Microsoft заблокировала более 100 тысяч доменов китайскоязычного рынка киберпреступности

Microsoft начала блокировку более 100 тысяч доменов, связанных с китайскоязычным рынком киберпреступных услуг. За витриной с готовыми инструментами для мошенничества скрывалась инфраструктура, через которую по всему миру разослали свыше миллиарда вредоносных сообщений. Операция направлена против трёх взаимосвязанных сервисов — YAM Store, CoGUI и Iron Man.

С января 2026 года с их помощью атаковали более 75 тысяч организаций более чем в 150 странах. По оценке Microsoft, только на её клиентов пришлось свыше 750 миллионов мошеннических сообщений, а операторы сервисов заработали десятки миллионов долларов. Расследование началось в конце 2025 года, когда Национальное полицейское агентство Японии предупредило Microsoft о волне мошеннических рассылок.

Вместо отдельных преступных групп следователи обнаружили целый рынок, где торговали учётными записями, хостингом и инструментами для создания поддельных сайтов. К работе подключились японский центр JC3 и частные компании. YAM Store действовал как обычный интернет-магазин.

Покупатели сравнивали цены и приобретали поддельные учётные записи Microsoft и Google, а также инструменты для кражи данных. Контрольные закупки подтвердили схему продаж. Некоторые продавцы использовали просроченные домены некоммерческих и образовательных организаций, чтобы получать аккаунты Microsoft 365.

Преступники восстанавливали сайты на таких доменах и создавали видимость действующих организаций. Затем они регистрировали учётные записи Microsoft 365 под чужой вывеской и продавали их через YAM Store. Полученные аккаунты позволяли проводить новые мошеннические кампании без самостоятельной подготовки инфраструктуры.

CoGUI предоставлял готовые страницы и сообщения от имени банков, государственных ведомств и известных компаний. Подделки выманивали пароли, платёжные реквизиты и личную информацию. Сервис особенно активно использовали против жителей Японии и США, однако к середине 2026 года его всё чаще заменял более новый набор Iron Man.

Iron Man позволял быстро собирать электронные письма, SMS и сайты под конкретную страну или бренд. Исследователи получили доступ более чем к 2300 шаблонам, которые имитировали банки, магазины, больницы, транспортные ведомства и полицию в 150 с лишним странах. Наличие шаблона не означало, что настоящую организацию взломали.

По данным Microsoft, мошеннический рынок работал по принципу разделения труда. Одни участники продавали аккаунты, другие обеспечивали страницы для фишинга, третьи готовили сообщения от имени доверенных организаций. Жертвы видели лишь уведомления о доставке, неоплаченном проезде или проблемах с банковским счётом.

По судебному решению во Флориде Microsoft совместно с Health-ISAC изъяла и перенаправила часть доменов трёх сервисов. Компания уже отключила более 20 тысяч аккаунтов YAM Store и продолжает блокировать свыше 100 тысяч мошеннических доменов. Ранее Microsoft участвовала в ликвидации RedVDS, предоставлявшего инфраструктуру для преступных операций.

О полном прекращении работы обнаруженной сети пока не объявлено.