LONDON (IT BOLTWISE) – Microsoft und Partner haben drei Phishing-Kits mit insgesamt über 1 Milliarde gefälschten E-Mails und SMS-Routen seit Januar 2026 aus dem Betrieb gedrückt. Die Kits CoGUI, Haozi und Iron Man System waren laut Angaben in ein kriminelles Ökosystem um einen Dienst namens YAM Store eingebettet. Die Operation zielt darauf, sowohl die Templates als auch die Infrastruktur aus kompromittierten Cloud-Umgebungen zu entkoppeln. Offen bleibt dennoch, wie schnell sich die Angreifer nach der Sperrung neue Zugänge und Build-Pipelines sichern können.
Microsoft hat gemeinsam mit Health-ISAC sowie dem japanischen JC3 und mehreren Sicherheits- und Cloud-Partnern drei Phishing-Kits stillgelegt: CoGUI (auch als NX oder FA geführt), Haozi (auch Phoenix genannt) und das als Iron Man System bekannte Kit. Laut den beteiligten Akteuren gingen die Betreiber seit Januar 2026 einer Kampagnenlogik nach, die über 1 Milliarde Phishing-Nachrichten (E-Mails und SMS) an mehr als 75.000 Organisationen weltweit geroutet haben soll. Dabei ging es nicht nur um das Ausspielen von Ködern, sondern um ein industriell wirkendes Setup aus Infrastruktur, Templates und Zugriffswegen, das Angriffe in großem Maßstab wiederholbar macht.
Der Hintergrund der Maßnahme ist eine länger vorbereitete Untersuchung, die Microsoft bereits Ende 2025 gestartet hatte, nachdem es Hinweise auf schädliche Messaging-Kampagnen gab, die sich gezielt gegen Personen in Japan richteten. In der Darstellung der Digital Crimes Unit und der Threat-Intelligence-Einheit fügt sich das in ein chinesischsprachiges Cybercrime-Ökosystem ein, das als Netzwerk aus Kit-Entwicklern, Betreibern, sowie einem illegalen Marktplatz und Initial-Access-Broker beschrieben wird. Als zentrales Element taucht der Code-Name YAM Store auf, über den Kriminelle Tools und Infrastruktur beziehen sollen, einschließlich kompromittierter oder betrügerisch erlangter Microsoft- oder Google-Umgebungen für großflächige Phishing-Angriffe.
Für die technische Einordnung ist vor allem die Verzahnung von Reconnaissance und Account-/Tenant-Kontrolle entscheidend. Microsoft ordnet den Handel dem Label Storm-3119 zu, während die Entwickler hinter den drei Kits als Storm-2990 verfolgt werden. Laut den Hinweisen überlappten sich die Fähigkeiten und Teile der Infrastruktur zwischen den Kits, was auf geteilte Entwicklungswege, Code-Wiederverwendung oder enge Zusammenarbeit deuten könnte. In der Praxis wirkt das wie „Phishing-as-a-Service“: Betreiber stellen wiederverwendbare Vorlagen bereit, betreiben hochskalierte Landing- und Login-Seiten, stehlen Zugangsdaten und nutzen die gewonnenen Informationen anschließend, um weitere Schritte in Betrugs- und Zahlungsflüssen anzustoßen.
Besonders aufschlussreich ist, wie die Kits in Cloud-Umgebungen Fuß fassen und daraus operieren. Die beschriebenen Schritte reichen von der Automatisierung zur Erkennung abgelaufener Organisations- oder Umgebungsbezeichnungen über die Profilierung cloudfähiger Ziele bis hin zu einer Erkundungsphase, die anonym über Tor-Infrastruktur laufen kann. Danach sollen die Angreifer über „Takeover“-Mechanismen in funktionsfähige Umgebungen eingreifen und sie über App-only Verwaltungs-Panels steuern, die in verschiedenen Tech-Stacks wie PHP, Java/Spring und sogar Cloudflare Workers umgesetzt sein sollen. Mit breiten Microsoft-Graph-Berechtigungen und vollständiger Kontrolle über die SharePoint-API wird SharePoint und OneDrive dann als Bulk-Hosting missbraucht, wobei die entführten Speicherbereiche als verkaufbares Produkt weitergereicht werden können.
