-Ökosystem nicht.
Was die Zerschlagung des Phishing-Netzwerks für die Sicherheit von Unternehmen bedeutet
Das Ausmaß der Operation verdeutlicht, wie sich Phishing zu einem kommerziellen Dienst entwickelt hat, über den Angreifer Infrastruktur kaufen können, anstatt eigene Werkzeuge zu entwickeln.
YAM Store bot Zugang zu Microsoft- und Google-Umgebungen, wodurch schädliche Aktivitäten glaubwürdiger erscheinen konnten. Einige Konten waren mit abgelaufenen Organisationsdomains verbunden, während andere zu betrügerischen Organisationen gehörten, die eigens zur Erlangung von Cloud-Diensten gegründet worden waren.
Diese Techniken erschweren die Erkennung, da schädliche Nachrichten scheinbar aus legitimer Infrastruktur stammen können. Das Problem geht über herkömmliches E-Mail-Phishing hinaus. Die Untersuchung von Microsoft dokumentierte Angriffe über E-Mail und Textnachrichten sowie den Diebstahl von Zugangsdaten; der technische Bericht befasste sich außerdem mit dem Missbrauch von Cloud-Authentifizierung und -Infrastruktur.
Eine frühere Berichterstattung von eSecurityPlanet untersuchte, wie Microsoft-365-Passkey-Phishing-Angriffe zu unbefugtem Zugriff auf Unternehmensdaten in der Cloud führen können.
Andere Kampagnen haben Google-Dienste missbraucht, um Phishing-Weiterleitungen zu verschleiern. Unabhängig davon berichtete eSecurityPlanet, dass schädliche Microsoft-365-Anmeldungen in legitime Aktivitäten eingebettet werden können und dadurch kompromittierte Konten schwerer zu erkennen sind.
Obwohl es sich um getrennte Vorfälle handelt, zeigen sie, warum das alleinige Blockieren verdächtiger Domains nicht ausreicht.
Der Threat-Intelligence-Bericht von Microsoft empfiehlt, den Identitätsschutz zu stärken, die E-Mail-Sicherheit zu verbessern und Nutzer über Phishing-Techniken aufzuklären. Für Sicherheitsteams in Unternehmen ergeben sich daraus drei Prioritäten:
- Identitätssicherheit stärken: Phishing-resistente Multifaktor-Authentifizierung bereitstellen, wo sie unterstützt wird, Zugriffe nach dem Prinzip der geringsten Rechte durchsetzen und Richtlinien für bedingten Zugriff zum Schutz sensibler Konten einsetzen.
- Phishing-Erkennung verbessern: Die Einstellungen von Microsoft Defender für Office 365 und Exchange Online Protection überprüfen, verdächtige Nachrichten untersuchen und unerwartete Anfragen über vertrauenswürdige Kommunikationskanäle verifizieren.
- Auf kompromittierte Konten vorbereitet sein: Ungewöhnliche Anmeldungen und Änderungen an der Authentifizierung überwachen, kompromittierte Sitzungen widerrufen und nicht autorisierte Cloud-Aktivitäten untersuchen.
Organisationen sollten außerdem Phishing-Kampagnen überwachen, die ihre Marken imitieren, insbesondere wenn Kriminelle betrügerische Domains oder Websites nutzen, um Kunden ins Visier zu nehmen.
Der unmittelbare Nutzen der Maßnahme von Microsoft besteht in der Störung der Infrastruktur, die groß angelegten Betrug unterstützt. Sie beseitigt jedoch nicht das umfassendere Phishing-Ökosystem, und Organisationen sollten sich weiterhin über andere kriminelle Dienste auf ähnliche Angriffe vorbereiten.
Für die Verteidiger in Unternehmen lautet die übergeordnete Lehre, dass Phishing-Kampagnen zunehmend auf miteinander verbundenen Anbietern von Konten, Hosting und Angriffswerkzeugen beruhen. Die Störung dieser Anbieter kann die Kosten der Cyberkriminalität erhöhen, doch Organisationen benötigen weiterhin mehrschichtige Abwehrmaßnahmen, die schädliche Aktivitäten auch dann erkennen können, wenn sie vertrauenswürdige Infrastruktur nutzen.
Weitere Nachrichten zur Cybersicherheit: Wenn Sie mehr über die Bemühungen von Microsoft zur Zerschlagung von Phishing-as-a-Service-Operationen erfahren möchten, lesen Sie, wie das Unternehmen das RaccoonO365-Phishing-Netzwerk lahmlegte, das über einen globalen kriminellen Dienst auf Microsoft-365-Zugangsdaten abzielte.