مایکروسافت اخیراً یک اکوسیستم پیچیده جنایی به زبان چینی را شناسایی کرده است که شامل شبکه‌ای به‌هم‌پیوسته از اپراتورهای کیت فیشینگ، توسعه‌دهندگان و یک بازار غیرقانونی برای فروش ابزارها و زیرساخت‌ها است. این شبکه با فراهم کردن امکانات فیشینگ در مقیاس وسیع، عملیات مجرمانه سایبری را در سراسر جهان تسهیل کرده است.
نقش Storm-3119 و بازار YAM Store
در این اکوسیستم، Storm-3119 که تحت عنوان YAM Store شناخته می‌شود، به عنوان یک کارگزار دسترسی اولیه (Initial Access Broker یا IAB) عمل می‌کند. این بازار، محیط‌های ابری سرقتی یا به‌طور غیرقانونی ایجاد شده در پلتفرم‌های مایکروسافت و گوگل را به فروش می‌رساند. YAM Store از اتوماسیون برای شناسایی محیط‌های منقضی شده یا نام سازمان‌های قدیمی استفاده می‌کند تا با سوءاستفاده از اطلاعات مشتریان واقعی، سیستم‌های شناسایی را دور بزند.
فرآیند عملیاتی Storm-3119 در پنج مرحله خلاصه می‌شود:
- شناسایی (Reconnaissance): استفاده از فریم‌ورک Flask و شبکه Tor برای شناسایی سازمان‌های فعال در محیط‌های ابری.
- تصاحب محیط (Environment Takeover): ایجاد پنل‌های مدیریتی برای کنترل محیط‌های Microsoft 365 از طریق احراز هویت Application-only.
- سوءاستفاده از منابع: استفاده از دسترسی‌های Global Administrator برای تبدیل فضای SharePoint و OneDrive به سرویس‌های میزبانی انبوه جهت فروش.
- پشتیبانی زیرساختی: مدیریت متمرکز دامنه‌های فیشینگ و گواهینامه‌های SSL از طریق Cloudflare.
- تجاری‌سازی: فروش حساب‌ها و لایسنس‌های سرقتی از طریق یک فروشگاه خودکار با پذیرش ارزهای دیجیتال مانند USDT.
کیت‌های فیشینگ Storm-2990 و سیستم Iron Man
توسعه‌دهندگانی که تحت نام Storm-2990 رصد می‌شوند، کیت‌های فیشینگ پیشرفته‌ای مانند Iron Man System، CoGUI و Haozi را تولید و از طریق YAM Store عرضه می‌کنند. این ابزارها در قالب مدل Phishing-as-a-Service (PaaS) ارائه می‌شوند و هدف آن‌ها سرقت اطلاعات حساس، اعتبارنامه‌ها (Credentials) و داده‌های مالی است.
کیت Iron Man System دارای بیش از ۲,۳۳۵ قالب (Template) برای ۱۳۹ کشور مختلف است که برندهای معتبر دولتی، بهداشتی و مالی را جعل می‌کنند. این کیت‌ها از تکنیک‌های پیشرفته برای دور زدن سیستم‌های امنیتی استفاده می‌کنند، از جمله:
- Geofencing: محدود کردن دسترسی به محتوای فیشینگ برای کاربران کشورهای خاص.
- Fake CAPTCHA: استفاده از کپچاهای جعلی برای مسدود کردن ابزارهای تحلیل امنیتی.
- تعامل بلادرنگ (Real-time Interaction): استفاده از WebSocket و بات‌های تلگرام برای اطلاع‌رسانی فوری به مهاجم در لحظه وارد کردن اطلاعات توسط قربانی.
تاثیرات و توصیه‌های امنیتی
این اکوسیستم توانسته است ارسال بیش از یک میلیارد ایمیل و پیامک فیشینگ به بیش از ۷۵ هزار سازمان در سراسر جهان را تسهیل کند. برای مقابله با این تهدیدات، توصیه می‌شود اقدامات زیر به سرعت پیاده‌سازی شوند:
- استقرار MFA مقاوم در برابر فیشینگ: استفاده از Passkeys و اپلیکیشن‌های احراز هویت برای جایگزینی رمزهای عبور سنتی.
