La Oficina del FBI en Atlanta, en colaboración con las autoridades indonesias, ha desmantelado la plataforma de phishing global conocida como W3LL. Como parte de la operación, se incautó la infraestructura digital y se arrestó al presunto desarrollador del kit de phishing. Esta acción coordinada entre Estados Unidos e Indonesia representa la primera de su tipo contra un desarrollador de kits de phishing.
El sitio web w3ll.store fue intervenido, mostrando un mensaje de incautación del FBI. Según la orden judicial emitida por el Tribunal de Distrito de los Estados Unidos para el Distrito Norte de Georgia, el dominio fue confiscado conforme a los títulos 18 U.S.C. §§ 981 y 982.
Esto no era solo phishing, era una plataforma de ciberdelincuencia completa, declaró el agente especial del FBI a cargo, Marlo Graham.
El kit de phishing W3LL se vendía por 500 dólares y permitía a los atacantes crear réplicas convincentes de portales de inicio de sesión corporativos para robar credenciales. Además, capturaba tokens de autenticación de sesión, lo que permitía eludir la autenticación multifactor y acceder a cuentas comprometidas.
Los investigadores señalan que el mercado facilitó la venta de más de 25,000 cuentas comprometidas entre 2019 y 2023. Incluso después de que W3LLSTORE cerrara, la operación continuó a través de plataformas de mensajería cifrada, donde el kit fue renombrado y vendido a otros actores de amenazas.
Entre 2023 y 2024, el kit de phishing atacó a más de 17,000 víctimas en todo el mundo. Los investigadores descubrieron que el desarrollador recopilaba y revendía el acceso a cuentas comprometidas. La plataforma W3LL estaba vinculada a campañas dirigidas a cuentas corporativas de Microsoft 365 y diseñada para apoyar ataques de compromiso de correo electrónico empresarial, desde el acceso inicial hasta la post-explotación.
El kit utilizaba ataques de intermediario, donde los portales de inicio de sesión legítimos se proxyban a través de la infraestructura del atacante. Esto permitía interceptar credenciales, códigos MFA de un solo uso y cookies de sesión en tiempo real. Con estas cookies, los atacantes accedían a las cuentas sin provocar desafíos de autenticación MFA. Una vez dentro, monitoreaban las bandejas de entrada, creaban reglas de correo y suplantaban a las víctimas para cometer fraudes de facturas y redirigir pagos en ataques BEC.
Deja una respuesta