🛡 CIBERCRIMEN 🛡

Yam Store: La red de phishing detrás de mil millones de mensajes

⏰15 de octubre de 2026🛡CyberObservatorio

Idioma

◢ CIBERCRIMEN ◣

Yam Store: La red de phishing detrás de mil millones de mensajes

⟫ 14/10/2026 ⟫ Alexander Culafi

Fuente: Dark Reading

En los últimos nueve meses, un ecosistema de phishing en lengua china ha estado detrás del envío de más de mil millones de correos electrónicos y mensajes SMS a decenas de miles de organizaciones. Este fenómeno no solo representa un avance significativo en las técnicas de cibercriminalidad, sino que también plantea serios riesgos para la seguridad de empresas y usuarios en todo el mundo. La investigación publicada por la unidad de inteligencia de amenazas de Microsoft y la Unidad de Delitos Digitales de Microsoft revela la complejidad de este ecosistema, que incluye desarrolladores de kits de phishing, vendedores de infraestructura y los clientes que adquieren estos kits.

En el núcleo de esta operación se encuentra Yam Store, un mercado de cibercriminalidad que Microsoft ha identificado con el nombre de Storm-3119. Este mercado ofrece múltiples kits de phishing a la venta e incluso dominios de Microsoft y Google que pertenecen a organizaciones legítimas, expiradas o previamente utilizadas. Esta estrategia permite a los actores de amenazas operar infraestructuras de phishing que parecen más confiables para las víctimas, eludiendo así las defensas automatizadas que podrían detectar estas actividades maliciosas.

El ecosistema de cibercriminalidad relacionado con el phishing ha experimentado un crecimiento exponencial en los últimos años, facilitado por la disponibilidad de kits y servicios que permiten a los nuevos actores de amenazas generar engaños, enviar mensajes masivos a posibles víctimas y mantener la infraestructura necesaria para explotar datos robados. La irrupción de modelos de lenguaje grandes (LLMs, por sus siglas en inglés) ha intensificado aún más el problema, ya que los cibercriminales pueden ahora utilizar inteligencia artificial para crear sitios de phishing convincentes o generar mensajes de correo electrónico sin errores.

Microsoft, en colaboración con el proveedor de ciberseguridad Resecurity, ha identificado tres kits de phishing a través de Yam Store, que son CoGUI, Haozi (también conocido como Phoenix) y Iron Man System. La compañía ha estado monitoreando a los desarrolladores detrás de estos kits, así como la actividad relacionada, bajo el nombre de Storm-2990. Desde enero de 2026, se estima que los actores de amenazas responsables de estos kits han facilitado el envío de más de mil millones de correos electrónicos y mensajes SMS de phishing a más de 75,000 organizaciones en todo el mundo.

Aunque Microsoft describe a Yam Store como parte de un ecosistema cibercriminal de habla china y considera que los desarrolladores de kits de phishing son de habla china, la empresa hace un seguimiento de los corredores de infraestructura y de los operadores de kits de phishing como grupos distintos pero estrechamente relacionados. La infraestructura proporcionada se entrega a los operadores de kits de phishing y otros clientes que la utilizan para llevar a cabo campañas de phishing a gran escala.

Entre los tres kits, Microsoft destacó especialmente el Iron Man System. Los investigadores señalaron que este sistema incluye más de 2,335 plantillas diseñadas para más de 139 países, incluyendo Australia, Japón, India y Estados Unidos, siendo este último el que más plantillas de phishing genera. Los engaños imitan diversas marcas y organizaciones de confianza, incluyendo gobiernos locales, fuerzas del orden, servicios de salud, finanzas, transporte y comercio minorista.

El objetivo final de estos ataques de phishing es, como es habitual, engañar a las posibles víctimas para que entreguen información sensible, como podría ser una solicitud falsa para pagar una multa de estacionamiento. Los kits incluyen técnicas de evasión tales como geofencing, puertas CAPTCHA falsas, listas de direcciones IP bloqueadas y permitidas, así como configuraciones anti-detección para evitar a los investigadores de seguridad. Además, se configura el uso de bots de Telegram, una herramienta popular entre los actores de amenazas para la coordinación de campañas; Microsoft informó que los clientes de los kits pueden configurar bots de Telegram para enviar notificaciones automáticas cuando un objetivo de phishing actúa sobre un engaño, como ingresar credenciales o códigos de verificación.