- پیاده‌سازی Zero Trust: اعمال اصل حداقل دسترسی (Least Privilege) برای محدود کردن نقش‌های Global Administrator.
- سیاست‌های Conditional Access: ارزیابی درخواست‌های ورود بر اساس سیگنال‌های شناسایی هویت و مکان‌های مورد اعتماد.
- آموزش کاربران: آگاه‌سازی کارکنان در مورد نشانه‌های فیشینگ مانند ایجاد فوریت (Urgency) و بررسی دقیق فرستندگان پیام‌ها.
به‌روزرسانی (اکتبر 14, 2026 — CyberScoop)
به‌روزرسانی: مایکروسافت در همکاری با مقامات ژاپنی، Health-ISAC و چندین شرکت امنیت سایبری، توانست زیرساخت‌های CoGUI، YAM Store و Iron Man را که توسط عامل تهدید (Threat Actor) چینی‌زبان (تحت ردیابی Storm-2990) مدیریت می‌شدند، متلاشی کند. در این عملیات گسترده، بیش از ۲۰,۰۰۰ حساب کاربری غیرفعال و ۱۰۰,۰۰۰ دامنه مسدود شده است.
بررسی‌ها نشان می‌دهد که این اکوسیستم بیش از یک میلیارد پیام فیشینگ را به بیش از ۷۵,۰۰۰ سازمان در سراسر جهان ارسال کرده است. هدف اصلی این حملات سازمان‌های فعال در حوزه‌های بهداشت، خدمات مالی، لجستیک و IT (عمدتاً در ایالات متحده و ژاپن) بوده‌اند. این حملات با هدف سرقت اعتبارنامه‌ها (Credentials)، داده‌های مالی و سوءاستفاده از فرآیند Device Code Authentication برای دسترسی به حساب‌های قربانیان طراحی شده بودند.
شرکت Resecurity که در این تحقیقات نقش داشته، ۲,۳۶۰ قالب (Template) فیشینگ را شناسایی کرد که در ۱۳۰ کشور مختلف برای جعل هویت بانک‌ها، مراکز درمانی، پلیس و نهادهای دولتی استفاده می‌شدند. این عملیات با هدف سخت‌تر کردن دسترسی مجرمان به حساب‌ها و ابزارهای مورد نیاز برای اجرای کمپین‌های فیشینگ در مقیاس صنعتی انجام شده است.
به‌روزرسانی (اکتبر 14, 2026 — therecord.media)
به‌روزرسانی: مایکروسافت با همکاری آژانس پلیس ملی ژاپن و سازمان Health-ISAC، از طریق یک دستور دادگاه در ایالات متحده، موفق شد سه پلتفرم گسترده فیشینگ شامل YAM Store، CoGUI و Iron Man را متوقف کند. این زیرساخت‌ها که به مجرمان سایبری چینی نسبت داده شده‌اند، برای ارسال صدها میلیون پیام مخرب با جعل هویت بیش از ۷۵ هزار سازمان در سراسر جهان مورد استفاده قرار می‌گرفتند.
در این عملیات، جزئیات بیشتری از پلتفرم CoGUI فاش شد که با ارائه وب‌سایت‌ها و پیام‌های آماده، امکان جعل هویت برندها و سازمان‌های دولتی را فراهم می‌کرد. گزارش‌ها حاکی از آن است که از ابتدای سال جاری میلادی، بیش از ۷۵۰ میلیون پیام هدفمند تنها برای کاربران مایکروسافت در ۱۵۰ کشور مختلف ارسال شده است تا اعتبارنامه‌ها (Credentials) و داده‌های بانکی سرقت شود.
در نتیجه این اقدام قانونی، بیش از ۲۰ هزار حساب کاربری مرتبط با YAM Store غیرفعال و بیش از ۱۰۰ هزار دامنه (Domain) مورد استفاده برای جعل هویت مسدود شده است. این عملیات بخشی از تلاش‌های مستمر مایکروسافت برای نابودی اکوسیستم‌های Cybercrime-as-a-Service است.
