微軟威脅情報團隊（Microsoft Threat Intelligence）與數位犯罪部門（Digital Crimes Unit，DCU）公布調查，揭露一個以中文為主的網路犯罪生態系，並與日本網路犯罪控制中心（JC3）、醫療資安資訊分享組織Health-ISAC及多家業者，在法院授權下瓦解其主要開發者與基礎設施。微軟指出，自2026年1月起，
該生態系背後的行為者已促成逾10億封釣魚郵件與簡訊，寄往全球逾7.5萬個組織。
兩個代號，一條供應鏈
微軟將地下市集YAM Store追蹤為
Storm-3119，將三款釣魚套件的開發者與周邊活動追蹤為
Storm-2990。三款套件為
CoGUI（又名NX或FA）、
Haozi（又名Phoenix）與
Iron Man System，其中Iron Man System自2026年6月起在YAM Store上架。微軟高度確信套件由說中文的行為者開發，三者雖各有品牌與Telegram銷售管道，功能卻高度相似，可能同源、共用程式碼或密切合作。
YAM Store是初始存取代理商（initial access broker，IAB），販售以入侵或詐騙取得的Microsoft與Google雲端環境，並依帳號年份、訂閱類型，以及教育（.edu）、非營利（.org）等環境分級。
YAM Store的五階段運作
微軟歸納出五個階段：
- 第一階段為偵察：以Python框架Flask打造自動化工具，經Tor匿名探查雲端組織，找出Microsoft 365租用戶並蒐集授權與Azure資訊。
- 第二階段為接管：以PHP、Java/Spring與Cloudflare Workers建置後台，利用被竊的應用程式憑證，透過僅應用程式（application-only）驗證取得完整目錄控制權，可無聲重設密碼、指派教育授權。微軟指出，存取綁定應用程式而非使用者連線，持續性更高也更難偵測。
- 第三階段為濫用儲存資源：登入遭入侵的全域管理員帳號後，自行建立PnP Management Shell服務主體，授予自身廣泛的Microsoft Graph權限（含AppCatalog.ReadWrite.All）與SharePoint API完整控制權，再把SharePoint與OneDrive當成大量託管空間轉賣。
- 第四階段由自建DNS管理平台，透過Cloudflare集中管理釣魚網域與SSL憑證。
- 第五階段以自動化商店轉售，收款含支付寶、微信支付與USDT（TRC20）。
Iron Man System的功能
Iron Man System是以訂閱授權販售的釣魚即服務產品，授權網域寫死在套件內，限制僅付費客戶可用。套件含逾2,335個範本、針對逾139個國家，以美國最多，冒充對象涵蓋交通罰款、執法、醫療、金融與零售等單位。
套件具備地理圍欄、假驗證碼（CAPTCHA）關卡、IP黑白名單與反偵測設定，並可設定Telegram機器人，在受害者輸入帳密、信用卡資料或驗證碼時即時通知操作者。資料透過WebSocket回傳，操作者可即時監看並控制受害者下一個畫面。後台採開源Go框架GoFrame。據The Hacker News報導，Resecurity指出套件須定期連線授權伺服器才能運作。
下游攻擊與聯合行動
購買者的活動包括竊取憑證、裝置碼釣魚（device code phishing）與金融詐欺：前者冒充合法服務，後者誘使受害者向合法應用程式驗證以取得權杖，再以竊得的支付資料購買高價商品。受影響組織涵蓋醫療、金融、批發配銷與資訊科技，集中在日本、美國、澳洲與印度，其中美、日受影響最多。
調查始於2025年底，微軟接獲日本民眾遭惡意訊息攻擊的通報。參與行動的還有Resecurity、Cloudflare、Oracle、Proofpoint與TRM Labs等業者。微軟發言人向Dark Reading表示，已停用逾2萬個與YAM Store有關的租用戶，這些租用戶支撐逾14萬個惡意網域。微軟DCU總經理Steven Masada表示，YAM Store等只是龐大犯罪網路的一部分。微軟也指出，該生態系不限於濫用微軟服務。
防護建議
微軟建議組織：
- 對急迫的通知，直接聯絡寄件單位確認，不點連結
- 採用passkey與多因素驗證（MFA），搭配條件式存取，特權帳號採防釣魚MFA，並限制僅受信任位置與裝置可註冊
- 落實最小權限與零信任，收斂全域管理員權限
- 對內部收件者套用Defender for Office 365 Safe Links，並啟用網路防護
本文轉載自微軟資安部落格、TheHackerNews、DarkReading。