微软揭露发送逾10亿条钓鱼信息的网络犯罪生态

微软威胁情报中心与微软数字犯罪部门发布研究称，一个中文网络钓鱼生态在过去九个月里向数万家机构发送了超过10亿封电子邮件和短信。研究涵盖钓鱼工具包开发者、钓鱼基础设施销售者以及其中三款工具包的客户。基础设施方面的核心是网络犯罪市场Yam Store，微软将其追踪为Storm-3119。该市场出售多款钓鱼工具包，更特别的是还出售与合法、已过期或曾被使用的机构相关联的微软和谷歌域名，使攻击者搭建的钓鱼基础设施在受害者和自动化防御系统看来更可信。近年来，大量工具包和服务降低了新手攻击者批量生成诱饵、发送信息和维护基础设施的门槛，大语言模型的兴起又让攻击者能借助人工智能快速搭建逼真的钓鱼网站或生成无错误的邮件诱饵。微软与安全厂商Resecurity通过Yam Store识别出CoGUI、Haozi（又称Phoenix）和Iron Man System三款工具包，其开发者及相关活动被追踪为Storm-2990。微软称，自2026年1月以来，这些工具包背后的攻击者已协助向全球7.5万多家机构发送超过10亿封钓鱼邮件和短信。微软将基础设施中间商与工具包运营者视为不同但关系密切的群体。其中Iron Man System包含2335个以上模板，针对澳大利亚、日本、印度、美国等139个以上国家，以美国最多，诱饵冒充地方政府、执法、医疗、金融、交通和零售等机构及品牌，例如以缴纳停车罚款为名骗取敏感信息。工具包还具备地理围栏、伪造验证码页面、IP黑白名单、规避安全研究人员检测等功能，并可配置Telegram机器人，在目标输入凭证或验证码时自动通知。Corsica Technologies首席信息安全官Ross Filipek表示，滥用可信云服务是最值得防御者关注的一点，设备代码钓鱼会把用户引向真实登录页面，培训应关注用户是否主动发起了请求。AttackIQ的Andrew Costis也提醒，重置用户密码并不能确认应用独立的访问权限已被移除。微软发言人表示，公司已停用与Yam Store相关的2万多个租户，涉及14万多个恶意域名，并加强了识别欺诈账户的防护。微软建议机构加强员工防钓鱼教育，并在遇到紧急、限时的请求时直接向所称发件方核实。