W3LL Phishing-Netzwerk zerschlagen: FBI stoppt Millionenbetrug mit günstigem Toolkit. Der Entwickler wurde festgenommen.
Ermittler haben den mutmaßlichen Phishing-Netzwerk-Entwickler von W3LL, einem der effektivsten Phishing-as-a-Service-Angebote der letzten Jahre, festgenommen. Für wenige hundert Dollar konnten Cyberkriminelle damit auf eine Infrastruktur zugreifen, die gezielt auf das Abgreifen von Zugangsdaten ausgelegt war. Ermittler aus den USA und Indonesien haben den Aktivitäten vorerst ein Ende gesetzt.
Internationaler Schlag gegen organisierten Phishing-Service
Nach Angaben des FBI-Büros in Atlanta haben das FBI und indonesische Strafverfolgungsbehörden in einer gemeinsamen internationalen Operation ein weit verzweigtes Phishing-System ausgehoben. Im Zentrum stand das sogenannte W3LL Phishing-Netzwerk, das Cyberkriminellen weltweit den Zugriff auf professionelle Angriffswerkzeuge ermöglichte.
Angreifer konnten mit Hilfe dieser Infrastruktur die Login-Daten tausender Opfer abgreifen und Betrugsversuche im Umfang von über 20 Millionen US-Dollar durchführen. Die Ermittlungen führten schließlich zur Identifizierung und Festnahme des mutmaßlichen Entwicklers des Systems sowie zur Abschaltung zentraler Systeme.
Phishing-as-a-Service: Angriff per Baukastenprinzip
Das Angebot umfasste ein sogenanntes W3LL-Phishing-Kit, ein weit verbreitetes Werkzeug aus der Cybercrime-Szene. Damit konnten Kriminelle täuschend echte Login-Seiten nachbilden, um Opfer zur Eingabe ihrer Zugangsdaten zu verleiten.
Kritisch ist dabei vor allem die niedrige Einstiegshürde. Für rund 500 US-Dollar konnten sich Nutzer Zugriff auf das Toolkit verschaffen und ohne eigene Infrastruktur sofort mit Angriffen beginnen. Das Tool erweiterte dabei klassisches Phishing um zusätzliche Funktionen.
Sobald ein Opfer seine Daten eingegeben hatte, erfasste das Tool nicht nur Zugangsdaten, sondern auch Sitzungsinformationen. Dadurch konnten Angreifer Schutzmechanismen wie die Multi-Faktor-Authentifizierung umgehen und den Zugriff auf kompromittierte Konten aufrechterhalten. Marlo Graham, Special Agent des FBI in Atlanta, erklärte:
„Das war nicht einfach nur Phishing – es war eine vollwertige Cyberkriminalitätsplattform.“
W3LLSTORE: Marktplatz für gestohlene Zugänge
Ergänzt wurde das System durch den zugehörigen Marktplatz W3LLSTORE, auf dem kompromittierte Accounts und unautorisierte Zugänge gehandelt wurden. Dazu gehörten unter anderem Fernzugriffe auf Systeme sowie gestohlene Login-Daten.
Zwischen 2019 und 2023 wurden über diese Plattform mehr als 25.000 kompromittierte Konten verkauft. Auch nach der Abschaltung des Marktplatzes verlagerte sich der Handel offenbar auf verschlüsselte Messenger-Dienste, wo das Angebot weitergeführt und aktiv beworben wurde. Allein in den Jahren 2023 bis 2024 wurde laut Ermittlern das Tool genutzt, um über 17.000 Opfer anzugreifen.
Ermittler nehmen Infrastruktur und Entwickler ins Visier
Im Zuge der Ermittlungen konnten die Behörden zentrale Teile der technischen Infrastruktur identifizieren und beschlagnahmen. In enger Abstimmung mit der indonesischen Nationalpolizei wurde zudem der mutmaßliche Entwickler des Dienstes festgenommen.
Nach Erkenntnissen der Ermittler war dieser nicht nur für die Entwicklung verantwortlich, sondern sammelte und verkaufte auch selbst kompromittierte Zugangsdaten weiter. Mit der Abschaltung der Infrastruktur verlieren zahlreiche Cyberkriminelle eine zentrale Ressource, um sich unbefugten Zugriff auf die Konten ihrer Opfer zu verschaffen.
Zugangsdaten als Schlüssel für weitere Angriffe
Konkrete Zielbranchen nennen die Behörden nicht. Allerdings gelten abgegriffene Zugangsdaten in der Praxis als wertvolle Ressource für weiterführende Betrugsmaschen. Sie können genutzt werden, um bestehende Accounts zu übernehmen und so interne Kommunikation einzusehen oder zudem weitere Angriffe vorzubereiten.
Behörden feiern die Zerschlagung des W3LL Phishing-Netzwerks als einen bedeutenden Schlag gegen die organisierte Cybercrime-Szene. Zwar lassen sich solche Strukturen zerschlagen, das dahinterstehende Geschäftsmodell bleibt jedoch bestehen. Neue Anbieter dürften bereits in den Startlöchern stehen. Das Geschäftsmodell lebt weiter.
