一伙名为 W3LL 的要挟分子开发了一个能够绕过多要素身份验证的网络垂钓东西包，还开发了侵略 8000 多个 Microsoft 365 企业帐户的其他东西。

　　安全研究人员发现，在 10 个月内，W3LL 的实用程序和基础设施被用来建立大约 850 个共同的网络垂钓网站，进犯了 56000 余个 Microsoft 365 帐户的凭证。

　　W3LL 的定制网络垂钓东西的服务对象是由至少 500 名网络犯罪分子组成的社区，被用于商业电子邮件侵略（BEC）进犯，造成了数百万美元的经济损失。

　　研究人员标明，W3LL 的东西包简直包含 BEC 举动的整条杀伤链，能够由 各种技能水平的网络犯罪分子 控制。

　　网络安全公司 Group-IB 在今日的一份陈述中供给了有关 W3LL 的概况信息，以及它怎样样开展成为对 BEC 安排而言最先进的歹意开发者之一。

　　标明 W3LL 活动的第一个依据好像来自 2017 年，其时开发者开端供给一个用于电子邮件批量发送的自定义东西：W3LL SMTP Sender，用于发送垃圾邮件。

　　当开发者开端出售针对 Microsoft 365 公司帐户的定制网络垂钓东西包时，这伙要挟分子的人气和事务开端增加。

　　研究人员标明，2018 年，W3LL 推出了 W3LL Store（说英文的交易平台），它能够在这里向封闭的网络犯罪分子社区推行和出售其东西。

　　Group-IB 标明：W3LL 的首要兵器 W3LL Panel 能够被认为是同类中最先进的网络垂钓东西包之一，具有中心进犯者功用、API、源代码维护及其他共同功用。

　　除了旨在绕过多要素身份验证（MFA）的 W3LL Panel 外，要挟分子还供给了别的 16 个东西，所有这些东西都用于 BEC 进犯。目录包含如下：

　　据 Group-IB 宣称，W3LL Store 供给了布置 BEC 进犯的解决方案，从挑选受害者的初始阶段，带兵器化附件（默许或定制）的网络垂钓钓饵，到发送进入到受害者收件箱中的网络垂钓邮件。

　　研究人员标明，W3LL 有满足熟练的技能，能够终究靠将东西布置和保管在受感染的 Web 服务器和服务上，维护东西不被检测或封闭。

　　但是，客户也能够再一次进行挑选运用 W3LL 的 OKELO 扫描器来查找易受进犯的体系，并自行取得拜访权限。

　　W3LL 用来绕过电子邮件过滤器和安全署理的一些技能包含针对电子邮件标题和文本主体（Punycode、HTML 标签、图画和长途内容链接）的各种混杂办法。

　　初始网络垂钓链接也运用多种躲避检测的办法来投递。一种办法是运用互联网垂钓附件，而不是通过将它们嵌入在电子邮件正文中。

　　研究人员发现，链接被放在一个作为附件呈现的 HTML 文件中。当受害者发动歹意的 HTML（或许伪装成文档或语音信息）时，会打开一个浏览器窗口，显现 看起来像真的 MS Outlook 动画 。

　　在 6 月底更新的新版本中，W3LL 添加了多层混杂和编码。它直接从 W3LL Panel 加载脚本，而不是将其包含在 HTML 代码中。

　　Group-IB 研究人员解说，网络垂钓钓饵中的初始链接并不导致 W3LL Panel 中虚伪的 Microsoft 365 登录页面，它仅仅一条重定向链的开端，旨在避免发现 W3LL Panel 网络垂钓页面。

　　方针是获取受害者的身份验证会话 cookie。为完成这一点，W3LL Panel 需求通过几个过程，其间包含：

　　在 W3LL Panel 取得身份验证会话 cookie 后，该帐户被侵略，并向受害者显现一个 PDF 文档，让登录恳求看起来合法。

　　运用 CONTOOL，进犯者能够主动查找受害者运用的电子邮件、手机号、附件、文档或 URL，这或许有助于横向移动阶段。

　　该东西还能够监控、过滤和修正入站电子邮件，以及依据特定关键字接纳 Telegram 帐户告诉。

　　Group-IB 的陈述深入研究了 W3LL Panel 的功用，从技能层面描绘了一些功用怎样来完成预期意图，无论是躲避检测仍是搜集数据。

　　W3LL Panel 在开发者眼里便是 皇冠上的宝石 ，三个月收费 500 美元，每月续订价格为 150 美元。还必须购买许可证以激活它。

　　W3LL 要挟分子现已存在了大约五年，积累了超越 500 名网络犯罪分子的客户群，有超越 12000 种东西可供挑选。

　　除了网络垂钓和 BEC 相关的东西外，W3LL 还供给权限，以便拜访被侵略的 Web 服务（web shell、电子邮件和内容管理体系）、SSH 及 RDP 服务器、保管及云服务帐户、企业电子邮件域、VPN 帐户以及被绑架的电子邮件帐户。