Microsoft и Resecurity нарушили работу фишинговой платформы Iron Man System

Устройство набора рассчитано на покупателя без технических навыков. Установочная консоль проводит его через все шаги, а панель управления ведёт список уже развёрнутых поддельных сайтов. Интерфейс двуязычный: служебные подписи на китайском, элементы управления на английском. Название, которое видит покупатель, - Iron Man System, хотя внутри сборки сохранились следы другого имени проекта. При этом лицензия работает по подписке с обратным отсчётом дней. Лабораторная копия версии 6.3.1 обращалась к серверу поставщика примерно каждые двадцать секунд. Без этого контакта панель отказывается работать.

Чтобы разобраться в схеме, по данным Resecurity компания купила лицензию и развернула набор в изолированной лаборатории. Перехват исходящего трафика показал, какие серверы обслуживают лицензирование, телеметрию и хранение украденных сведений. Дальше удалось найти площадку, где группа публиковала новые версии набора, и сам каталог шаблонов. Отдельно, через работу с источниками внутри закрытых сообществ, Resecurity получила сведения о коллективе и его связях. За платформой стоит один устойчивый круг людей, а не разрозненные команды.

Основная ставка сделана на массовые рассылки, а не на адресные атаки. По числу подделок первое место занимает DHL - 37 вариантов страниц. Следом идут DPD с 24 шаблонами, Apple с 23 и GLS с 22. В список также попали испанское налоговое ведомство, Amazon, American Express и японский платёжный сервис PayPay. Курьерские и почтовые службы лидируют по количеству поддельных страниц, затем идут налоговые органы и банки.

Каталог растёт каждый месяц

Темпы обновления говорят о постоянной работе над содержимым. В мае 2026 года появились 322 новых или переработанных шаблона, в апреле - 176, в июне - 212, в июле - 191, в августе - 132. Свежие записи в каталоге датированы 1 октября 2026 года. Значит, продажи шли и в момент подготовки отчёта.

Восемь учётных записей и 911 сборок

Инфраструктура группы включает собственный реестр сборок. Он открыто показывал 911 опубликованных версий, а самая свежая появилась в течение недели после выхода отчёта. Публичный список пользователей содержал восемь учётных записей. Их создавали с октября 2025 по июнь 2026 года, поэтому коллектив работает минимум год. Из восьми аккаунтов лишь один связан с собственным почтовым доменом группы, остальные зарегистрированы на бесплатных сервисах вроде QQ, Gmail и ProtonMail. Так злоумышленники усложняют привязку к реальным людям.

Украденное хранится в отдельном облачном хранилище, которое группа держит под своим доменом. Общий объём только служебных данных оценивают в 17,4 ГБ. Разбор кода выявил подсистему каталога товаров и загрузки изображений. Она переносит список товаров для каждой страны, отправляет картинки на сервер группы и повторяет попытку при сбое. В записи о каждом пострадавшем рядом со сведениями банковской карты сохраняется выбранный товар и его цена.

Масштаб потенциального ущерба высок. Через шаблоны прошло около миллиарда фишинговых писем, адресатами которых стали сотрудники 75 тысяч организаций. Порог входа низкий: покупателю не нужны навыки программирования, а установка занимает минуты. Устойчивость к блокировке средняя. Лицензионная зависимость даёт защитникам единую точку воздействия, зато группа распоряжается несколькими семействами доменов и может перенести сервисы.

Пока платформа продаётся по подписке, порог входа в фишинг остаётся низким. Число поддельных страниц растёт быстрее, чем закрываются отдельные сайты. Удар по серверам лицензирования и сборки затрагивает сразу всю базу покупателей, тогда как точечное закрытие одного развёртывания почти ничего не меняет. Ценность для защитников смещается от отдельной фишинговой страницы к общей инфраструктуре поставщика. Готовые наборы превращают фишинг в обычный сервис с подпиской, поддержкой и регулярными обновлениями.