Microsoft ve Health-ISAC, Japonya Siber Suçla Mücadele Merkezi JC3 ile Resecurity, Cloudflare, Oracle, Proofpoint ve TRM Labs gibi özel sektör şirketlerinden oluşan bir koalisyonla birlikte üç phishing kiti CoGUI takma adıyla NX veya FA, Haozi takma adıyla Phoenix ve Iron Man System’in devre dışı bırakıldığını duyurdu.
"Ocak 2026’dan bu yana bu kitlerin arkasındaki tehdit aktörleri, dünya genelinde 75 binden fazla kuruluşa 1 milyardan fazla phishing e-postası ve SMS mesajının gönderilmesini kolaylaştırmaktan sorumlu oldu," dedi Microsoft Tehdit İstihbaratı ve Microsoft Dijital Suçlar Birimi.
Mahkeme onaylı operasyon, Microsoft’un Japonya’daki kişileri hedef alan kötü niyetli mesajlaşma kampanyaları hakkında bilgilendirildiği üzerine 2025 sonlarında başlattığı soruşturmanın sonucu.
Çince konuşan siber suçlu ekosistemi, büyük ölçekli phishing saldırıları için tehlikeye atılmış ya da sahtekarlıkla elde edilmiş Microsoft veya Google ortamlarını kullanarak araç ve altyapı satan YAM Store kod adlı yasadışı pazar yeri ve ilk erişim aracısı IAB ile phishing kiti operatörleri ve geliştiricilerinden oluşan birbirine bağlı bir ağ olarak tanımlandı.
Microsoft yeraltı pazar yerini Storm-3119, üç phishing kitinin de arkasındaki geliştiricileri ise Storm-2990 olarak izliyor. Kanıtlar, üç kitin yetenek ve altyapı bakımından örtüştüğünü gösteriyor; bu durum ortak geliştirme kökeni, kod yeniden kullanımı ya da Çince konuşan geliştiriciler arasında yakın iş birliğini işaret ediyor.
Herhangi bir phishing-as-a-service PhaaS veya PaaS platformunda olduğu gibi, nihai amaç dünya genelinde hükümet, finans ve lojistik sektörlerini kapsayan meşru markaları ve kuruluşları taklit eden phishing şablonları sunmak ve yüksek hacimli phishing ile kimlik bilgisi çalma operasyonlarını mümkün kılmak.
"Bu mesajlar 150’den fazla ülkede tüketicileri, sağlık kuruluşlarını, finans kurumlarını ve diğer işletmeleri hedef almak için kullanıldı ve operatörleri için on milyonlarca dolar gelir sağladı," dedi Health-ISAC.
Tehdit aktörlerinin bu phishing kitlerini, Japonya, ABD, Avustralya ve Hindistan’daki sağlık, finansal hizmetler, toptan dağıtım ve bilgi teknolojileri BT sektörlerindeki kuruluşları hedeflemek için tehlikeye atılmış ya da sahte Microsoft veya Google bulut ortamlarına erişimle birlikte satın aldığı belirtiliyor.
"Bu phishing kitleri YAM Store üzerinden reklam edildi; önce CoGUI ve Haozi, ardından Haziran 2026’dan itibaren Iron Man System," dedi Microsoft. "YAM Store ve bağlı phishing kiti şirketleri, yasadışı faaliyeti gizlemek için USDT ve Ethereum dahil kripto para üzerinden ödeme kabul etti."
YAM Store, diğer siber suçluların hedeflerine saldırmak için satın alabileceği meşru, süresi dolmuş ya da daha önce kullanılmış kuruluşlarla ilişkili meşru altyapıyı reklam etmesi nedeniyle operasyonlarda merkezi bir yer tutuyor.
Storm-3119’un taktiklerinin öne çıkan bazı yönleri aşağıda sıralanıyor -
Süresi dolmuş ortam veya kuruluş adlarını belirlemek, bulut etkin kuruluşları profillemek ve Microsoft 365 kiracılarını keşfetmek için otomasyon kullanımı. Keşif aşaması Tor altyapısı üzerinden anonim olarak gerçekleşiyor.
Uygulanabilir ortamları ele geçirmek ve PHP, Java/Spring ile Cloudflare Workers’ta uygulanan uygulama-özel yönetici panelleri kullanarak yönetmek.
Ele geçirilmiş kiracı içinde varlık oluşturmak, geniş Microsoft Graph izinleri vermek ve SharePoint API üzerinde tam kontrol sağlamak, kiracının SharePoint ve OneDrive’ını toplu barındırma olarak kötüye kullanmak ve ele geçirilen depolamayı satılabilir bir ürüne dönüştürmek.
