Microsoft e Proofpoint desmantelaram nesta semana o ecossistema criminoso de língua chinesa que sustenta o phishing de maior volume do planeta: a loja underground YAM Store e os kits CoGUI, CoAceV, CoFish_Ws e Iron Man System. A ação, conduzida em processo civil na corte federal da Flórida com apoio do Japan Cybercrime Control Center, da Cloudflare, da Resecurity e do Health-ISAC, apreendeu e redirecionou domínios usados pela rede, que habilitou mais de um bilhão de mensagens para mais de 75 mil organizações desde janeiro de 2026. Para a equipe de defesa, a decisão prática imediata não é comemorar o takedown: é auditar tenants de nuvem abandonados, registros de aplicativo e principais de serviço, porque era exatamente essa infraestrutura legítima roubada que dava escala ao crime.
Como a rede opera
O relatório técnico da Microsoft divide o trabalho da YAM Store, rastreada como Storm-3119, em cinco estágios. Começa com reconhecimento automatizado: um utilitário escrito em Flask identifica tenants do Microsoft 365 com oportunidades de inscrição, dados de licenciamento e informações de Azure, operando anonimamente via Tor. Quando um ambiente viável aparece, o ator assume o controle com painéis administrativos próprios, implementados em PHP, Java/Spring e Cloudflare Workers.
O ponto central para o defensor está no segundo estágio. Usando o client secret roubado do ambiente em um fluxo de autenticação apenas de aplicativo, o painel do invasor obtém controle total do diretório: ele reseta senhas em silêncio, sem forçar troca no próximo login, atribui licenças de educação e concede atributos privilegiados que monetiza depois. A YAM Store sequestra tenants do Microsoft 365 e do Azure for Education e revende contas, licenças e armazenamento roubados como serviço para operações de phishing. A persistência fica ancorada no aplicativo, não em uma sessão de usuário — por isso sobrevive a trocas de senha e é mais difícil de detectar.
No terceiro estágio, o ator entra com uma conta de administrador global comprometida e provisiona o service principal do PnP Management Shell dentro do tenant. Com ele, concede a si mesmo permissões amplas do Microsoft Graph, incluindo AppCatalog.ReadWrite.All e controle total da API do SharePoint. O SharePoint e o OneDrive do ambiente roubado viram hospedagem em massa das páginas de golpe, e o armazenamento sequestrado se transforma em produto no underground.
Os estágios finais completam o negócio. Uma plataforma própria de gestão de DNS centraliza domínios de phishing, certificados SSL e roteamento via Cloudflare, e uma loja automatizada revende tudo, com pagamentos em Alipay, WeChat Pay e USDT na rede TRC20, além de nível de subrevendedor. A Microsoft também documentou organizações fraudulentas criadas do zero, provavelmente com conteúdo gerado por IA, para obter tenants com aparência institucional legítima.
Os números da operação
Os kits do cluster Storm-2990 — CoGUI, Haozi e Iron Man System, mais os aparentados CoAceV e CoFish_Ws descritos pela Proofpoint — se passaram por 66 marcas diferentes, a maioria japonesa: Amazon, PayPay, MyJCB, Apple, Rakuten, SMBC, DHL e o serviço de transporte Yamato entre elas. A Proofpoint registrou cerca de 17 mil domínios únicos usados pelos três kits aparentados desde o início do rastreamento, com 1.081 campanhas e 13.586 domínios só para o CoGUI. Entre 1 de julho e 17 de setembro de 2026, os três kits giraram 3.788 nomes de domínio completos — sinal de capacidade industrial de comprar e gerenciar infraestrutura.
O volume é o dado que importa para o gestor de capacidade: a Proofpoint detecta e bloqueia mais de 100 milhões de mensagens por mês apenas do kit CoGUI. Na média da série histórica, o kit rodava cerca de 50 campanhas por mês, cada uma concentrada em janelas de três a cinco dias.
