Microsoft kappt Domains der Phishing-Zulieferer

Microsoft und Health-ISAC haben auf Anordnung eines US-Bundesgerichts in Florida Domains von YAM Store, CoGUI und Iron Man übernommen und umgeleitet. Die drei Dienste ermöglichten nach Angaben von Microsoft seit Januar 2026 mehr als eine Milliarde Schadnachrichten gegen über 75.000 Organisationen. Diese Phishing-Infrastruktur ist nur ein Teil eines größeren kriminellen Netzwerks.

Verwandt: Wenn der Pentest-Agent die Seiten wechselt  ·  Wikimedia legt die Spuren von OpenAI-Agenten offen

Drei Zulieferer verlieren Domains

Microsoft und Health-ISAC haben die Infrastruktur von drei Anbietern unterbrochen, die Phishingkampagnen mit Werkzeugen und Zugängen versorgten. Auf Anordnung des United States District Court for the Southern District of Florida übernahmen beide Domains von YAM Store, CoGUI und Iron Man und leiteten sie um. Bei einer solchen Domainübernahme geht die Kontrolle über eine Internetadresse an einen neuen Inhaber über. Wer die Adresse danach aufruft, erreicht ein Ziel, das die bisherigen Betreiber nicht mehr steuern.

Die drei Dienste ermöglichten nach Angaben von Microsoft seit Januar 2026 weltweit mehr als eine Milliarde Schadnachrichten gegen über 75.000 Organisationen. Der Eingriff zielt damit auf die Dienstleister hinter den Kampagnen. Ihre Werkzeuge und Zugänge setzen nachgelagerte Angreifer ein.

Was ist ein Initial Access Broker? Ein Initial Access Broker verkauft Zugänge zu fremden IT-Umgebungen an andere Kriminelle. Im Fall von YAM Store handelt es sich um kompromittierte oder betrügerisch erlangte Cloudumgebungen von Anbietern wie Microsoft und Google. Die Käufer setzen den Zugang für eigene Angriffe ein, ohne ihn selbst erlangt zu haben.

Arbeitsteilung hinter den Kampagnen

Die drei Anbieter decken unterschiedliche Teile des Geschäfts ab. YAM Store arbeitet als Initial Access Broker, also als Vermittler für Erstzugänge. Der Dienst verkauft kompromittierte oder betrügerisch erlangte Cloudumgebungen von Anbietern wie Microsoft und Google. Wer dort kauft, beginnt einen Angriff mit einem bereits bestehenden Zugang.

CoGUI und Iron Man bedienen die Köderseite. CoGUI lieferte fertige Websites und Nachrichten, mit denen sich vertrauenswürdige Organisationen nachahmen ließen. Ab Mitte 2026 wurde CoGUI nach Angaben von TRM Labs zunehmend durch Iron Man ersetzt.

Im Iron Man System stecken nach Microsofts Untersuchung mehr als 2.335 Phishingvorlagen für mehr als 139 Länder. Diese vorgefertigten Köder ahmen Organisationen und staatliche Stellen nach. Nach Angaben von Resecurity umfasst der Iron-Man-Katalog 2.360 unterschiedliche Phishingpakete für 130 Zielregionen, Ergänzungen reichen bis zum 1. Oktober 2026. Die beiden Zählungen beziehen sich auf verschiedene Einheiten, einmal Länder und einmal Zielregionen.

Vom Köder zum Kontozugriff

In von Microsoft untersuchten Fällen missbrauchten Angreifer die Gerätecodeauthentifizierung. Bei diesem Anmeldeverfahren bestätigt ein Nutzer die Anmeldung eines Geräts oder einer Anwendung, indem er einen angezeigten Code auf einer Anmeldeseite eingibt. Die Angreifer verleiteten Opfer auf diesem Weg zur Anmeldung bei legitimen Anwendungen. Dadurch erhielten sie Authentifizierungstoken, also digitale Berechtigungsnachweise, die nach einer Anmeldung den Zugriff auf ein Konto gewähren. Mit diesen Token verschafften sie sich Zugriff auf die Konten der Opfer.

Reichweite des Eingriffs

YAM Store, CoGUI und Iron Man bilden nach Angaben von Microsoft nur einen Teil des größeren kriminellen Netzwerks. Die Domainübernahme steht deshalb neben weiteren Maßnahmen. Mit Stand vom 14. Oktober 2026 hatte Microsoft nach Angaben von TRM Labs mehr als 20.000 mit YAM Store verbundene Konten deaktiviert.

Zugleich setzt der Konzern die Entfernung von Infrastruktur fort. Er blockiert weiterhin mehr als 100.000 Domains, die für Identitätsnachahmung und Betrug verwendet wurden. Innerhalb des Ökosystems hatten sich die Gewichte schon vor dem Eingriff verschoben, als Iron Man ab Mitte 2026 zunehmend an die Stelle von CoGUI trat.

Schutz der Cloudidentitäten

Für betroffene Organisationen empfiehlt Microsoft folgende Bausteine zur Absicherung von Cloudidentitäten:

• Passkeys: kryptografische Anmeldeschlüssel anstelle eines Passworts.
• Mehrfaktorauthentifizierung: eine Anmeldung mit mehreren unabhängigen Nachweisen.
• Bedingte Zugriffsrichtlinien (Conditional Access): Regeln, die eine Anmeldung von Bedingungen wie Gerät, Standort oder Risiko abhängig machen.
• Prinzip geringster Rechte (least privilege): Jedes Konto erhält nur die Rechte, die es für seine Aufgabe braucht.

Die Empfehlungen betreffen jene Konten, deren Zugänge YAM Store verkauft und auf die Angreifer über erschlichene Token zugriffen.

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.

Ist eine Organisation kompromittiert, wenn Iron-Man-Vorlagen sie nachahmen?

Die Darstellung in einer Vorlage ist nach Angaben von Microsoft kein Hinweis darauf, dass die Systeme der nachgeahmten Organisation kompromittiert wurden. Das gilt auch für staatliche Stellen, die in den Vorlagen auftauchen.

Worauf zielen die Angreifer am Ende der Kette?

Die nachgelagerten Angreifer verfolgen nach Angaben von Microsoft das Ziel des Finanzbetrugs. Gestohlene Zahlungsdaten setzen sie für betrügerische Käufe hochwertiger Waren oder für Transaktionen auf legitimen Finanzplattformen ein.

Welche Rolle spielte TRM Labs?

TRM Labs unterstützte die Ermittlungen mit Informationen. Nach eigenen Angaben trugen diese entscheidend dazu bei, zugehörige Vermögenswerte zu lokalisieren und ihre Einfrierung zu ermöglichen.

Lesetipps der Redaktion

LesetippSimon Gooch: KI-Agenten brauchen einen getesteten StoppLesetippWenn gekaufte KI-Router Schadcode einschleusenLesetippKnowBe4: Ein Link startet drei Phishing-Wege

Mehr aus dem MBF Media Netzwerk

cloudmagazinGoogle kontert Meta mit Spitzen-KI zum halben Preis MyBusinessFutureWindows 11 begrenzt, worauf KI-Agenten zugreifen Digital ChiefsMicrosoft: Deutschland ist EU-Spitze bei Cyberangriffen

Bildquelle: KI-generiert (Oktober 2026)