Microsoft и Health-ISAC перехватили домены трёх мошеннических сервисов
3 мин
35
По решению суда Южного округа Флориды Microsoft и Health-ISAC взяли под контроль домены YAM Store, CoGUI и Iron Man и перенаправили их трафик. Ранее эти сервисы продавали учётные записи и инструменты для мошенничества.
Расследование началось в конце 2025 года. Национальное полицейское агентство Японии (NPA) сообщило Microsoft о рассылках жителям страны. Под предлогом задержки посылок, проблем с банковским счётом, долгов за проезд и необходимости уплаты налогов мошенники выманивали деньги и личные данные.
По данным Microsoft, с января 2026 года с помощью трёх сервисов преступники отправили более миллиарда вредоносных сообщений. Целями стали свыше 75 тысяч организаций. Более 750 миллионов сообщений предназначались клиентам Microsoft. Атаки затронули частных лиц, медицинские учреждения, банки и другие компании более чем в 150 странах. Организаторы заработали десятки миллионов долларов.
Поиск источников рассылок привёл на площадку на китайском языке, где торговали учётными записями, хостингом и средствами для создания поддельных сайтов. Специалисты получили доступ к CoGUI. Он продавал готовые страницы и сообщения от имени компаний и ведомств. Среди примеров были поддельные формы входа и обновления платёжных данных японского Amazon.
Связать отдельные атаки помог Японский центр противодействия киберпреступности (JC3). Он сопоставил данные своей сети из более чем 130 организаций. Затем специалисты вышли на YAM Store. Контрольные закупки Microsoft подтвердили продажу учётных записей Microsoft и Google, полученных обманным путём.
Для получения части записей преступники покупали домены с истёкшей регистрацией. Часто прежними владельцами были некоммерческие и учебные организации с особыми условиями на ПО. Злоумышленники воссоздавали сайты и от имени прежних владельцев оформляли учётные записи Microsoft 365 для продажи.
Ресурсы YAM Store часто использовали вместе с CoGU,I особенно в атаках на Японию и США. К середине 2026 года CoGUI всё чаще заменяли сервисом Iron Man. Через контрольные закупки и сотрудничество с международной компанией Resecurity специалисты нашли в нём более 2300 шаблонов для атак в более чем 150 странах.
Шаблоны копировали сайты и сообщения банков, магазинов, медицинских учреждений, полиции и других ведомств. Были подделки от имени авиакомпаний, операторов связи и служб доставки. Через письма, SMS и веб-страницы жертв заставляли платить или раскрывать личные данные. Наличие шаблонов не означает взлом систем этих организаций, отметили в Microsoft.
Microsoft уже заблокировала более 20 тысяч учётных записей, связанных с YAM Store. Компания продолжает удалять ресурсы сети со своих платформ и заблокировала уже более 100 тысяч доменов, использованных для мошенничества. Три сервиса составляют лишь часть выявленного рынка услуг для преступников.