O kit Iron Man System
Anunciado na YAM Store a partir de junho de 2026, o Iron Man System é a ponta mais recente do cluster. Os templates do kit imitam organizações legítimas de governo, finanças e logística em vários países, com páginas de destino que copiam serviços de tecnologia, streaming e corretoras. As iscas observadas incluem cobranças de pedágio pendente e multas de trânsito — temas que funcionam em qualquer país e que se traduzem sem esforço para marcas locais.
Do lado da vítima, as páginas usam técnicas de evasão herdadas do CoGUI: geofencing para exibir conteúdo só nas regiões-alvo, filtragem de cabeçalhos e fingerprinting do navegador para recusar sandboxes e sistemas automatizados de análise. Em várias campanhas, um CAPTCHA aparece antes da página falsa de login, o que basta para enganar a vítima e atrapalhar o crawler de segurança.
O que muda para o Brasil
O foco histórico dos kits é o Japão, mas a infraestrutura vendida pela YAM Store é global: a Microsoft lista saúde, serviços financeiros, distribuição atacadista e tecnologia entre os setores afetados no Japão, nos Estados Unidos, na Austrália e na Índia, e a Proofpoint registrou campanhas também nos Estados Unidos, Austrália e Itália. O risco que atravessa fronteiras não é o template em japonês; é o modelo de negócio: tenants legítimos roubados dão reputação de envio à mensagem fraudulenta, e domínios recém-registrados com boa aparência barateiam o ataque.
Para quem responde a fraude no Brasil, o padrão já é familiar dos golpes de impostação financeira, como os pedidos falsos por Pix que imitam bancos e instituições. A diferença é que, no ecossistema YAM Store, o criminoso compra a infraestrutura pronta por criptomoeda, sem precisar saber operar um servidor.
Sinais a monitorar
| Sinal | Onde olhar | Risco |
|---|---|---|
| Service principal do PnP Management Shell criado sem chamado | Log de auditoria do diretório | Persistência de aplicativo no tenant |
| Reset de senha silencioso, sem exigir troca no próximo login | Eventos de atividade de diretório | Fluxo apenas de aplicativo com client secret roubado |
| Licenças de educação atribuídas a usuários inesperados | Relatórios de licenciamento | Monetização de tenant sequestrado |
| Upload em massa no SharePoint ou OneDrive | Relatórios de uso de armazenamento | Hospedagem de páginas de golpe |
| Novo tenant com domínio recém-registrado imitando ONG | Monitoramento de marcas e domínios | Instituição fraudulenta criada para obter ambiente |
| CAPTCHA antes da página de login e recusa de navegador automatizado | Campanhas reportadas por usuários | Kit com fingerprinting e geofencing |
Ações P1 e P2
P1 — inventariar e girar credenciais de aplicativo. Liste todos os registros de aplicativo e service principals do tenant, identifique client secrets e certificados sem rotação recente e troque os que não têm dono conhecido. Revise permissões do Microsoft Graph concedidas a aplicativos, com atenção a AppCatalog.ReadWrite.All e controle total do SharePoint. Verifique se existe service principal do PnP Management Shell provisionado sem justificativa e remova.
P1 — auditar tenants legados. Ambientes de educação ou sem fins lucrativos desativados, mas ainda ativos no provedor de nuvem, são o alvo preferencial do Storm-3119. Decida entre encerrar formalmente o tenant ou reduzir privilégios ao mínimo; a opção padrão deve ser encerrar.
P2 — planejar defesa contra infraestrutura legítima. Como o envio pode vir de domínios de nuvem legítimos, filtros baseados só em reputação de domínio falham. Combine verificação fora do canal — o usuário confirmar o pedido por contato conhecido antes de agir — com alertas para resets de senha sem interação do usuário. Se credenciais de clientes ou funcionários já caíram em golpes, o caminho prático para o titular é o mesmo do verificar vazamento de dados sem entregar mais dados.
P2 — planejar para o próximo kit. O takedown apreendeu domínios, mas o código dos kits e os desenvolvedores seguem no mercado. Trate a campanha atual como interrupção temporária e mantenha a detecção atualizada: as regras públicas da Proofpoint para páginas de destino CoGUI servem de base para busca ativa em logs de proxy e DNS.