Подразделение Digital Crimes Unit компании Microsoft и Health-ISAC объявили 14 октября 2026 года о ликвидации трех компонентов китайскоязычного киберпреступного маркетплейса: YAM Store, CoGUI и Iron Man.
По данным Microsoft, эти три сервиса в совокупности позволили отправить более 1 миллиарда вредоносных сообщений, нацеленных на более чем 75 000 организаций по всему миру с января 2026 года. Более 750 миллионов из этих сообщений были направлены непосредственно клиентам Microsoft. Кампании затронули потребителей, медицинские учреждения, финансовые организации и другие компании в более чем 150 странах, что принесло операторам десятки миллионов долларов.
Три основных вывода
- Подразделение Digital Crimes Unit компании Microsoft и Health-ISAC ликвидировали YAM Store, CoGUI и Iron Man — три сервиса, предоставлявших преступникам поддельные аккаунты, фишинговые сайты и шаблоны для имитации
- По данным Microsoft, эти сервисы обеспечили рассылку более 1 миллиарда вредоносных сообщений, направленных на более чем 75 000 организаций в более чем 150 странах с января 2026 года
- Меры направлены на поставщиков мошеннических инструментов, а не только на сами мошеннические сообщения
Начало расследования
Национальное полицейское агентство Японии (NPA) в конце 2025 года предупредило Microsoft о вредоносных кампаниях сообщений, нацеленных на жителей Японии, что стало началом расследования. Изначально следователи ожидали обнаружить отдельные кампании. Однако отслеживание этих операций выявило китайскоязычный маркетплейс, где преступники могли покупать аккаунты, услуги хостинга и инструменты для создания фейковых сайтов и онлайн-личностей.
Японский центр по борьбе с киберпреступностью (JC3), опираясь на разведданные более 130 организаций-участников, помог подтвердить, что, казалось бы, отдельные инциденты на самом деле являлись частью единой схемы мошенничества, нацеленной на японские компании, финансовые учреждения и потребителей.
Resecurity, Cloudflare, Oracle, Proofpoint и TRM Labs предоставили разведданные и содействие в расследовании. Microsoft также сотрудничала с Секретной службой США и международными правоохранительными органами. Эксперты связали аккаунты, сайты и инфраструктуру, которые на первый взгляд казались не связанными между собой, выявив стоящий за ними масштабный маркетплейс.
Разведданные TRM сыграли ключевую роль в выявлении и заморозке активов, связанных с группой.
Цепочка поставок мошенничества
Три сервиса обеспечивали разные звенья мошеннической цепочки поставок, что отражает более широкую тенденцию: современное мошенничество все чаще опирается на бизнесы и сервисы, которые упрощают преступникам доступ к большему числу жертв. YAM Store продавал аккаунты, а CoGUI и Iron Man предоставляли готовые сайты и шаблоны для имитации.
Операции YAM Store
YAM Store работал как интернет-магазин. Клиенты могли просматривать товары, сравнивать цены и приобретать поддельные аккаунты Microsoft и Google, а также другие готовые инструменты для мошенничества, включая кражу учетных данных. Контролируемые покупки, проведённые Microsoft, подтвердили работу магазина.
Операторы покупали интернет-домены, срок действия которых истёк у легитимных организаций — зачастую у некоммерческих и образовательных учреждений. Они восстанавливали сайты, чтобы те выглядели действующими, а затем использовали их для получения аккаунтов Microsoft 365 для дальнейшей продажи.
Предложения CoGUI
CoGUI предоставлял преступникам готовые сайты и сообщения для имитации компаний, финансовых организаций и государственных учреждений. Преступники могли запускать страницы, предназначенные для кражи паролей, платёжной информации и других персональных данных, вместо самостоятельного создания мошеннических сайтов. CoGUI был одним из самых популярных сервисов в экосистеме, особенно против жертв в Японии и США. К середине 2026 года всё чаще его место занимал новый сервис Iron Man.
Шаблоны Iron Man
Iron Man предоставлял преступникам доступ к тысячам готовых шаблонов для имитации авторитетных организаций. Благодаря тестовым покупкам и сотрудничеству с Resecurity следователи выявили более 2 300 шаблонов, имитирующих банки, розничные компании, медицинских провайдеров, транспортные ведомства, полицейские департаменты и государственные учреждения в более чем 150 странах.
Некоторые шаблоны использовали видимость официальных полномочий для давления на жертв с целью получения оплаты или раскрытия конфиденциальной информации. Наличие организации в шаблоне не означает, что её системы были скомпрометированы.
Правоохранительные меры
Microsoft и Health-ISAC изъяли и перенаправили домены, входившие в инфраструктуру YAM Store, CoGUI и Iron Man, на основании решения Окружного суда США по Южному округу Флориды. По состоянию на 14 октября 2026 года Microsoft отключила более 20 000 аккаунтов, связанных с YAM Store, и продолжает демонтировать сеть, удаляя инфраструктуру, размещённую на своих сервисах, и блокируя более 100 000 доменов, используемых для имитации и мошенничества.
YAM Store, CoGUI и Iron Man — лишь часть более крупной преступной сети. Их ликвидация затрудняет преступникам получение нужных аккаунтов, инструментов и инфраструктуры. TRM Labs предоставила разведданные и содействие в расследовании; именно информация TRM была ключевой для выявления и заморозки активов группы. Японское NPA, JC3, Resecurity, Cloudflare, Oracle, Proofpoint и TRM Labs предоставили разведданные и содействие, а Microsoft также сотрудничала с Секретной службой США и международными правоохранительными органами.
Источник: www.trmlabs.com