🔍 Contexte

Publié le 14 octobre 2026 par Resecurity sur leur blog CTI, ce rapport documente l’investigation menée conjointement avec la Digital Crimes Unit (DCU) de Microsoft contre une opération commerciale de Phishing-as-a-Service (PhaaS) nommée « Iron Man System », opérée par des acteurs chinois.

🎯 Nature de la menace

Iron Man System est un kit PhaaS vendu à des acheteurs criminels sous forme de package auto-hébergé. Il comprend :

  • Un panneau d’administration bilingue (chinois/anglais) en version 6.3.1
  • Un backend en Go, distribué via une registry de conteneurs auto-hébergée (Gitea)
  • Un système de licence par abonnement avec vérification régulière (toutes les ~20 secondes) auprès d’un backend opérateur
  • 2 360 templates de pages d’hameçonnage impersonnant des services postaux, douaniers, fiscaux, bancaires, télécom et programmes de fidélité dans 130 pays

🏗️ Infrastructure identifiée

L’infrastructure se décompose en cinq familles de domaines :

  • peaceman[.]cc : backend de licence/autorisation (api2, ipapi2, bin2)
  • peaceloving[.]xyz : endpoint de télémétrie/logging (log2)
  • haoeryu[.]top : stockage objet S3-compatible (MinIO) fronté par CDN (ossapi)
  • aidchildren[.]cc / loveboy[.]xyz : registry Gitea + console de déploiement
  • haoyutai[.]cc : configuration legacy inactive

👥 Cluster d’opérateurs

La registry publique expose 8 comptes enregistrés (octobre 2025 – juin 2026), dont le compte admin (aidchildren[@]mail[.]com) identifié comme compte opérateur principal. Les autres utilisent des webmails libres (QQ, Gmail, ProtonMail).

📊 Ampleur du catalogue

  • 2 360 templates actifs au 1er octobre 2026
  • 911 versions de build publiées
  • 17,4 Go de données de télémétrie capturées
  • 75 000 organisations ciblées, 1 milliard d’emails de phishing
  • Croissance maximale en mai 2026 (322 templates ajoutés)
  • Marques les plus impersonnées : DHL (37), DPD (24), Apple (23), GLS (22), American Express (12), Amazon (12)

⚙️ Fonctionnement technique

Le binaire embarque un sous-système de catalogue de produits (devops-super/internal/controller/remotegoods) avec upload vers le backend de stockage. Les soumissions victimes capturent simultanément des données de carte bancaire (cardData.cardNumber) et des sélections de produits (SelectGoods), indiquant un usage orienté fraude e-commerce et smishing.

🏛️ Action coordonnée

Microsoft DCU a facilité une disruption de l’infrastructure des développeurs principaux. Resecurity a infiltré les communautés des acteurs via HUMINT et a acquis une licence pour analyser le backend en environnement isolé.

📄 Il s’agit d’un rapport de recherche CTI à visée défensive, documentant une opération PhaaS active avec attribution partielle à des acteurs chinois, dans le cadre d’une opération coordonnée de démantèlement.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • Iron Man System operators (cybercriminal) —

TTP

  • T1566.002 — Phishing: Spearphishing Link (Initial Access)
  • T1583.001 — Acquire Infrastructure: Domains (Resource Development)
  • T1583.004 — Acquire Infrastructure: Server (Resource Development)
  • T1588.005 — Obtain Capabilities: Exploits (Resource Development)
  • T1056.003 — Input Capture: Web Portal Capture (Collection)
  • T1102 — Web Service (Command and Control)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1608.005 — Stage Capabilities: Link Target (Resource Development)
  • T1036 — Masquerading (Defense Evasion)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 14 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • Iron Man System (other)

🟡 Indice de vérification factuelle : 55/100 (moyenne)

  • ⬜ resecurity.com — source non référencée (0pts)
  • ✅ 21005 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 20 IOCs (IPs/domaines/CVEs) (10pts)
  • ⬜ 0/5 IOCs confirmés externellement (0pts)
  • ✅ 9 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : Iron Man System operators (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.resecurity.com/blog/article/iron-man-yamstore-powering-a-global-phishing-as-a-service-ecosystem