Müşterileri adına phishing operasyonlarını desteklemek ve denetlemek için özel altyapı sürdürmek.
Ele geçirilen hesapları, lisansları ve depolamayı otomatik bir mağaza ön yüzü aracılığıyla yeniden satmak.
Oturum açma kimlik bilgileri ve finansal verilerin çalınmasını kolaylaştırmak için Storm-2990 olarak izlenen phishing kitlerini satmak.
Proofpoint’un Mayıs 2025’te detaylandırdığı üzere CoGUI, Amazon, PayPay, MyJCB, Apple, Orico ve Rakuten gibi tanınmış tüketici ve finans markalarını taklit ederek Japon kuruluşlarını hedef alırken gözlemlendi. Kitin en az Ekim 2024’ten bu yana gerçek dünya kampanyalarında kullanıldığı belirtiliyor.
Kurumsal güvenlik şirketine göre phishing kiti ayrıca CoAceV ve CoFish_Ws adında iki yakın varyant doğurdu. Toplamda üç kit tarafından yaklaşık 17.000 benzersiz alan adı kullanıldı. TRM Labs’a göre 2026 ortasına gelindiğinde CoGUI giderek Iron Man System ile değiştirilmeye başlandı.
Iron Man System, Avustralya, Japonya, Hindistan ve ABD dahil 139 ülkede güvenilir markaları ve kuruluşları taklit edecek şekilde uyarlanmış 2.335’ten fazla phishing şablonu içeriyor ve phishing içeriğine erişimi yalnızca belirli ülkelerden kullanıcılarla sınırlamak için adımlar atıyor.
Lisans satın alıp kiti izole bir laboratuvarda çalıştıran Resecurity, 130 ülke ve bölgede posta, vergi, bankacılık, telekom ve sadakat programı markalarını taklit eden 2.360 farklı phishing yem paketi desteklediğini söyledi. Ayrıca Ekim 2025’ten Haziran 2026’ya kadar yönetici paneli için 911 derleme içeren kendi barındırılan bir Git ve konteyner kayıt sunucusu bulduğunu da belirtti.
Siber güvenlik şirketi ayrıca kitin çalışması için satıcının lisans sunucusuyla düzenli iletişim kurması gerektiğini tespit etti; "Savunmacıları destekleyen bir bağımlılık bu, çünkü yetkilendirme ana bilgisayarını devre dışı bırakmak ya da sinkhole’a yönlendirmek yalnızca incelenen dağıtımı değil, her aktif dağıtımı zayıflatır."
Kitler tarafından kullanılan diğer gelişmiş kaçınma teknikleri arasında otomatik tarama oturumlarını filtrelemek için sahte CAPTCHA kapıları, IP tabanlı engelleme ve izin listeleri ile kurban bir phishing yemine tepki verdiğinde kiti operatörünü uyaran Telegram tabanlı uyarılar yer alıyor.
Phishing sitesine girilen hassas bilgiler WebSocket kullanılarak yakalanıyor; bu sayede operatörler ilerlemeyi gerçek zamanlı izleyebiliyor ve hedeflerinin bir sonraki adımda ne göreceğine karar verebiliyor. Çalınan finansal bilgiler, alt akış aktörleri tarafından yüksek kaliteli malların sahtekarlıkla satın alınması ya da meşru finansal platformlarda sahte işlemler yapmak için kullanılıyor.
"Japonya’daki kişileri ve kuruluşları hedef alan dolandırıcılık faaliyetleriyle başlayan süreç, araştırmacıları dünya genelindeki suçlulara hizmet sağlayan yeraltı bir hizmet ekonomisine ulaştırdı," dedi Microsoft Dijital Suçlar Birimi’nin genel danışman yardımcısı ve genel müdürü Steven Masada.
"YAM Store, CoGUI ve Iron Man o daha büyük suç ağının yalnızca bir parçası, ancak onları devre dışı bırakmak suçluların güvendiği hesaplara, araçlara ve altyapıya ulaşmasını zorlaştırıyor. Dolandırıcılık mesajı genellikle mağdurların gördüğü tek şeydir. Bunu mümkün kılan şey arkasındaki işletmelerdir."
Bu gelişme, Microsoft’un yapay zekanın AI "saldırı zincirinin her adımında" kullanıldığı söylenen EvilTokens cihaz kodu phishing hizmetinin kaldırılmasını duyurmasından bir aydan kısa bir süre sonra geldi.
