- 微软联合日本国家警察局，成功摧毁一个涉及超10亿条恶意消息的网络犯罪应用商店。
- 涉事平台包括 YAM 商店、CoGUI 和 Iron Man，其服务覆盖全球150多个国家。
- Cloudflare、Oracle、Proofpoint、Resecurity 及 TRM Labs 等机构亦参与此次行动。
微软近日宣布，与日本国家警察局合作，成功破坏了一个网络犯罪应用商店。此次调查旨在揭露针对日本企业和公民的欺诈性诈骗信息，揭示了一个多面的犯罪市场运作模式。
数据显示，该犯罪网络在全球150多个国家的75,000个组织中发送了超过10亿条恶意通讯以推广诈骗活动。其中，约有7.5亿条消息专门针对微软的客户群体。
假冒身份模板与规避检测技术
调查人员锁定三家核心公司：YAM 商店、CoGUI 和 Iron Man。这些平台构成了网络犯罪生态系统的关键通道，为犯罪分子提供预制的假网站和信息模板，旨在欺骗受害者误以为正在与真实实体互动。
例如，骗子利用仿冒亚马逊（Amazon）的页面窃取用户的登录凭证和支付信息。此外，被仿冒的对象还包括政府机构、金融机构及其他知名公司。
值得注意的是，CoGUI 网络采用了复杂的规避检测手段，如浏览器指纹识别和地理围栏技术，导致传统安全软件难以有效处理。尽管 CoGUI 主要面向日本和美国受害者，但其基础设施在整个犯罪链条中扮演了重要角色。
YAM 商店作为“初始访问经纪人”
为了深入调查使用这些服务的网络犯罪分子，调查组引入了母语人士协助，并获取了 YAM 商店地下网络犯罪市场的访问权限。微软将该市场追踪编号标记为 Storm-3119，并将其描述为“初始访问经纪人”。该平台向客户提供在 Microsoft 和 Google 等提供商环境中受损或通过欺诈手段获得的账户。
为避免被出版商雷达发现，YAM 商店的创建者采用自动化技术保持库存更新。系统能够识别过期的账户或组织名称，并利用相关的合法客户信息进行替换，从而规避现有的检测机制。
目前，微软已查封与 YAM、CoGUI 和 Iron Man 基础设施相关的域名，并对这些地址实施阻止或重定向措施。