Microsoft ha indicado que Yam Store funcionaba como un corredor de acceso inicial, vendiendo no solo herramientas de phishing, sino también infraestructuras construidas sobre entornos de nube de Microsoft y Google que habían sido comprometidos o adquiridos fraudulentamente. "El mercado de Yam Store proporciona a los cibercriminales una plataforma para comprar dominios de Microsoft y Google adquiridos fraudulentamente, asociados con números de organizaciones legítimas, expiradas o previamente utilizadas, permitiendo a los actores utilizar infraestructuras que parecen legítimas y obtener espacios de trabajo a un costo relativamente bajo", señala el blog de Microsoft. "Storm-3119 utiliza automatización para identificar nombres de entornos u organizaciones expirados y aprovecha la información de clientes legítimos asociada a ellos para ayudar a eludir las detecciones existentes."

Desde una perspectiva de defensa cotidiana, Ross Filipek, CISO de Corsica Technologies, afirma que el abuso de servicios en la nube confiables es el aspecto más significativo de esta investigación. "Los empleados han sido instruidos para verificar a dónde los lleva un enlace, pero el phishing con códigos de dispositivo complica ese protocolo al dirigirlos a páginas de inicio de sesión genuinas", menciona. "La formación debe abordar si fueron ellos quienes iniciaron la solicitud, y los respondedores también necesitan investigar el acceso concedido en lugar de asumir que un restablecimiento de contraseña resuelve el problema."

Andrew Costis, gerente de ingeniería del equipo de investigación de adversarios en AttackIQ, resalta también el abuso de infraestructura en la nube como un tema que merece la máxima atención, "particularmente el acceso exclusivo a aplicaciones utilizado para administrar entornos comprometidos." "Una aplicación puede tener su propia identidad y permisos, con un secreto de cliente utilizado para autenticarla", señala Costis. "Restablecer la contraseña de un usuario no establece si ese acceso separado ha sido eliminado."

La labor de Microsoft no se ha limitado a identificar un ecosistema de phishing. Un portavoz de la empresa informó que Microsoft ha desactivado más de 20,000 inquilinos conectados a Yam Store, lo que, según la compañía, permitía más de 140,000 dominios maliciosos, al tiempo que ha reforzado las medidas de seguridad "para detectar, prevenir y desactivar cuentas fraudulentas de manera más efectiva."

"Como ocurre con cada interrupción, utilizamos lo que aprendemos a través de la investigación para mejorar continuamente nuestros productos y detecciones", expresó el portavoz de Microsoft. "En este caso, eso significó mejorar nuestra capacidad para identificar infraestructuras adquiridas fraudulentamente y detectar actividades de phishing que operan a través de ellas."

En su publicación, Microsoft incluyó detecciones e indicadores de compromiso para sus propios productos, pero también realizó varias recomendaciones de concienciación para las organizaciones. En concreto, los equipos de seguridad deberían educar a los usuarios sobre técnicas comunes de phishing, así como sobre cómo proteger datos personales y empresariales en las redes sociales, cómo filtrar comunicaciones no solicitadas y cómo reportar actividades sospechosas.

"En casi todos los casos observados por Microsoft, los engaños de phishing utilizados por los operadores de Storm-2990 seguían banderas rojas prescriptivas de estafas, incluyendo urgencia y tareas con límite de tiempo, como hacer clic en un enlace proporcionado con branding oficial", concluyó Microsoft. "Los usuarios deberían verificar con el supuesto remitente del mensaje o correo electrónico, incluso cuando la tarea implique iniciar sesión en una cuenta conocida y segura que no sea proporcionada por el enlace, o llamar directamente a la supuesta organización o empresa."

