Eine umfangreiche Operation unter der Leitung von Microsoft hat ein chinesisches kriminelles Ökosystem lahmgelegt, das seit Januar 2026 für den Versand von mehr als einer Milliarde Nachrichten verantwortlich ist. Diese massiven Kampagnen richteten sich gegen mehr als 75.000 Organisationen in 150 Ländern und betrifft Einzelpersonen, Krankenhäuser und Finanzinstitute. Die Razzia zielt auf drei miteinander verbundene Einheiten ab: YAM Store, einen Marktplatz, sowie die Phishing-Kit-Dienste CoGUI und Iron Man System.
Wie funktionierte dieser Kriminalsupermarkt?
Das Herzstück dieses Netzwerks war der YAM Storedas als echter Großhändler für Cyberkriminelle fungierte. Die Plattform verkaufte fertige Infrastruktureinschließlich betrügerisch erlangter Microsoft- und Google-Konten. Um den Anschein von Glaubwürdigkeit zu erwecken, kauften Betreiber abgelaufene Domainnamen von seriösen Organisationen wie Verbänden oder Schulen und Cheat-Verifizierungssysteme.
Diese Konten und Domains wurden dann an Betrüger verkauft, die damit massive Kampagnen starteten. Gleichzeitig stellten die CoGUI-Plattformen, damals ihr vollständigerer Nachfolger Iron Man System, die sichtbaren Werkzeuge des Betrugs bereit: schlüsselfertige Bausätze. Dieser Ansatz hat die Industrialisierung der Cyberkriminalität ermöglicht in einem noch nie dagewesenen Ausmaß.
Warum waren diese Phishing-Kits so furchterregend?
Dienste wie Iron Man System waren keine einfachen Generatoren gefälschter Seiten, sondern echte Phishing-Arsenale. Sie enthielten erweiterte Funktionen um die Abwehr zu durchkreuzen. Ermittler haben mehr als 2.300 betrügerische Seitenmodelle identifiziert, die Banken, Postdienste oder Verwaltungen in mehr als 130 Ländern nachahmen und lokal angepasste Lockmittel wie falsche Parkgebühren oder Zustellbenachrichtigungen enthalten.
Um ihre Wirksamkeit zu maximieren, nutzten diese Tools ausgefeilte Umgehungstechniken. Durch die Geofilterung konnten schädliche Inhalte nur Opfern in Zielländern angezeigt werden, während CAPTCHAs gefälscht wurden und Listen blockierter IP-Adressen sollten Sicherheitsforscher fernhalten. Eine Echtzeitwarnung per Telegram ermöglichte es Betrügern sogar, die Aktionen ihrer Ziele zu verfolgen und mit ihnen zu interagieren, um den Betrug abzuschließen.
Welche tatsächlichen Auswirkungen hat diese Demontage?
Die von einem amerikanischen Gericht genehmigte Maßnahme von Microsoft beschränkte sich nicht auf die Sperrung einiger Websites. Es zielte auf das Netzwerk-Backbone ab, indem es wichtige Domänennamen beschlagnahmte und den Zugriff auf die Infrastruktur blockierte. Mehr als 20.000 betrügerische Konten wurden deaktiviert und mehr als 100.000 gefälschte Domains blockiert, wodurch unzählige Wellen betrügerischer Nachrichten gestoppt wurden.
Diese Strategie beinhaltet die Verfolgung von „Anbietern“, um Hunderte potenzieller Cyberangriffe auf einmal zu neutralisieren, was viel effektiver ist, als jede einzelne Kampagne zu verfolgen. Obwohl diese Operation einen großen Sieg darstellt, ist der Krieg gegen Betrug noch nicht vorbei. Die Entwickler hinter diesem Netzwerk wurden nicht identifiziert, aber durch den Entzug ihrer Tools hat Microsoft ihren Betrieb erheblich verlangsamt und erhebliche Verluste verursacht.
Microsoft
