Das W3LL-Phishing-Netzwerk war weit mehr als nur ein einfaches Betrugswerkzeug – es handelte sich um eine vollständige Cybercrime-Plattform im Dunkeln Web. Für etwa 500 US-Dollar konnten Kriminelle auf dem sogenannten W3LL Store Zugang zu professionellen Phishing-Tools, Mailing-Listen und sogar Zugriffen auf kompromittierte Server erwerben. Das System ermöglichte es Tausenden Cyberkriminellen, gefälschte Login-Seiten zu erstellen, die legitimen Plattformen täuschend ähnlich sahen.
Wie das Cybersecurity-Unternehmen Hunt.io berichtete, nutzte W3LL ausgefeilte Techniken wie Adversary-in-the-Middle-Attacken, um Session-Cookies zu kapern und damit selbst die Zwei-Faktor-Authentifizierung zu umgehen. Das war besonders gefährlich für Microsoft-365-Nutzer – eine Technologie, die in deutschen Unternehmen weit verbreitet ist.
Die Geschichte dieses Netzwerks reicht Jahre zurück. Der mutmaßliche Entwickler G.L. war bereits seit 2017 aktiv und hatte zuvor Spam-Tools wie PunnySender entwickelt. Die Sicherheitsfirma Group-IB dokumentierte W3LL erstmals im September 2023 und offenbarte das Ausmaß der Operation: Über 25.000 kompromittierte Accounts wurden zwischen 2019 und 2023 im W3LL Store verkauft.
Besonders bemerkenswert ist die Hartnäckigkeit dieser Operation. Auch nachdem der W3LL Store 2023 geschlossen wurde, setzten die Betreiber ihre Aktivitäten über verschlüsselte Messaging-Plattformen fort. Das Toolkit wurde umbenannt und aggressiv vermarktet. Zwischen 2023 und 2024 allein attackierte die weiterentwickelte Version über 17.000 Opfer weltweit.
Die internationale Zusammenarbeit zwischen dem FBI und der indonesischen Nationalpolizei zeigt, dass Behörden verstärkt gegen organisierte Cyberkriminalität vorgehen. “Das ist nicht nur Phishing – das ist eine vollständige Cybercrime-Plattform”, kommentierte Marlo Graham, Special Agent in Charge beim FBI Atlanta.
Die Zerschlagung dieser Infrastruktur schließt eine wichtige Quelle für Cyberkriminelle, entzieht ihnen aber nicht vollständig die Mittel. Sicherheitsexperten warnen, dass Varianten von W3LL und ähnliche Tools weiterhin im Umlauf sind. Deutsche Nutzer sollten daher wachsam bleiben und starke, eindeutige Passwörter nutzen – nicht nur bei Microsoft 365, sondern bei allen wichtigen Online-Konten.