Dass es sich um mehr als ein einmaliges Toolkit handelt, zeigt auch das Handels- und Bereitstellungsmodell. Microsoft beschreibt, dass die Angreifer dedizierte Infrastruktur zur Unterstützung der Phishing-Operationen für „Kunden“ aufrechterhalten, Accounts, Lizenzen und Speicher über einen automatisierten Store weiterverkaufen und Phishing-Kits als Produkte anbieten. Für Iron Man System werden in den Angaben mehr als 2.335 Phishing-Templates genannt, die auf das Imitieren vertrauenswürdiger Marken und Organisationen über 139 Länder hinweg ausgelegt sein sollen. Außerdem wird betont, dass der Zugriff auf Phishing-Inhalte stärker eingeschränkt werden könne, indem Zielnutzer nur aus bestimmten Ländern bedient werden.
Für die Verteidiger-Perspektive liefert der Bericht auch Details, die man direkt in Risiko- und Monitoring-Modelle übersetzen kann. Resecurity beschreibt etwa, dass die Funktionalität des Kits eine regelmäßige Kontaktaufnahme mit einem Lizenzierungsserver erfordert; wird diese Autorisierung gestört oder „sinkholed“, soll das nicht nur die untersuchte Instanz, sondern aktive Deployments insgesamt beeinträchtigen. Ergänzend werden Evasion-Techniken genannt, darunter gefälschte CAPTCHA-Gates zur Filterung automatisierter Browser-Sessions, IP-basierte Blocklisten und Allowlists sowie Telegram-basierte Alerts, die den Betreiber benachrichtigen, sobald eine Zielperson auf einen Köder reagiert. Zudem soll die Eingabe auf der Phishing-Seite über WebSocket-Technik erfasst werden, um den Verlauf in Echtzeit zu verfolgen und anschließend zu entscheiden, was das Opfer als Nächstes sieht.
Dass die Kampagnen nicht isoliert laufen, sondern in betrügerische Folgehandlungen übergehen, liegt nahe: Die abgegriffenen Finanzinformationen sollen laut den Angaben für betrügerische Käufe hochwertiger Güter oder für Transaktionen auf legitimen Finanzplattformen genutzt werden. Interessant ist außerdem die operative Verbreitung über viele Domänen: Microsoft nennt insgesamt rund 17.000 unterschiedliche Domains, die für die drei Kits eingesetzt wurden. Im Zeitverlauf soll CoGUI laut weiteren Angaben bis Mitte 2026 zunehmend durch Iron Man System ersetzt worden sein, was gut zu einem Muster passt, bei dem Betreiber Kits mit wechselnden Template-Bibliotheken und Distributionsebenen am Leben halten.
Aus Sicht der Unternehmens-IT ist diese Art von Take-down besonders relevant, weil sie die Lücke zwischen „E-Mail schützt sich“, „MFA schützt sich“ und „Cloud-Zugriff schützt sich“ sichtbar macht. Wenn Angreifer SharePoint/OneDrive als Bulk-Hosting missbrauchen oder broad Microsoft-Graph-Rechte missbrauchen können, reicht ein isoliertes Postfach-Monitoring nicht aus; nötig ist auch der Blick auf Tenant-Konfigurationen, App-only Berechtigungen, Consent-Historien und ungewöhnliche API-Nutzungsmuster. Der Satz von Steven Masada, Associate General Counsel und General Manager in Microsofts Digital Crimes Unit, bringt diesen Kern auf den Punkt: „YAM Store, CoGUI and Iron Man are only part of that larger criminal network, but disrupting them makes it harder for criminals to obtain the accounts, tools and infrastructure they rely on. The scam message is often the only part victims see. The businesses behind it are what make it possible.“ Für Sicherheitsverantwortliche bedeutet das: Der sichtbare Phishing-Text ist nur die Spitze, während die eigentliche Angriffsfläche im Cloud-Backend liegt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Microsoft stoppt drei Phishing-Kits und unterbricht 1 Mrd. Scam-Nachrichten" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Microsoft stoppt drei Phishing-Kits und unterbricht 1 Mrd. Scam-Nachrichten" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Microsoft stoppt drei Phishing-Kits und unterbricht 1 Mrd. Scam-Nachrichten« bei Google Deutschland suchen, bei Bing oder Google News!