Operazione Microsoft contro i Phishing Kit: bloccati CoGUI, Haozi e Iron Man dopo 1 miliardo di truffe globali

Microsoft ha annunciato, insieme a Health ISAC e al Japan Cybercrime Control Center, una operazione di contrasto che ha interrotto tre phishing kit molto diffusi noti come CoGUI, Haozi e Iron Man System. Questi strumenti erano al centro di un modello phishing as a service che permetteva a gruppi criminali di lanciare campagne su larga scala con template pronti e infrastruttura già configurata.

Secondo le informazioni rese note, le attività legate a questi kit avrebbero contribuito alla diffusione di oltre un miliardo di email e messaggi SMS fraudolenti a partire da gennaio 2026, colpendo più di 75 mila organizzazioni in tutto il mondo.

L’indagine sarebbe partita dopo campagne malevole rivolte al Giappone e ha portato a mettere in luce un ecosistema criminale di lingua cinese composto da sviluppatori, operatori di kit e un mercato clandestino che funge da punto di incontro per la compravendita di strumenti, accessi e ambienti cloud compromessi. Un elemento chiave è un marketplace chiamato YAM Store, descritto come un hub che vende infrastruttura e risorse ottenute tramite ambienti Microsoft o Google compromessi o acquisiti in modo fraudolento, rendendo più semplice per altri attaccanti avviare nuove operazioni di phishing e furto credenziali.

Le analisi indicano sovrapposizioni tra i tre kit in termini di funzioni e infrastruttura, suggerendo riuso di codice o collaborazione. L’obiettivo operativo resta la creazione di pagine esca che imitano brand reali e organizzazioni di settori come governo, finanza, logistica, sanità e telecomunicazioni, così da sottrarre credenziali e dati finanziari. Gli attori avrebbero inoltre accettato pagamenti in criptovalute come USDT ed Ethereum, aumentando la difficoltà di tracciamento.

Tra le tecniche attribuite a questo modello criminale emerge l’uso di automazione per individuare nomi di organizzazioni e ambienti scaduti e per identificare tenant Microsoft 365. La fase di ricognizione sarebbe stata svolta anche tramite infrastrutture Tor. Una volta ottenuto l’accesso, gli attaccanti potevano espandere i privilegi tramite Microsoft Graph e abusare di SharePoint e OneDrive per ospitare contenuti in massa, trasformando lo storage sottratto in un prodotto rivendibile. Sono state citate anche funzioni avanzate come finti CAPTCHA, filtri basati su IP e notifiche tramite Telegram per monitorare le vittime in tempo reale, con raccolta dati via WebSocket e successivo utilizzo per frodi e acquisti non autorizzati.