Microsoft und Health-ISAC teilten am 14. Oktober 2026 mit, sie hätten auf Grundlage einer gerichtlichen Anordnung Domains übernommen und umgeleitet, die YAM Store, CoGUI und Iron Man zugeordnet waren. Im Register des US-Bundesbezirksgerichts für den südlichen Bezirk Floridas war die versiegelte Anordnung bereits am 7. Oktober eingetragen worden. Cybersecurity Dive berichtete, der Richter habe dem Antrag auf Kontrolle der Domains stattgegeben. Microsofts Mitteilung zur Aktion nennt die drei Dienste und die Umleitung der Domains; der Registereintrag trägt das Datum 7. Oktober.
Welche Aufgaben hatten YAM Store, CoGUI und Iron Man?
Microsoft beschreibt YAM Store als Marktplatz für betrügerisch beschaffte oder kompromittierte Cloud-Konten und Infrastruktur. CoGUI lieferte fertige Websites und Nachrichten, die Unternehmen, Finanzinstitute, Behörden und andere vertrauenswürdige Organisationen nachahmten. Iron Man stellte Vorlagen für solche Phishing-Auftritte bereit.
Für Zahlungen nannte Microsoft USDT im TRC20-Netzwerk, Alipay und WeChat Pay. Bis Mitte 2026 wurde Iron Man Microsoft zufolge zunehmend anstelle von CoGUI genutzt.
Welche Größenordnung meldete Microsoft?
Microsoft zufolge ermöglichten die drei Dienste seit Januar 2026 mehr als eine Milliarde schädliche Nachrichten, die sich gegen über 75.000 Organisationen in mehr als 150 Ländern richteten. Mehr als 750 Millionen davon seien auf Microsoft-Kunden ausgerichtet gewesen. Microsoft ordnete außerdem mehr als 20.000 mit YAM Store verbundene Konten als deaktiviert ein und erklärte am 14. Oktober, über 100.000 für Identitätsvortäuschung und Betrug genutzte Domains zu blockieren.
Microsoft und Resecurity identifizierten mehr als 2.300 Iron-Man-Vorlagen, die Organisationen in mehr als 150 Ländern nachahmten. Eine Organisation in einer Vorlage wiederzufinden, belegt laut Microsoft nicht, dass ihre Systeme kompromittiert wurden.
