翻译／摘录披露：本页为对 Proofpoint（Proofpoint Threat Research Team）《Disruption Targets Major Chinese-Language Phishing Kits with Japanese Focus》的中文翻译与摘录，原文著作权归该机构所有，内容以人类官方原文为准。
原文机构：Proofpoint（Proofpoint Threat Research Team）；原文名称：Disruption Targets Major Chinese-Language Phishing Kits with Japanese Focus；原文发布：2026-10-14；授权状态：Copyright © Proofpoint, Inc. 原文版权归 Proofpoint 所有；本译文由 ztpop.net 翻译并首发，保留原文署名与来源。
本页由 AI 承担翻译、摘录与排版工作，不含任何 AI 原创的技术结论；每一节均标注其对应的人类原文章节，如与原文有出入，以原文为准。

Proofpoint 剖析针对日本的高用量中文钓鱼工具包生态与联合打击行动

来源机构：Proofpoint（Proofpoint Threat Research Team）　|　原文：Disruption Targets Major Chinese-Language Phishing Kits with Japanese Focus　|　原文发布：2026-10-14　|　页面性质：中文翻译与摘录（非原创综述）

人类原文来源章节：Key findings（关键发现）

关键发现

一项针对中文网络犯罪钓鱼与欺诈生态中主要参与者的打击行动，对 Proofpoint 数据中量最大的几类威胁造成了打击。Proofpoint 在民事诉讼与打击行动中支持了 Microsoft 及其他公私合作伙伴。Proofpoint 活动数据中直接邮件威胁量最大的来源，是研究人员命名为 CoGUI、CoAceV 和 CoFish_Ws 的三个钓鱼工具包，它们都持续以日本组织为目标，且均在本次打击范围内。与这些钓鱼工具包相关的攻击活动冒充知名企业（主要是消费与金融品牌），分发的邮件达数亿封。Proofpoint 以高置信度评估：这些钓鱼工具包有共同根源，并被重叠的附属人员使用。此次打击还包含更广泛的生态赋能者 YAM Store 与 Iron Man，可能影响这些钓鱼工具包的效能与成功率，给威胁行为者造成运营、声誉与财务上的损失。

人类原文来源章节：Overview（概述）

概述

近期一次打击行动针对一组中文网络犯罪威胁行为者及其凭证钓鱼活动所依赖的基础设施。CoGUI 及相关基础设施在与 Proofpoint、Microsoft、日本网络犯罪对策中心（JC3）、Resecurity、Cloudflare、Oracle 与 TRM Labs 等公私合作伙伴协作下被打击。Microsoft 与共同原告 Health-ISAC 也对 YAM Store 威胁行为者及与钓鱼运营相关的个人提起了诉讼。Microsoft 与 Health-ISAC 扣押并重定向了支撑 YAM Store、CoGUI 与 Iron Man 欺诈的域名。

此次打击及在美国佛罗里达南区联邦地区法院的关联民事诉讼，可能对 CoGUI 运营及整体威胁活动产生重大影响。Proofpoint 以自身可见性提供的威胁数据（包括与 CoGUI、CoAceV、CoFish_ws 活动相关的恶意域名与信息）支持了 Microsoft 的行动，并为该诉讼提供了一份声明。除打击外，被扣押域名上展示了执法 splash 页面（图1）。

针对 responsible for 数亿封企图实施金融欺诈的恶意邮件的威胁行为者的打击，可能对中文钓鱼生态产生可衡量的影响，并在多个威胁团伙之间造成显著的运营摩擦。

人类原文来源章节：Background（背景）

背景

2024 年底，Proofpoint 研究人员发现一个持续以日本为目标、邮件活动量极高的新兴钓鱼活动集群。随后我们公开了名为「CoGUI」的钓鱼工具包细节，说明其如何冒充日本或国际知名企业以窃取用户名、密码与支付数据（如信用卡信息）。在我们发布报告后的几天里，该工具包开发者似乎在工具包中加入了一个玩笑作为回应——我们在网络通信中看到了新模式「coguicogui」。

自那以后，这个高度规避检测的工具包使日本成为 Proofpoint 数据中按活动量计算最受 targeting 的国家之一。我们每月检测并拦截超过 1 亿封使用 CoGUI 钓鱼工具包、意图窃取用户名、密码与支付数据的邮件。一年多后，根据 Proofpoint 数据，CoGUI 钓鱼工具包仍被网络犯罪分子定期使用。同时出现了另外两个与 CoGUI 密切相关的工具包，扩展了中文钓鱼工具包生态。我们将其命名为 CoAceV 与 CoFish_Ws，并以高置信度评估这三个工具包彼此相关。

它们属于更广泛的生态。根据 Microsoft 数据，自 2026 年 1 月以来，YAM Store、CoGUI 与 Iron Man 已支撑超过 10 亿封恶意邮件，目标覆盖全球 75,000 多个组织。

人类原文来源章节：Campaign Details（攻击活动细节）

攻击活动细节

总体而言，Proofpoint 观察到这三个钓鱼工具包冒充了 66 个不同品牌，其中大多数为日本品牌。被冒充的品牌示例包括 Amazon、PayPay、MyJCB、Apple、Orico、Rakuten、SMBC、Saison Card、Aeon Card、UC Card、Matsui Securities、DHL、Yamato Transport。

表格1：钓鱼工具包统计——CoGUI：1081 个活动、13586 个独立域名；CoAceV：242 个活动、2812 个独立域名；CoFish_Ws：19 个活动、191 个独立域名。总体来看，自开始追踪以来，我们已观察到这三个钓鱼工具包使用约 17,000 个独立域名。这些团伙频繁创建并轮换域名；例如 2026 年 7 月 1 日至 9 月 17 日期间，我们观察到三个工具包使用了 3,788 个独立完全限定域名（FQDN）。这表明其具备并拥有大规模购买与管理钓鱼基础设施的能力与资源。

邮件诱饵形式多样，可涉及金融与银行信息、信用卡或支付账户信息、消费零售信息，或物流运输等主题。邮件内含的 URL 经过包括 CAPTCHA 在内的多种过滤后，指向冒充被冒充企业登录或支付门户的落地页（图2-图5）。

人类原文来源章节：Phishing kit overlaps（钓鱼工具包之间的关联）

钓鱼工具包之间的关联

随着时间推移，我们发现不同钓鱼工具包之间存在重叠，包括 targeting 特征、诱饵落地页、URL 结构等方面。例如，2026 年 2 月，我们在 CoGUI 钓鱼工具包上看到一种新的诱饵方法：当浏览条件不满足时，该工具包会将浏览器诱导向 www.a.com、www.b.com 或 www.c.com。（诱饵被威胁行为者用于将被导向与钓鱼工具包不同的网站，以规避自动化沙箱检测。）在 CoGUI 开始使用该方法几天后，我们观察到 CoAceV 钓鱼工具包在活动中采用了完全相同的诱饵方法。

作为示例，两个 Apple 钓鱼活动——一个使用 CoGUI，一个使用 CoAceV——在 2026 年 4 月 13 日至 17 日同一时段出现，并使用了相同的诱饵页面。我们还观察到 URL 模式与路径上的重叠：独立域名由某个钓鱼工具包运营，但两者共享相同或相似的 URL 路径。一种 URL 模式被三个工具包共同使用：CoGUI 为 hxxps://lygyaou[.]com/9AioLNhtdi.kumamoto-city[.]jp；CoAceV 为 hxxps://ylhgkj[.]com/BCuXkTPfKZ.kumamoto-city[.]jp；CoFish_ws 为 hxxps://new-app-haixing[.]com/1DWSd1DeDf.kumamoto-city[.]jp。

人类原文来源章节：Impact（影响）

影响

绝大多数受追踪的 CoGUI/CoAceV/CoFish_Ws 活动影响日本，少数影响美国、澳大利亚与意大利。根据我们的邮件威胁数据，受影响最频繁的行业是金融服务与医疗健康，政府、教育与制造业位列受影响前五行业。威胁行为者似乎特别有兴趣获取金融服务的访问权限。2025 年，日本当局发布了针对金融机构钓鱼活动增加的细节。据称威胁行为者的目标是获取受害者账户以谋取经济利益，且在多数情况下利用非法所得购买中国股票。基于观察到的活动与第三方报告，这一活动可能与 CoGUI 凭证钓鱼威胁行为者相关，与该团伙的金融盗窃目标及欺诈活动一致。

人类原文来源章节：Disruption（打击行动）

打击行动

成功的账户接管会对被入侵组织造成重大损害，包括财务与声誉损失。CoGUI 及相关工具包量大且持续是 Proofpoint 数据中最活跃的威胁之一。通过此次针对包含 YAM Store 与 Iron Man 在内的更广泛生态的打击，我们希望改变这一局面。Proofpoint 的使命是为客户提供针对高级威胁的最佳以人为本的保护。在可能且适当的情况下（如本次 CoGUI 打击），Proofpoint 利用团队的知识与技能，帮助保护更广泛受众免受广泛的恶意软件与钓鱼威胁。Proofpoint 很自豪能协助对 CoGUI、CoAceV 与 CoFish_ws 活动的调查。通过其独特的视角，Proofpoint 能够识别最大、最具后果的邮件威胁分发活动，为有关部门提供急需的洞察，揭示影响全球最多人群的重大威胁。

常见问题（答案均取自上述人类原文章节）

CoGUI、CoAceV 与 CoFish_Ws 是什么？

它们是 Proofpoint 研究人员命名的三套中文钓鱼工具包，主要用于凭证钓鱼，持续以日本组织为目标，且被评估为有共同根源、由重叠的附属人员运营。其中 CoGUI 量最大：自追踪以来已有 1081 个活动、13586 个独立域名，Proofpoint 每月拦截超过 1 亿封使用 CoGUI 工具包的邮件。

这些钓鱼工具包造成了多大的影响？

根据 Microsoft 数据，自 2026 年 1 月以来，YAM Store、CoGUI 与 Iron Man 合计支撑超过 10 亿封恶意邮件，目标覆盖全球 75,000 多个组织；三个工具包合计使用约 17,000 个独立域名，并在 2026 年 7 月 1 日至 9 月 17 日间使用了 3,788 个独立 FQDN，显示出大规模购买与轮换基础设施的能力。

本次联合打击行动具体做了什么？

Microsoft 与 Health-ISAC 在美国佛罗里达南区联邦地区法院提起诉讼，并扣押、重定向了支撑 YAM Store、CoGUI 与 Iron Man 欺诈的域名；Proofpoint、日本网络犯罪对策中心（JC3）、Resecurity、Cloudflare、Oracle、TRM Labs 等公私伙伴参与协作，被扣押域名展示了执法 splash 页面。

被冒充的品牌主要有哪些？

Proofpoint 观察到 66 个被冒充品牌，多为日本品牌，包括 Amazon、PayPay、MyJCB、Apple、Orico、Rakuten、SMBC、Saison Card、Aeon Card、UC Card、Matsui Securities、DHL、Yamato Transport 等。

组织应如何防御此类以日本为焦点的钓鱼？

启用防钓鱼的多因素认证（MFA）；对外部邮件加注横幅并强化垃圾邮件过滤，阻断含可执行文件的邮件；及时修补与更新系统；建立将可疑邮件上报 IT 的流程；采用 SPF/DKIM 等邮件认证标准限制域名仿冒。

人类官方原文来源（source）

Proofpoint — Disruption Targets Major Chinese-Language Phishing Kits with Japanese Focus：https://www.proofpoint.com/us/blog/threat-insight/disruption-targets-major-chinese-language-phishing-kits-japanese-focus
Proofpoint — CoGUI Phish Kit Targets Japan With Millions of Messages：https://www.proofpoint.com/us/blog/threat-insight/cogui-phish-kit-targets-japan-millions-messages
日本金融厅（FSA）关于针对金融机构钓鱼活动增加的公告：https://www.fsa.go.jp/ordinary/chuui/chuui_phishing.html

本页为对 Proofpoint（Proofpoint Threat Research Team）《Disruption Targets Major Chinese-Language Phishing Kits with Japanese Focus》的中文翻译与摘录，原文著作权归该机构所有，内容以人类官方原文为准。本页仅作中文可达性辅助，任何技术决策请以上述官方原文为准。