Microsoft, en colaboración con Health-ISAC, el Japan Cybercrime Control Center (JC3) y otras empresas del sector privado como Resecurity y Proofpoint, ha anunciado la desarticulación de tres kits de phishing: CoGUI, Haozi y Iron Man System. Estos kits, operados por una red criminal de habla china, han sido responsables de facilitar el envío de más de mil millones de correos electrónicos y mensajes SMS fraudulentos a más de 75 mil organizaciones en todo el mundo, abarcando sectores como el financiero, salud y logístico.
La operación judicial se originó a partir de una investigación iniciada por Microsoft a finales de 2025 tras identificar campañas maliciosas en Japón. El ecosistema cibercriminal detrás de estos kits, rastreado como Storm-3119, operaba un mercado ilícito (YAM Store) que ofrecía herramientas e infraestructura, a menudo utilizando entornos de Microsoft o Google comprometidos. Los desarrolladores de los kits, identificados como Storm-2990, compartían código e infraestructura, indicando una estrecha colaboración.
Estos kits de Phishing-as-a-Service (PhaaS) ofrecían plantillas de suplantación de identidad para marcas y organizaciones legítimas en más de 150 países, permitiendo operaciones masivas de robo de credenciales. Los atacantes compraban estos kits y acceso a entornos de nube comprometidos, utilizando SharePoint y OneDrive para alojar contenido de phishing. Empleaban técnicas avanzadas de evasión como CAPTCHA falsos, listas de bloqueo y permiso por IP, y alertas vía Telegram para monitorear víctimas. El pago se realizaba con criptomonedas como USDT y Ethereum para ocultar la actividad ilícita.
La desarticulación de YAM Store y los kits CoGUI, Haozi e Iron Man System dificulta significativamente las operaciones de esta red criminal. Aunque la noticia se centra en la ofensiva contra los atacantes, subraya la sofisticación de las amenazas de phishing y la necesidad de defensas multicapa. La capacidad de estos kits para operar de forma global y adaptarse a diferentes marcas demuestra que la vigilancia constante y la implementación de soluciones robustas son esenciales para proteger la información y los activos de las organizaciones.
Qué significa para tu empresa: La persistencia de campañas de phishing a gran escala como las que utilizaban estos kits resalta la importancia crítica de una protección del correo robusta. En Ingeniería Telemática S.A.S., implementamos defensas avanzadas que detectan y neutralizan correos fraudulentos antes de que lleguen a la bandeja de entrada de sus empleados, fundamental para evitar que sus usuarios sean el punto de entrada de un ataque. Este enfoque se integra en nuestra seguridad gestionada por capas para ofrecer una defensa integral.
Fuente original: The Hacker News — ver artículo →