Microsoft heeft samen met Health-ISAC een grootschalige actie uitgevoerd tegen een Chinese cybercrime-marktplaats die zich richtte op phishing en misleidende berichten. De aanpak werd mogelijk gemaakt via een bevel van de Amerikaanse rechtbank in Florida, waarna Microsoft domeinen en accounts kon uitschakelen en kwaadaardige infrastructuur kon omleiden.
Wat deze zaak extra urgent maakt, is de schaal: Microsoft meldt dat de betrokken diensten sinds januari 2026 meer dan 1 miljard kwaadaardige berichten hebben verstuurd. Een groot deel daarvan was gericht op organisaties—en een aanzienlijk aantal op Microsoft-klanten.
Wat Microsoft precies heeft gedisrupt
In de kern draait de operatie om drie onderdelen van de ondergrondse dienstverlening: YAM Store, CoGUI en Iron Man. Deze componenten werkten samen als een soort keten: de marktplaats leverde toegang en infrastructuur, terwijl phishingkits en tools vervolgens werden gebruikt om slachtoffers te benaderen.
Volgens Microsoft werden domeinen die aan YAM Store, CoGUI en Iron Man waren gekoppeld inactief gemaakt of omgeleid. Daarnaast heeft Microsoft meer dan 20.000 accounts uitgeschakeld die met YAM Store te maken hadden. Ook blokkeerde de organisatie meer dan 100.000 domeinen die werden ingezet voor impersonatie en fraude.
De juridische basis: waarom een rechtbank ertoe doet
Een belangrijk verschil met ‘standalone’ security alerts is dat Microsoft hier via een civiele procedure kon optreden. De actie kwam voort uit een bevel van de US District Court for the Southern District of Florida. Health-ISAC sloot zich aan bij die rechtszaak, mede omdat dreigingsactoren de infrastructuur structureel inzetten om ziekenhuizen en andere zorgorganisaties te targeten.
Voor organisaties betekent dit: het gaat niet alleen om technische detectie, maar ook om het afbreken van de machinerie achter de aanvallen. De combinatie van juridische stappen en technische mitigatie is precies waar een phishingmarkt disrupt effect sorteert.
Meer dan 1 miljard berichten en miljoenen opbrengsten
Microsoft stelt dat de drie diensten samen in de periode vanaf januari 2026 meer dan 1 miljard schadelijke berichten hebben verspreid. De campagnes richtten zich op consumenten én op meer dan 75.000 organisaties in meer dan 150 landen.
Van die aanvallen werden er volgens Microsoft meer dan 750 miljoen specifiek gericht op Microsoft-klanten. Dat illustreert hoe waardevol Microsoft-ecosystemen zijn voor criminelen die hun phishingaanpak willen opschalen.
Microsoft meldt ook dat de operators tientallen miljoenen dollars hebben verdiend. Die financiële prikkel helpt verklaren waarom deze markten blijven doorlopen en waarom verstoringen nodig zijn op meerdere punten in de keten.
YAM Store als ‘access broker’ voor Microsoft-omgevingen
Microsoft beschrijft YAM Store als een zogenoemde access broker. Concreet werkt dit als een tussenlaag: de dienst kaapt Microsoft 365 en Azure for Education-omgevingen en verkoopt vervolgens gestolen accounts, licenties en opslag als een service aan afnemers.
Die afnemers gebruiken de geleverde toegang vervolgens voor downstreamactiviteiten, waaronder phishingkits die door Microsoft worden gevolgd onder namen zoals Storm-2990.
Microsoft koppelt YAM Store aan de dreigingsactor-trackingnaam Storm-3119. Volgens Microsoft was de infrastructuur die in deze dienst werd aangeboden opgebouwd uit omgevingen die waren gecompromitteerd of frauduleus verkregen via cloud- en provideromgevingen (zoals Microsoft en Google).
CoGUI en Iron Man: phishingkits voor meerdere landen
De phishingkits die Microsoft aanwijst zijn CoGUI, Haozi en Iron Man. Microsoft geeft aan dat deze kits door Chinese-sprekende dreigingsactoren zijn ontwikkeld, met “hoge mate van vertrouwen”. De redenering: overeenkomsten in infrastructuur en overlap in activiteiten duiden op gedeelde ontwikkeling, code-hergebruik of nauwe samenwerking.
