微软披露隐藏网络：支撑全球网络犯罪的钓鱼基础设施生态系统内幕

来源机构：Microsoft　|　原文：The hidden network: Inside the phishing infrastructure ecosystem powering global cybercrime　|　原文发布：2026-10-14　|　页面性质：中文翻译与摘录（非原创综述）

研究概述：一个由中文威胁行为者驱动的网络犯罪生态系统

过去一年，Microsoft 发现了一个以中文（Chinese-language）为主导的网络犯罪生态系统，它是一个由钓鱼工具包（phishing kit）运营者、开发者与非法 marketplace 构成的互联网络，对外售卖用于大规模钓鱼的工具与基础设施。威胁行为者购买并使用了这些工具——包括钓鱼工具包，以及被入侵或欺诈获取的 Microsoft 或 Google 云环境及相关凭证——targets 了日本、美国、澳大利亚、印度等地的医疗、金融服务、批发分销与信息技术行业。Microsoft 数字犯罪部门（Digital Crimes Unit, DCU）协同全球执法机构，facilitated 并 disrupted 该生态系统的主要开发者与基础设施。

这项研究从单个钓鱼工具包出发，逐步 unraveled 一个更大的生态系统：钓鱼工具包开发者、基础设施 dealer（即 Storm-3119 / YAM Store），以及从双方购买的威胁行为者（即 Storm-2990）。

揭开钓鱼工具包生态系统的隐秘世界

Microsoft 与行业伙伴 Resecurity 识别了通过 YAM Store 售卖的三个钓鱼工具包：CoGUI（亦称 NX 或 FA）、Haozi（亦称 Phoenix）与 Iron Man System，并将这三个工具包及其开发者集群追踪为 Storm-2990。

关键统计数据如下：自 2026 年 1 月起，这些工具包背后的威胁行为者已发送超过 10 亿（one billion）封钓鱼邮件与 SMS 消息，targeting 全球超过 75,000 家组织。Microsoft 以高置信度（high confidence）评估这些工具包由中文威胁行为者开发；尽管品牌不同、拥有独立的 Telegram 销售渠道，但其能力与功能高度相似，提供仿冒全球政府、金融与物流品牌的模板。销售时间线上，YAM Store 先广告 CoGUI 与 Haozi，随后自 2026 年 6 月起广告 Iron Man System。支付渠道通过加密货币 USDT 与 Ethereum 收款以隐匿非法活动。在生态关系上，YAM Store（Storm-3119）将欺诈获取的基础设施卖给 CoGUI、Haozi、Iron Man System（Storm-2990），后者再服务其他威胁行为者。

Storm-3119：YAM Store，基础设施权力掮客

YAM Store 是一个初始访问掮客（initial access broker, IAB），售卖使用被入侵或欺诈获取的 Microsoft/Google 环境的基础设施，提供基于年龄、订阅类型、环境类型（如 .edu、.org）的产品。其利用自动化识别过期环境或组织名，并借用合法客户信息规避检测。

该组织运作一套五阶段攻击管道（five-stage attack pipeline）：阶段一——侦察（Reconnaissance），使用轻量 Python Web 框架 Flask 通过 Tor 匿名发现 Microsoft 365 tenants，评估注册机会，收集许可与 Azure 信息；阶段二——环境接管（Environment takeover），使用 PHP、Java/Spring、Cloudflare Workers 实现管理面板，利用 client secret（app-only authentication）进行完全目录控制——静默重置密码（不强制下次登录修改）、分配教育许可、授予特权属性，实现应用级持久化；阶段三——存储与资源滥用（Storage and resource abuse），以 Global Administrator 身份登录，自提供 PnP Management Shell service principal，授予 Microsoft Graph 权限（read/write directory、AppCatalog.ReadWrite.All）及 SharePoint API 控制，滥用 SharePoint 与 OneDrive 作为批量托管；阶段四——钓鱼与 DNS 基础设施支撑，自定义 DNS 管理平台通过 Cloudflare 集中控制钓鱼域名、SSL 证书与路由；阶段五——店面与变现（Storefront and monetization），自动化 storefront 转售劫持账户、许可与存储，支付接受 Alipay、WeChat Pay、USDT（TRC20），Telegram 仅用于订单通知而非主销售渠道。

在欺诈组织创建方面，Storm-3119 使用 AI 生成内容与伪造文档建立欺诈 tenant，案例包括创建假非营利组织 "Jewish Choice"，关联域名 jewishchoice[.]org。

Storm-2990：Iron Man System 钓鱼工具包

YAM Store 售卖非法基础设施及 Storm-2990 的 PaaS 产品。Iron Man System 客户购买订阅以访问 license server（域名 hard-coded 限制仅付费客户访问）。该工具包包含超过 2,335 个模板，tailored to 139 个国家（包括澳大利亚、日本、印度、美国，其中美国模板最多）。诱饵仿冒本地政府（如交通停车费）、执法、医疗、金融、运输与零售品牌；美国诱饵多为交通或政府相关。