◢ CIBERCRIMEN ◣

Yam Store: The Phishing Network Behind a Billion Messages

⟫ 14/10/2026 ⟫ Alexander Culafi

Source: Dark Reading

A Chinese-language phishing ecosystem is behind the deployment of more than a billion emails and SMS messages to tens of thousands of organizations in the past nine months alone. Microsoft Threat Intelligence and Microsoft Digital Crimes Unit today published research concerning a cybercrime ecosystem dedicated to the tools and infrastructure needed to support phishing campaigns. The research coversphishing kitdevelopers, phishing infrastructure sellers, and the customers of three of these kits. At the center of the infrastructure side of the operation is Yam Store, a cybercrime marketplace Microsoft tracks as Storm-3119. Yam Store offered multiple phishing kits for sale and, perhaps most novel, Microsoft and Google domains associated with legitimate, expired, or previously used organizations, which allowed threat actors to operate phishing infrastructure that appeared more trustworthy to victims and automated defenses. The phishing cybercrime ecosystem has picked up significant steam in recent years, facilitated by an influx of kits and services that enable newer threat actors to generate lures, send messages to possible victims at scale, and maintain the infrastructure to exploit stolen data. The rise oflarge language models (LLMs)exacerbated the issue, as threat actors can now use AI to spin-up convincing phishing sites or generate error-free email lures. Microsoft and cybersecurity vendorResecurityidentified three phishing kits through the Yam Store, includingCoGUI,Haozi(also known as Phoenix), and Iron Man System. Microsoft tracks the developers behind these kits, and surrounding activity, as Storm-2990. "Since January 2026, the threat actors behind these kits have been responsible for facilitating the sending of over one billion phishing emails and SMS messages to over 75 thousand organizations worldwide," Microsoft said. While Microsoft describes Yam Store as part of a Chinese-language cybercriminal ecosystem and assesses the phishing-kit developers are Chinese-speaking, the company tracks the infrastructure broker and the phishing-kit operators as distinct but closely connected groups. According to the research, that infrastructure was then supplied to phishing-kit operators and other customers who used it to support large-scale phishing campaigns, while phishing kits such as CoGUI, Haozi, and Iron Man System were marketed through the same broader ecosystem. Among the three kits, Microsoft highlighted Iron Man System in particular. Researchers said the Iron Man System includes more than "2,335 templates tailored to over 139 countries including Australia, Japan, India, and the United States, with the United States accounting for the most phishing templates." Lures mimic various trusted brands and organizations including local government, law enforcement, healthcare, finance, transportation, and retail. The end goal, as is often the case with phishing attacks, is to trick potential victims into giving up sensitive information, such as through a phony request to pay a parking fine. The kits includeevasion techniqueslike geofencing, fake CAPTCHA gates, IP address block and allow lists, anti-detection configuration to avoid security researchers, and Telegram bot configuration. Telegram isa popular threat actor toolfor campaign coordination; Microsoft said kit customers can configure Telegram bots to send automatic notifications when a phishing target takes action on a lure, such as entering credentials or verification codes. Microsoft says Yam Store functioned as an initial access broker, selling not just phishing tools but also infrastructure built on compromised or fraudulently obtained Microsoft and Google cloud environments. "The Yam Store marketplace provides cybercriminals with a platform to purchase fraudulently acquired Microsoft and Google domains associated with legitimate, expired, or previously used organization numbers, allowing actors to use seemingly legitimate infrastructure and obtain workspaces at relatively low cost,"the blog postread. "Storm-3119 uses automation to identify expired environment or organization names and leverages legitimate customer information associated with them to help circumvent existing detections." Ross Filipek, CISO at Corsica Technologies, tells Dark Reading that the abuse of trusted cloud services is the most consequential aspect of this research from an everyday defender standpoint. "Employees have been taught to check where a link takes them, but device code phishing throws a wrench into that protocol by leading them to genuine sign-in pages," he says. "Training needs to address whether they initiated the request, and responders also need to investigate the access granted rather than assume a password reset finishes the job." Andrew Costis, engineering manager of the Adversary Research Team at AttackIQ, similarly highlights cloud infrastructure abuse as deserving the closest attention, "particularly the application-only access used to administer compromised environments." "An application can have its own identity and permissions, with a client secret used to authenticate it," Costis says. "Resetting a user's password does not establish whether that separate access has been removed." Microsoft's work did not solely involve identification of aphishingecosystem. A spokesperson for the company tells Dark Reading that Microsoft has disabled more than 20,000 tenants connected to the Yam Store, which the company says was enabling over 140,000 malicious domains, while also strengthening safeguards "to better detect, prevent and disable fraudulent accounts." "As with every disruption, we use what we learn through the investigation to continuously improve our products and detections," the Microsoft spokesperson says. "Here, that meant improving our ability to identify fraudulently obtained infrastructure and detect phishing activity operating through it." In the blog post,Microsoftincluded detections and indicators of compromise for its own products but also made a number of awareness-based recommendations for organizations. Namely, security teams should educate users about common phishing techniques as well as how to protect personal and business data on social media, how to filter unsolicited communication, and how to report suspicious activities. "In nearly all the cases observed by Microsoft, the phishing lures used by the Storm-2990 operators followed prescriptive scam red flags, including urgency, time-sensitive tasks such as clicking a provided link with official branding," Microsoft said. "Users should verify with the purported sender of the message or email, even when the task involves signing in to a known, secure account not provided by the link or calling the purported organization or company directly."

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD