- 微软联合日本警方及 Proofpoint 等安全机构，成功捣毁一个大型中文网络犯罪市场
- 该市场通过 CoGUI 和 Iron Man 平台向全球组织发起大规模钓鱼攻击
- 在行动导致域名被查封、数千个账户被禁用前，该平台已发送超过 10 亿条钓鱼消息
去年下半年，微软启动了一项针对看似常规的网络钓鱼活动的调查。然而，随着深入挖掘，研究人员发现这背后隐藏着一个庞大的中文网络犯罪生态系统。在这个地下市场中，威胁行为者交易数字账户、网站托管服务，以及用于构建伪造网站和虚假身份的各种工具。
近日，微软披露了其与私营网络安全公司（包括 Proofpoint）及日本执法机构合作拆除该市场的详细过程。
YAM Store、CoGUI 与 Iron Man：从工具到生态
此次调查的起因是日本国家警察局（NPA）向微软通报了一波针对该国个人和企业的欺诈活动。研究人员随后定位到一个名为“YAM Store”的大型地下黑市，并观察到其中正在出售假冒的 Microsoft 和 Google 账户。
在该商店中，两款关键工具引起了注意：CoGUI 和 Iron Man。据微软解释，CoGUI 本质上是一个网站构建框架，为犯罪分子提供了现成的模板和信息，使其能够伪装成公司、金融机构、政府机构及其他可信组织。这意味着罪犯无需自行开发欺诈性网站，即可快速部署旨在窃取密码、支付信息和其他个人数据的页面。CoGUI 迅速成为该生态系统中使用最广泛的产品之一，主要目标锁定日本和美国受害者。
然而，到了 2026 年中期，Iron Man 逐渐取代了 CoGUI 的地位。Iron Man 进一步扩展了这一模型，允许犯罪分子访问成千上万个预制模板，从而能够快速部署针对特定品牌、行业和国家的电子邮件、短信及网络内容。微软指出，Iron Man 提供了超过 2,300 个模板，涵盖银行、零售商、医疗服务提供商、警察局等多种场景，并在全球 150 多个国家被找到。
这一基础设施在网络犯罪界极具吸引力。仅今年一年，该平台就驱动了超过 10 亿条钓鱼消息，波及全球 75,000 个组织。自年初以来，微软客户收到的此类恶意消息数量已超过 7.5 亿条。这些攻击为运营者带来了数百万美元的非法收益。
跨国协作下的打击行动
目前，微软表示该网络正处于拆除过程中。在获得美国佛罗里达州南区联邦地区法院的命令后，微软与 Health-ISAC（一家协助医疗机构共享网络威胁情报的全球性非营利组织）合作，查封并重新定向了指向 YAM Store、CoGUI 和 Iron Man 的域名。
与此同时，微软禁用了与该商店关联的超过 20,000 个账户，并持续移除其服务上托管的基础设施以瓦解该运营。截至目前，此次行动已封禁超过 100,000 个用于冒充和欺诈的域名。
调查人员认为，虽然从针对日本的诈骗活动入手，但 YAM Store、CoGUI 和 Iron Man 只是更大犯罪网络的一部分。破坏这些核心组件显著增加了犯罪分子获取账户、工具和基础设施的难度。
尽管拆除基础设施成效显著，但若缺乏逮捕行动，类似市场往往会在日后重现。作为对比，执法机构在 2025 年初关闭两个主要平台 Cracked 和 Nulled 时，不仅逮捕了两名嫌疑人，还没收了 17 台服务器和 50 多个电子设备。据统计，提供非法商品和服务的论坛总用户数超过 1000 万，调查人员估计被捕嫌疑人从中获利超过 100 万美元。
