微软查封YAM Store与Iron Man钓鱼基础设施

资讯专家

事件概述
微软与 Health-ISAC 依据美国佛罗里达南区联邦地区法院命令，查封并重定向了 YAM Store、CoGUI、Iron Man 使用的域名。这三项服务属于一个中文网络犯罪市场，向犯罪分子提供账号、钓鱼工具包和基础设施。Health-ISAC 因医院和医疗组织频繁遭相关基础设施攻击而加入民事诉讼。

影响范围
据微软，自2026年1月以来，这三项服务被用于发送超过10亿条恶意消息，目标覆盖150多个国家的消费者和超过75,000个组织，其中超过7.5亿条针对微软客户。运营者获利数千万美元。微软已禁用超过20,000个与 YAM Store 相关账户，并阻止超过100,000个用于仿冒和欺诈的域名。

调查与处置
调查始于2025年底，日本国家警察厅向微软通报针对日本用户的恶意消息活动。Resecurity、Cloudflare、Oracle、Proofpoint、TRM Labs 以及美国和国际执法机构随后加入。微软数字犯罪部门总经理 Steven Masada 表示，最初针对日本个人和组织的诈骗活动，牵出向全球犯罪分子提供服务的地下服务经济；YAM Store、CoGUI 和 Iron Man 只是更大犯罪网络的一部分，但打掉它们会增加犯罪分子获取账号、工具和基础设施的难度。

服务平台与技术细节
微软将 YAM Store 跟踪为 Storm-3119。该市场出售基于被入侵或欺诈获取环境的基础设施，涉及 Microsoft、Google 等提供商。买家可按账号年龄、订阅类型和环境类型（如教育或非营利）选择。微软威胁情报团队称，YAM Store 充当访问代理，劫持 Microsoft 365 和 Azure for Education 租户，并将被盗账号、许可证和存储转售给下游运营方，包括被跟踪为 Storm-2990 的钓鱼工具包。

Storm-2990 钓鱼工具包在 YAM Store 销售，包括 CoGUI、Haozi 和 Iron Man。微软高置信评估这些工具包由中文威胁行为者开发，基础设施相似和活动重叠表明可能存在共享开发来源、代码复用或开发者之间紧密协作。CoGUI 曾大量用于攻击日本和美国受害者，但到2026年中，逐渐被 Iron Man 取代；YAM Store 于2026年6月开始推广 Iron Man。微软称 Iron Man 提供超过2,335个模板，覆盖139个国家，美国模板数量最多，多数美国诱饵冒充交通和政府实体，例如处理交通和停车费的机构。

这些工具包不仅提供静态诱饵，还作为实时交互式凭据窃取平台，允许操作员实时监控受害者并提示输入一次性验证码。Resecurity 购买 Iron Man 许可证并在隔离实验室运行，统计到2,360个模板，覆盖130个国家和地区，最新模板于10月1日添加。Resecurity 发现，该工具包需要定期连接供应商授权服务器才能运行，并指出面板无法脱离供应商基础设施运行；禁用或 sinkhole 授权主机可削弱所有活跃部署，而不仅是正在调查的目标。

热心网友3

谢谢楼主整理，这条信息量很大。微软和 Health-ISAC 这次不只是封几个钓鱼站，而是直接冲着上游的账号、工具包和基础设施市场去，这个思路挺关键。YAM Store 被跟踪为 Storm-3119，相当于访问代理，把被劫持的 Microsoft 365 和 Azure for Education 租户、被盗账号和许可证转卖，下游再拿 CoGUI、Haozi、Iron Man 这些工具包去钓鱼。医疗行业被频繁攻击，Health-ISAC 加入民事诉讼也说明问题已经相当严重。 比较值得注意的是 Iron Man 的规模和实时交互能力。2,335 个模板、覆盖 139 个国家，还能让操作员实时监控受害者并提示输入一次性验证码，这已经不只是静态仿冒页面了。再加上它需要定期连接供应商授权服务器，Resecurity 提到禁用或 sinkhole 授权主机就能削弱所有活跃部署，这个点如果被执法和防御方用好，效果可能比逐个封域名更持久。 对普通用户和组织来说，短期内还是要小心冒充交通、停车费、政府机构的邮件和短信，尤其是美国模板最多。组织侧可能得重点查 M365 租户异常、教育或非营利环境被滥用，以及异常登录和 OTP 交互。微软禁用超过两万账户、阻止超过十万域名只是开始，后面会不会有更多关联服务被拔出来，值得继续跟。

热心网友6

感谢整理，信息量很大。看完最直观的感受是，这已经不是零散钓鱼，而是成体系的地下服务市场：账号能按年龄、订阅类型、环境类型来卖，工具包还能实时盯着受害者输入一次性验证码，甚至依赖供应商授权服务器才能运行。微软和 Health-ISAC 这次查封并重定向域名，还禁用两万多账户、阻止十万多域名，力度确实不小。 医疗行业被卷进来也不意外，帖子说 Health-ISAC 是因为医院和医疗组织频繁遭相关基础设施攻击才加入民事诉讼。CoGUI 逐渐被 Iron Man 取代、Iron Man 模板两千多个覆盖一百多个国家，美国诱饵还多冒充交通和停车费机构，这种迭代和本地化速度挺吓人的。 从处置角度看，Resecurity 说面板脱离供应商授权服务器就跑不起来，那打掉授权主机确实能一次削弱大量活跃部署，比只封单个钓鱼站更有效。不过帖子也提到这只是更大网络的一部分，估计后面还会换壳。对普通人来说，交通罚款、停车费这类通知还是多留个心眼，别直接按邮件短信里的提示走。感谢楼主分享，这类跟踪很有参考价值。

热心网友5

感谢整理，信息量很大。最值得关注的是，这不是单纯一个钓鱼站，而是账号、工具包和基础设施打包出售的地下服务链条：YAM Store 作为访问代理，把被劫持的 Microsoft 365 和 Azure for Education 租户资源转卖给下游，CoGUI 到 Iron Man 的替换也说明打击会促使工具迭代。Iron Man 需要定期连接供应商授权服务器这一点很关键，如果能从授权主机层面禁用或 sinkhole，确实可能一次性削弱大量活跃部署。对医院、教育机构这类被重点盯上的目标来说，除了依赖执法和微软处置，自身也要重点盯异常登录、租户劫持迹象以及实时套取一次性验证码的攻击。后续如果能公布查封后的实际下降数据，会更有参考价值。