ФБР закрыло фишинговый сервис W3LL, что привело к аресту разработчика.

[zender]

ФБР в Атланте и индонезийские власти ликвидировали глобальную фишинговую платформу "W3LL", изъяв инфраструктуру и арестовав предполагаемого разработчика. Это описывается как первая скоординированная операция по борьбе с разработчиком фишинговых наборов, проведенная совместно Соединенными Штатами и Индонезией.


W3ll Store представлял собой набор для фишинга и онлайн-торговую площадку, позволявшую киберпреступникам украсть тысячи учетных данных и совершить мошеннические действия на сумму более 20 миллионов долларов.


«Этот веб-сайт был изъят в рамках скоординированной операции правоохранительных органов против W3LL STORE», — говорится в сообщении об изъятии на веб-сайте w3ll[.]store.

«Домен w3ll.store был изъят Федеральным бюро расследований в соответствии с ордером на изъятие, выданным в соответствии со статьями 981 и 982 раздела 18 Кодекса США Окружным судом Соединенных Штатов по Северному округу Джорджии в рамках совместной правоохранительной операции Федерального бюро расследований».

На сайте магазина W3LL отображается баннер, предупреждающий о возможном приступе.
Источник: BleepingComputer

Фишинговый набор W3LL продавался за 500 долларов и позволял злоумышленникам создавать убедительные копии корпоративных порталов для входа в систему с целью получения учетных данных. Набор позволял злоумышленникам перехватывать токены сеансов аутентификации, что давало возможность обойти многофакторную аутентификацию и получить доступ к скомпрометированным учетным записям.

Администрирование магазина W3LL и панели W3LL.
Источник: Group-IB

Злоумышленник также предлагал торговую площадку под названием W3LLSTORE, где покупались и продавались украденные учетные данные и несанкционированный доступ к сети.

«Это был не просто фишинг — это была полноценная платформа для киберпреступлений», — заявил специальный агент ФБР Марло Грэм .

По данным властей, в период с 2019 по 2023 год эта торговая площадка способствовала продаже более 25 000 взломанных аккаунтов, и даже после закрытия W3LLSTORE операция продолжалась через зашифрованные мессенджеры, где набор инструментов был переименован и продан другим злоумышленникам.

В период с 2023 по 2024 год фишинговый набор был использован для атаки на более чем 17 000 жертв по всему миру, при этом следователи установили, что разработчик собирал и перепродавал доступ к скомпрометированным учетным записям.


Фишинговая платформа W3LL ранее использовалась в кампаниях, направленных на корпоративные учетные записи Microsoft 365 , и была разработана для поддержки атак с использованием компрометации корпоративной электронной почты (BEC) от момента первоначального доступа до постэксплуатации.


Фишинговый набор использовал атаки типа «злоумышленник посередине», когда легитимные порталы авторизации перенаправляются через инфраструктуру злоумышленника.


Это позволяет злоумышленникам отслеживать и перехватывать учетные данные, одноразовые пароли многофакторной аутентификации и сессионные файлы cookie в режиме реального времени. Затем эти сессионные файлы cookie могут быть использованы для входа в скомпрометированные учетные записи без запуска запросов на аутентификацию с помощью многофакторной аутентификации.


Получив доступ, злоумышленники отслеживали входящие сообщения, создавали правила обработки электронной почты и выдавали себя за жертв, чтобы совершать мошенничество с выставлением счетов и перенаправлять платежи в рамках BEC-атак.