Microsoft démantèle CoGUI, Iron Man et YAM Store : 1 milliard de messages

Microsoft, l’organisation Health-ISAC et le centre japonais de lutte contre la cybercriminalité JC3 ont annoncé le 14 octobre 2026 la neutralisation de trois kits de phishing, CoGUI, Haozi et Iron Man System, ainsi que de la place de marché YAM Store, qui auraient servi à envoyer plus d’un milliard de courriels et SMS frauduleux depuis janvier 2026.

Que contenait ce réseau de phishing ?

Selon Microsoft, l’opération, autorisée par un tribunal, découle d’une enquête ouverte fin 2025 après des campagnes visant le Japon. Les messages auraient touché plus de 75 000 organisations dans plus de 150 pays, et rapporté des dizaines de millions de dollars à leurs opérateurs d’après Health-ISAC. Microsoft suit YAM Store sous le nom Storm-3119 et les développeurs des trois kits sous le nom Storm-2990 ; le recoupement des outils et de l’infrastructure suggère un développement commun, ce qui reste une déduction de l’éditeur.

YAM Store vendait aussi l’accès à des environnements Microsoft ou Google compromis ou obtenus frauduleusement, payés en cryptomonnaies (USDT, Ethereum). Les kits imitaient des marques de la finance, de la logistique ou de l’administration, et filtraient les visiteurs par pays, avec de fausses vérifications CAPTCHA contre les robots.

Quels chiffres sur les kits ?

• Environ 17 000 domaines distincts ont été utilisés par les trois kits, selon Proofpoint et ses partenaires.

• Iron Man System, apparu en juin 2026 et en train de supplanter CoGUI selon TRM Labs, propose plus de 2 335 modèles de pages pour 139 pays selon les chiffres cités par The Hacker News.

• Resecurity, qui a testé une licence en laboratoire, compte 2 360 leurres pour 130 pays et régions, et a trouvé un serveur hébergeant 911 versions du panneau d’administration entre octobre 2025 et juin 2026.

• Chaque kit doit contacter un serveur de licences : le neutraliser dégrade tous les déploiements, note Resecurity.

Cela suffira-t-il à réduire le phishing ?

Pas nécessairement. Steven Masada, directeur juridique adjoint de la Digital Crimes Unit de Microsoft, précise lui-même que ces services ne sont qu’une partie d’un réseau criminel plus vaste. Les saisies de domaines freinent les opérateurs, mais les kits peuvent être reconstruits, et nous n’avons pas de mesure indépendante de l’effet sur le volume de messages. L’opération intervient moins d’un mois après le démantèlement d’EvilTokens, un service de phishing par code d’appareil.

Pour les particuliers, la règle reste la même : ne jamais saisir ses identifiants après un lien reçu par message, et passer par l’application ou le site officiel. Voir aussi notre article sur la fuite de données Cartoon Network, un autre rappel que les identifiants volés circulent vite.

Source

The Hacker News, article du 14 octobre 2026 ; The Verge; BleepingComputer.