Microsoft legt drei Phishing-Plattformen chinesischsprachiger Cyberkrimineller lahm

Seit Januar ermöglichten die drei Plattformen zusammen mehr als 750 Millionen Nachrichten allein gegen Microsoft-Kunden. Ziel waren Verbraucher, Gesundheitseinrichtungen, Finanzinstitute und weitere Unternehmen in mehr als 150 Ländern. Für die Betreiber sollen dabei Einnahmen in zweistelliger Millionenhöhe in US-Dollar entstanden sein. Die meisten Werkzeuge zielen darauf ab, Zugangsdaten, persönliche Informationen, Bankdaten und sonstige Anmeldeinformationen zu stehlen.

Iron Man ist ein Phishing-Kit-as-a-Service-Angebot mit mehr als 2.300 vorgefertigten Köderseiten, die vertrauenswürdige Dienste wie Postunternehmen, Bußgeldstellen, Steuerbehörden, Banken oder Telekommunikationsanbieter nachahmen. Kunden erwerben ein Abonnement mit tausenden Vorlagen, die auf Australien, Japan, Indien und Dutzende weitere Länder zugeschnitten sind. Laut Microsoft erlaubte Iron Man es, “schnell E-Mail-, SMS- und Webinhalte bereitzustellen, die auf bestimmte Marken, Branchen und Länder zugeschnitten sind”.

CoGUI stellt Kriminellen fertige Websites und Nachrichten bereit, mit denen sich bekannte Marken, Unternehmen, Behörden und Finanzinstitute imitieren lassen. Die Plattform wurde vor allem gegen Menschen in Japan eingesetzt; ab Mitte 2026 wechselten Täter zunehmend zu Iron Man.

Steven Masada, Associate General Counsel der Digital Crimes Unit von Microsoft, sagte, die Ermittlungen hätten im vergangenen Jahr begonnen, nachdem japanische Polizeibehörden auf Nachrichtenkampagnen gegen Menschen in Japan hingewiesen hatten. Die Kampagnen ließen sich auf ein chinesischsprachiges Cybercrime-Ökosystem zurückführen, das mit CoGUI begann, sich aber rasch darüber hinaus ausdehnte. Als Microsoft und japanische Stellen mehrere Betrugskampagnen derselben Infrastruktur zuordneten, stießen sie auf YAM Store.

YAM Store ist ein Marktplatz für Erstzugänge, der nach Darstellung der Microsoft-Forscher “Infrastruktur auf Basis kompromittierter oder betrügerisch erlangter Umgebungen bei Anbietern wie Microsoft und Google verkauft”. Kriminelle konnten dort gezielt nach den günstigsten betrügerischen Microsoft- und Google-Konten für ihre Betrugsmaschen suchen. “Der Marktplatz bietet unterschiedliche Infrastruktur, gestaffelt nach Alter, Abonnementtyp und Umgebungsart, etwa Bildung (.edu) oder gemeinnützig (.org)”, erklärte Microsoft; ebenso ließen sich Domains erwerben, die an bestehende oder abgelaufene Organisationsnamen gebunden sind.

In der Praxis kauften Cyberkriminelle Internet-Domains, die echte Unternehmen hatten auslaufen lassen, und bauten die Websites so nach, dass sie wie legitime Plattformen wirkten. Über diese Seiten ließen sich Microsoft-365-Zugangsdaten abgreifen, die anschließend auf YAM Store verkauft werden konnten.

Mit dem Gerichtsbeschluss konnte Microsoft die Domains beschlagnahmen und umleiten sowie mehr als 20.000 mit YAM Store verbundene Konten deaktivieren. Nach eigenen Angaben entfernt das Unternehmen weiterhin Infrastruktur, die auf seinen Diensten gehostet wird, und blockiert mehr als 100.000 Domains, die für Identitätsmissbrauch genutzt wurden. Microsoft teilte Informationen mit Strafverfolgungspartnern in den USA und international und arbeitete mit dem Sicherheitsunternehmen Resecurity zusammen, um die Plattformen zu unterwandern.

Masada erläuterte in einem Blogbeitrag, diese Werkzeuge seien die treibende Kraft hinter vielen der Mautgebühren-SMS und gefälschten Paketbenachrichtigungen, mit denen Menschen täglich überflutet werden. Die Untersuchung legte zudem Ähnlichkeiten zwischen der Infrastruktur von YAM Store, CoGUI und Iron Man offen, was auf enge Zusammenarbeit der Entwickler oder gemeinsame Entwicklungswurzeln hindeutet.

Microsoft greift zunehmend auf den Rechtsweg zurück, um Phishing-Plattformen zum Diebstahl von Microsoft-Zugangsdaten auszuschalten. Im vergangenen Monat ging der Konzern gegen die KI-gestützte Kriminellenplattform EvilTokens vor: Mit gerichtlicher Genehmigung wurde das Werkzeug offline genommen, zudem arbeitete Microsoft mit britischer Polizei an der Festnahme der mutmaßlichen Hintermänner. Im Juni zerschlug das Unternehmen hunderte Server und Domains, die zur Cybercrime-as-a-Service-Infrastruktur von Banden gehörten, die die Schadsoftware SocGholish, Amadey und StealC verbreiteten. Im Lauf des vergangenen Jahres nahm Microsoft außerdem die Phishing-Plattformen RaccoonO365 und RedVDS ins Visier.