CoGUI werd vooral veel ingezet tegen slachtoffers in Japan en de VS, maar Microsoft ziet dat de kit rond halverwege 2026 steeds vaker werd vervangen door Iron Man. Iron Man werd volgens Microsoft in juni 2026 geadverteerd via YAM Store.
Templates en interactieve credential harvesting
Iron Man biedt volgens Microsoft meer dan 2.335 templates die zijn afgestemd op meer dan 139 landen. De VS heeft volgens de melding het hoogste aantal templates. Veel Amerikaanse lokmiddelen zijn gericht op vervoer en overheidsinstanties, zoals meldingen rond verkeers- en parkeertarieven.
Daarnaast gaat het niet alleen om statische webpagina’s. De kits functioneren als interactieve platforms voor het verzamelen van inloggegevens. Operators kunnen slachtoffers in realtime volgen en vervolgens prompts sturen voor one-time verificatiecodes—een aanpak die specifiek inspeelt op processen rond accountbeveiliging.
Waarom de licentie-koppeling verdedigers kan helpen
Resecurity kocht een licentie, draaide de kit in een geïsoleerde labopstelling en rapporteerde aanvullende observaties. Zo telden zij ongeveer 2.360 templates voor 130 landen, waarbij de nieuwste toevoeging op 1 oktober werd geregistreerd.
Cruciaal voor de verdedigingskant: Resecurity vond dat de kit regelmatig contact nodig heeft met een licentie- en vendorserver om goed te functioneren. Dat betekent dat verstoring van de autorisatiehost het functioneren van actieve deployments kan afbreken of degraderen.
Met andere woorden: de afhankelijkheid van externe vendor-infrastructuur maakt de operatie kwetsbaar zodra die sleutelcomponent wordt geraakt. Dat is een patroon dat organisaties kunnen meenemen bij het beoordelen van dreigingen met duidelijke ‘control planes’.
Wat dit betekent voor je phishing- en identity-aanpak
Deze zaak laat zien dat phishing steeds vaker een ecosysteem is: er is toegang nodig (accounts/licenties), er is infrastructuur nodig (domeinen en hosting) en er zijn kits nodig (templates en interactieve panelen). Als je maar één schakel afdekt, kunnen aanvallen toch doorgaan via alternatieve routes.
Daarom is een brede aanpak belangrijk, met focus op identity en verificatie. Juist daarom past de link met Zero Trust-beleid en identity-strategieën: als verificatie en toegang strakker en beter gemonitord zijn, is de impact van gestolen accounts en misbruik van codes kleiner. Zie ook: Zero Trust en Identity: strategieën en AI.
Daarnaast is het nuttig om je organisatie te oefenen met de realiteit van moderne social engineering. Eerder is er op de site al aandacht besteed aan drills die zich richten op verificatie onder druk, zoals de deepfake readiness drill. Hoewel deepfakes niet hetzelfde zijn als phishingkits, helpt de onderliggende gedachte—trainen op echte beslismomenten—wel degelijk.
Praktische lessen uit de disrupt-actie
- Let op schaalindicatoren: als berichten in de orde van miljarden verstuurd worden, moet je detectie en response daarop voorbereid zijn.
- Versterk identity-stromen: aanvallers richten zich op account- en verificatieroutes, inclusief one-time codes.
- Kijk naar infrastructuur: domeinblokkades en accountuitschakeling tonen dat verstoring op het ‘leveringsniveau’ werkt.
- Werk samen waar mogelijk: de betrokkenheid van meerdere security- en law-enforcement partijen laat zien dat informatie en actie gezamenlijk versnellen.
Conclusie
De operatie rond YAM Store, CoGUI en Iron Man is een duidelijke demonstratie van hoe een phishingmarkt disrupt impact kan hebben: Microsoft en Health-ISAC konden domeinen, accounts en kwaadaardige infrastructuur uitschakelen, terwijl de campagne-intensiteit—gemeten in meer dan 1 miljard berichten—op grote schaal werd geraakt. Tegelijkertijd onderstreept de zaak dat phishingkits en access brokers onderdeel zijn van één keten: verdediging vraagt dus om aandacht voor zowel identity, verificatie als de infrastructuur erachter.
Wil je je eigen weerbaarheid verbeteren? Gebruik dit soort inzichten om je incidentrespons, security awareness en identity-controles te toetsen aan de manier waarop aanvallers daadwerkelijk opereren.
Bron: https://www.securityweek.com/microsoft-disrupts-chinese-language-phishing-market-behind-1b-messages/
3 reacties