其采用的高级规避技术包括：地理围栏（Geofencing，限制特定国家浏览器访问）、Fake CAPTCHA gates（阻止安全研究工具自动浏览）、IP 地址黑名单与白名单、Anti-detection 配置，以及 Telegram bot 配置（bot tokens、chat IDs 实现实时凭证外泄）。工具包通过 WebSocket 收集信息，提供实时 Telegram 通知，支持操作员监控受害者进度并手动控制页面的交互式钓鱼。在基础设施归属上，面板主要托管于 China-based hosting providers，使用开源 Go 框架 GoFrame（中国开发者生态根源）。

Storm-2990 钓鱼工具包的下游活动

观察到下游威胁行为者使用 Storm-2990 关联基础设施进行以下活动：凭证窃取（Credential stealing，仿冒页面诱骗凭证）、设备码钓鱼（Device code phishing，滥用 device code authentication flow 获取认证 token）、金融欺诈（Financial fraud，用被盗支付数据购买高端商品或进行欺诈交易）。常用手法是在消息中制造 urgency（紧迫性）、附加恶意链接重定向至 actor-controlled 基础设施；着陆页仿冒全球科技、流媒体与经纪服务。

缓解与防护指导

在用户意识与验证方面：几乎所有观察到的 Storm-2990 诱饵都带有 urgency 与时间敏感任务（如点击带官方品牌的链接）。用户应直接与声称的发送者验证，即便任务涉及登录已知安全账户。应教育用户保护个人与商业信息、过滤主动通信（unsolicited communication）、识别 spear-phishing 与 watering holes、并报告侦察行为。常见钓鱼技术方面：自 2021 年起 Microsoft Azure 交互会提示用户确认（Cancel or Continue）登录应用，而钓鱼登录常缺少此选项。

邮件安全配置方面：审阅 Exchange Online Protection 与 Microsoft Defender for Office 365 的推荐设置；配置 Defender for Office 365 的 Safe Links policy 应用于内部收件人（internal recipients）。凭证与云身份强化方面：使用无密码方案如 passkeys 与 MFA（multifactor authentication）；践行最小特权原则与 Zero Trust，锁定 Global Administrator 角色；使用 Microsoft Authenticator app 进行 passkeys/MFA，配合 Conditional Access policies；对特权账户强化 phishing-resistant MFA；仅允许从可信位置与设备进行 MFA/passkey 注册；启用 network protection 阻止访问恶意域名。

Microsoft Defender 检测覆盖

Microsoft Defender 跨端点、身份、邮件与应用提供集成保护。针对下游 Storm-2990 活动，检测覆盖包括：初始访问（Initial access）——Microsoft Entra ID Protection 检测 Atypical travel、Malicious IP address、Unfamiliar sign-in properties；Microsoft Defender for Office 365 检测恶意 URL 点击、投递后移除含恶意 URL 的邮件、用户报告的钓鱼/恶意邮件；Microsoft Defender for Cloud 识别与威胁情报相关的可疑域名通信。凭证访问（Credential access）——Entra ID Protection 检测 Password Spray；Defender for Endpoint 检测潜在钓鱼网站、网络保护拦截的可疑连接；Defender for Identity 评估用户身份风险与异常资源访问；Defender XDR 识别通过异常密码喷洒或凭证泄露导致的账户泄露。

Microsoft Security Copilot 已嵌入 Defender，可部署 Threat Intelligence Briefing agent、Phishing Triage agent、Threat Hunting agent、Dynamic Threat Detection agent 等智能体。Defender XDR 客户可使用报告 *Threat Overview Profile: Evolving phishing threats*。

常见问题（答案均取自上述人类原文章节）

这次披露的钓鱼生态系统主要由哪些威胁行为者构成？

该生态系统由钓鱼工具包开发者/运营者集群 Storm-2990（涵盖 CoGUI/NX/FA、Haozi/Phoenix、Iron Man System 三个工具包）与基础设施掮客 Storm-3119（YAM Store）构成。YAM Store 将欺诈获取的 Microsoft/Google 云环境卖给 Storm-2990 的工具包运营者，后者再服务下游威胁行为者。Microsoft 以高置信度评估这些工具包由中文威胁行为者开发。

Storm-2990 相关活动在规模上达到了什么程度？

自 2026 年 1 月起，这些工具包背后的威胁行为者已发送超过 10 亿封钓鱼邮件与 SMS 消息，targeting 全球超过 75,000 家组织。Iron Man System 单个工具包即包含超过 2,335 个模板，覆盖 139 个国家。

针对这类钓鱼攻击，Microsoft 给出的核心防护建议是什么？

核心建议包括：用户直接与声称的发送者验证紧急请求；审阅并强化 Exchange Online Protection 与 Defender for Office 365（尤其将 Safe Links policy 应用于内部收件人）；采用 passkeys 与 MFA、践行最小特权与 Zero Trust、锁定 Global Administrator、对特权账户强制 phishing-resistant MFA，并启用 network protection 阻断恶意域名。

邮件系统管理员可以从中学到哪些检测要点？

应关注 Entra ID Protection 的异常登录信号（Atypical travel、Malicious IP、Password Spray）、Defender for Office 365 的恶意 URL 点击与投递后移除，以及 Defender for Identity/Cloud 对异常资源访问与可疑域名通信的识别，并将这些信号纳入统一的 XDR 调查。