Международна операция срещу „фишинг като услуга“
ФБР и индонезийските власти проведоха координирана операция, която доведе до разбиването на глобалната фишинг платформа W3LL Store и ареста на предполагаемия ѝ разработчик.
Това е първата съвместна акция между САЩ и Индонезия, насочена директно срещу разработчик на фишинг инструменти.
Какво представляваше W3LL
Платформата W3LL функционираше като „phishing kit as a service“, който:
- позволяваше създаване на фалшиви логин страници
- имитираше корпоративни портали за вход
- крадеше потребителски имена, пароли и сесийни токени
- заобикаляше многофакторна автентикация (MFA)
Инструментът се е продавал за около 500 долара и е бил използван за мащабни киберизмами.
Масивна престъпна екосистема
Освен фишинг инструмента, W3LL е включвал и търговска платформа, където:
- са се продавали откраднати акаунти
- са се търгували достъпи до корпоративни мрежи
- са се реализирали над 25 000 компрометирани акаунта между 2019 и 2023 г.
Според разследващите, това не е била просто фишинг схема, а цялостна киберпрестъпна екосистема.
Как работеше атаката
W3LL използваше техника, известна като adversary-in-the-middle (AiTM), при която:
- потребителят се пренасочва към фалшив портал
- логинът се проксирa през сървърите на атакуващите
- прихващат се пароли, MFA кодове и сесийни бисквитки в реално време
След това атакуващите могат да влязат в акаунта без допълнително потвърждение.
Какво се случва след компрометиране
След като получат достъп, нападателите:
- следят имейл комуникации
- създават скрити правила в пощата
- имитират жертвите
- извършват фалшиви плащания и фактурни измами (BEC атаки)
Тези методи са особено ефективни срещу корпоративни акаунти, включително системи като Microsoft 365.
Обхват на атаките
Разследванията показват, че:
- над 17 000 жертви са били атакувани в периода 2023–2024
- инструментът е използван глобално
- атаките са насочени основно към бизнеси и корпоративни потребители
Какво означава операцията
Според ФБР, това е ключов удар срещу модел „киберпрестъпност като услуга“, при който:
- не е необходим технически опит
- престъпни инструменти се продават като готов продукт
- атаките се мащабират глобално
Разбиването на W3LL показва, че фишинг индустрията вече не е хаотична мрежа от отделни хакери, а организирана търговска екосистема. Въпреки това, подобни операции често водят до временно прекъсване, тъй като подобни инструменти бързо се появяват отново под нови имена.
