Microsoft legt drei chinesische Phishing-Plattformen lahm

Microsoft hat drei Phishing-Plattformen zerschlagen, die von chinesischen Cyberkriminellen genutzt wurden. Nach Angaben des Konzerns verschickten die Plattformen Hunderte Millionen bösartige Nachrichten, in denen sie sich als mehr als 75.000 Organisationen weltweit ausgaben.

Es handelt sich um YAM Store, CoGUI und Iron Man. Microsoft erwirkte einen Beschluss eines US-Gerichts, der es dem Unternehmen erlaubte, Domains aus deren Infrastruktur zu beschlagnahmen und umzuleiten. Dabei arbeitete der Konzern mit der japanischen Nationalen Polizeibehörde und mit Health-ISAC zusammen, einer Cybersicherheitsorganisation des Gesundheitswesens, die Informationen über Bedrohungen innerhalb der Branche austauscht.

Seit Januar ermöglichten die drei Dienste zusammen mehr als 750 Millionen Nachrichten, die allein auf Microsoft-Kunden zielten. Die Kampagnen erreichten Verbraucher, Gesundheitseinrichtungen, Finanzinstitute und andere Unternehmen in mehr als 150 Ländern und brachten ihren Betreibern zig Millionen Dollar ein. Die meisten Werkzeuge waren darauf ausgelegt, Zugangsdaten, persönliche Informationen, Bankdaten und andere Anmeldeinformationen zu stehlen.

Vom Hinweis der japanischen Polizei zu einem größeren Ökosystem

Laut Steven Masada, Associate General Counsel der Digital Crimes Unit von Microsoft, begannen die Ermittlungen im vergangenen Jahr. Japanische Polizeibeamte hatten auf Nachrichtenkampagnen hingewiesen, die sich gegen Menschen in Japan richteten.

Die Ermittler verfolgten diese Kampagnen zu einem chinesischsprachigen Cybercrime-Ökosystem zurück. Es begann mit CoGUI, reichte aber bald darüber hinaus. Als Microsoft und die japanischen Behörden immer mehr Betrugskampagnen derselben Infrastruktur zuordneten, führte die Spur zu YAM Store.

Die Ermittlungen deckten außerdem Ähnlichkeiten in der Infrastruktur aller drei Plattformen auf. Microsoft zufolge deutet das auf eine enge Zusammenarbeit ihrer Entwickler oder auf einen gemeinsamen Entwicklungsursprung hin.

Drei Dienste, drei Rollen

CoGUI stellte Kriminellen fertige Webseiten und Nachrichten bereit, die vertrauenswürdige Marken, Unternehmen, Behörden und Finanzinstitute nachahmten. Der Dienst wurde massiv gegen Menschen in Japan eingesetzt, doch Mitte 2026 begannen seine Nutzer, zu Iron Man abzuwandern.

Iron Man funktioniert als Phishing-Kit-as-a-Service. Abonnenten erhalten Zugriff auf mehr als 2.300 vorgefertigte Köderseiten, die sich als Postunternehmen, Bußgeldstellen, Finanzämter, Banken, Telekommunikationsanbieter und andere vertrauenswürdige Dienste ausgeben. Die Vorlagen sind auf Australien, Japan, Indien und Dutzende weitere Länder zugeschnitten. Laut Microsoft ermöglichte der Dienst den Betrügern zudem, "schnell E-Mail-, SMS- und Webinhalte bereitzustellen, die auf bestimmte Marken, Branchen und Länder zugeschnitten sind."

YAM Store spielte eine andere Rolle. Microsoft beschreibt die Plattform als Marktplatz für Initial Access Broker, der "Infrastruktur verkauft, die auf kompromittierten oder betrügerisch erlangten Umgebungen bei Anbietern wie Microsoft und Google basiert." Kriminelle konnten dort nach den günstigsten betrügerischen Microsoft- und Google-Konten für ihre Betrugsmaschen suchen.

"Der Marktplatz bietet eine Vielzahl an Infrastruktur, je nach Alter, Abonnementtyp und Umgebungsart, etwa Bildung (.edu) oder gemeinnützig (.org)", erklärte Microsoft.

Käufer konnten zudem Domains erwerben, die mit legitimen oder erloschenen Organisationsnamen verknüpft waren. Einige kauften Domains, die echte Unternehmen hatten auslaufen lassen, und bauten sie so um, dass sie wie echte Plattformen aussahen. Über diese Seiten wurden dann Microsoft-365-Zugangsdaten gestohlen, die sich wiederum auf YAM Store weiterverkaufen ließen.

Domains beschlagnahmt, Konten deaktiviert

Auf Grundlage des Gerichtsbeschlusses beschlagnahmte Microsoft die Domains, leitete sie um und deaktivierte mehr als 20.000 Konten mit Verbindung zu YAM Store. Der Konzern entfernt weiterhin Infrastruktur, die auf seinen eigenen Diensten gehostet wird, und blockiert mehr als 100.000 Domains, die zur Nachahmung genutzt wurden.

Microsoft teilte Informationen mit Strafverfolgungspartnern in den USA und international. Außerdem arbeitete das Unternehmen mit der Cybersicherheitsfirma Resecurity zusammen, um die Seiten zu unterwandern.

Masada zufolge stecken diese Werkzeuge hinter vielen der Maut-Betrugs-SMS und gefälschten Zustellnachrichten, die Menschen jeden Tag erhalten.

Die Aktion ist Teil eines größeren Vorstoßes. Im vergangenen Monat nahm Microsoft mit gerichtlicher Genehmigung EvilTokens vom Netz, eine KI-gestützte Plattform für Cyberkriminelle, und half der britischen Polizei bei der Festnahme der mutmaßlichen Betreiber. Im Juni zerschlug der Konzern Hunderte Server und Domains einer Cybercrime-as-a-Service-Infrastruktur, über die die Schadsoftware SocGholish, Amadey und StealC verbreitet wurde. Im vergangenen Jahr ging Microsoft außerdem gegen RaccoonO365 und RedVDS vor.

Unsere Einschätzung

Der Fall zeigt, wie Phishing zu einer Lieferkette geworden ist. Ein Dienst verkauft Ködervorlagen, ein anderer hostet fertige Seiten, und ein dritter verkauft Zugang zu kompromittierten oder betrügerischen Cloud-Konten. Dass Microsoft neben den Kits auch den Zugangsbroker ausgeschaltet hat, deutet darauf hin, dass der Konzern die Kosten an mehreren Stellen dieser Kette gleichzeitig in die Höhe treiben will, statt nur einzelne Seiten vom Netz zu nehmen.

Die Abwanderung von CoGUI zu Iron Man Anfang dieses Jahres ist allerdings eine Warnung. Die kriminellen Kunden wechselten schnell, als es ihnen passte, und das könnte wieder passieren. Kits wie Milk Dragon zeigen, dass der Markt gut gefüllt ist. Es lohnt sich zu beobachten, ob die Betreiber unter neuen Namen wieder aufbauen und ob die Zusammenarbeit mit der japanischen Polizei zu Festnahmen führt. Für Verteidiger bleiben abgelaufene Domains mit echten Firmennamen ein Risiko, das man im Blick behalten sollte.