W3LL Store: Cómo un Sindicato Secreto de Phishing Ataca a Más de 8,000 Cuentas de Microsoft 365
Un "imperio de phishing" previamente no documentado ha sido vinculado a ataques cibernéticos dirigidos a comprometer cuentas de correo electrónico empresarial de Microsoft 365 durante los últimos seis años.
"El actor de la amenaza creó un mercado subterráneo oculto, llamado W3LL Store, que servía a una comunidad cerrada de al menos 500 actores de amenazas que podían comprar un kit de phishing personalizado llamado W3LL Panel, diseñado para eludir la MFA, así como 16 otras herramientas completamente personalizadas para ataques de compromiso de correo electrónico empresarial (BEC)", dijo Group-IB en un informe compartido con The Hacker News.
Se estima que la infraestructura de phishing ha tenido como objetivo más de 56,000 cuentas corporativas de Microsoft 365 y ha comprometido al menos 8,000 de ellas, principalmente en EE. UU., Reino Unido, Australia, Alemania, Canadá, Francia, Países Bajos, Suiza e Italia entre octubre de 2022 y julio de 2023, obteniendo $500,000 en ganancias ilícitas para sus operadores.
Algunos de los sectores prominentes infiltrados mediante la solución de phishing incluyen manufactura, TI, consultoría, servicios financieros, atención médica y servicios legales. Group-IB dijo que identificó cerca de 850 sitios web de phishing únicos atribuidos al W3LL Panel durante el mismo período de tiempo.
La empresa de ciberseguridad con sede en Singapur ha descrito a W3LL como un instrumento de phishing todo en uno que ofrece un espectro completo de servicios que van desde herramientas de phishing personalizadas hasta listas de correo y acceso a servidores comprometidos, subrayando la tendencia al alza de las plataformas de phishing como servicio (PhaaS).
Activo desde 2017, el actor de la amenaza detrás del kit tiene una larga historia de desarrollo de software a medida para correo no deseado masivo (llamado PunnySender y W3LL Sender) antes de centrar su atención en la configuración de herramientas de phishing para comprometer cuentas de correo electrónico corporativas.
Un componente central del arsenal de malware de W3LL es un kit de phishing enemigo en el medio (AiTM) que puede eludir las protecciones de autenticación multifactor (MFA). Se ofrece a la venta por $500 para una suscripción de tres meses con una tarifa mensual posterior de $150.
El panel, además de recopilar credenciales, incluye funcionalidad anti-bot para evadir escáneres de contenido web automatizados y extender la vida útil de sus campañas de phishing y malware.
Los ataques BEC que utilizan el kit de phishing W3LL implican una fase preparatoria para validar direcciones de correo electrónico mediante una utilidad auxiliar denominada LOMPAT y entregar los mensajes de phishing.
Las víctimas que abren el enlace o archivo adjunto falso son filtradas a través del script anti-bot para eliminar visitantes no permitidos (que son dirigidos a Wikipedia) y finalmente los llevan a la página de destino de phishing a través de una cadena de redireccionamiento que emplea tácticas de AitM para sustraer credenciales y cookies de sesión.
Armado con este acceso, el actor de la amenaza luego procede a iniciar sesión en la cuenta de Microsoft 365 del objetivo sin activar la MFA, automatizar el descubrimiento de cuentas en el host mediante una herramienta personalizada llamada CONTOOL y recopilar correos electrónicos, números de teléfono y otra información.
Algunas de las tácticas notables adoptadas por el autor del malware son el uso de Hastebin, un servicio para compartir archivos, para almacenar cookies de sesión robadas, así como Telegram y correo electrónico para exfiltrar las credenciales a los actores criminales.
La divulgación se produce días después de que Microsoft advirtiera de una proliferación de técnicas de AiTM desplegadas a través de plataformas PhaaS como EvilGinx, Modlishka, Muraena, EvilProxy y Greatness para permitir el acceso de los usuarios a sistemas privilegiados sin reautenticación a gran escala.
"Lo que realmente hace que W3LL Store y sus productos se destaquen de otros mercados subterráneos es el hecho de que W3LL no solo creó un mercado sino un ecosistema de phishing complejo con un conjunto de herramientas personalizadas completamente compatible que cubre casi toda la cadena de matanza de BEC y puede ser utilizado por ciberdelincuentes de todos los niveles técnicos", dijo Anton Ushakov de Group-IB.
"La creciente demanda de herramientas de phishing ha creado un mercado subterráneo en auge, atrayendo a un número creciente de proveedores. Esta competencia impulsa la innovación continua entre los desarrolladores de phishing, que buscan mejorar la eficiencia de sus herramientas maliciosas a través de nuevas características y enfoques para sus operaciones criminales."
Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó ChatGPT, al ser una traducción automática puede contener errores gramaticales o de otro tipo, favor enviar comentarios al moderador para corregir.
Comentarios
Publicar un comentario