PhishLumos: An Adaptive Multi-Agent System for Proactive Phishing Campaign Mitigation

Sintesi Tecnica: PhishLumos

Problematica
Gli attacchi di phishing rappresentano una minaccia sociale persistente, causando significative perdite finanziarie ed erodendo la fiducia nei servizi digitali, in particolare tra le popolazioni vulnerabili. Le attuali strategie difensive si affidano pesantemente a metodi di rilevamento reattivi e basati sul contenuto (ad esempio, somiglianza visiva, riconoscimento dei loghi e analisi del testo). Tuttavia, i moderni attaccanti impiegano tattiche evasive sofisticate, come il cloaking, che consegnano contenuti malevoli agli utenti umani ma presentano contenuti benigni o vuoti (ad esempio, errori 404) agli scanner automatizzati. Ciò rende inefficaci i tradizionali rilevatori basati sul contenuto. Il documento identifica un nucleo di asimmetria nella cybersicurezza: gli attaccanti possono facilmente scalare campagne coordinate, mentre la difesa rimane un compito ad alta intensità di risorse e guidato da esperti. Inoltre, la prevalenza di scenari di contenuto inaccessibile è aumentata, con il 100% delle campagne osservate all'inizio del 2025 che non ha fornito contenuti recuperabili agli scanner automatizzati.

Metodologia: PhishLumos
Gli autori introducono PhishLumos, un sistema multi-agente adattivo progettato per mitigare proattivamente intere campagne di phishing partendo da un singolo URL, anche quando il contenuto della pagina è inaccessibile. Il sistema opera sul principio dell'Analisi Pivotale (Pivotal Analysis), trattando l'indisponibilità del contenuto non come un fallimento, ma come un segnale per deviare l'indagine verso l'infrastruttura sottostante dell'attaccante.

• Architettura: Il sistema è orchestrato da un Agente Supervisore centrale che dirige un team di agenti specializzati e di sintesi.
  • Agenti Specializzati: Questi agenti (Analisi URL, Analisi Dominio, Analisi IP, Analisi Certificato) interrogano API esterne di threat intelligence (ad esempio, urlscan.io, VirusTotal) per raccogliere cronologie di record DNS, cronologie degli indirizzi IP e dati dei certificati TLS.
  • Agenti di Sintesi: L'Agente di Analisi della Campagna correla i risultati per profilare la campagna, mentre l'Agente di Generazione Regole crea e valida regole di rilevamento.
• Workflow Adattivo: Il Supervisore utilizza un Large Language Model (LLM) per valutare le prove raccolte e decidere dinamicamente il passo investigativo successivo (Algoritmo 1). Se le scansioni iniziali rivelano cloaking o pattern infrastrutturali sospetti (ad esempio, molteplici domini non correlati su un IP non appartenente a una CDN), il sistema devia l'analisi verso l'hosting condiviso, i certificati o i pattern di registrazione.
• Gestione del Contesto: Per gestire i limiti di contesto degli LLM, il sistema impiega una strategia di estrazione selettiva dei dati, comunicazione strutturata tra agenti e riepilogo gerarchico per distillare i dati grezzi delle API in grafi di evidenza concisi.
• Generazione delle Regole: Il sistema genera regole di rilevamento candidate (ad esempio, query basate sull'infrastruttura) e le valida empiricamente contro un piccolo campione di dati per garantire un'alta precisione e prevenire falsi positivi prima di fornire l'intelligence azionabile.

Contributi Chiave

1. Passaggio dal Reattivo al Proattivo: PhishLumos va oltre il blocco dei singoli URL, mitigando intere campagne di phishing attraverso l'identificazione delle impronte infrastrutturali condivise.
2. Resilienza all'Evasione: A differenza del lavoro precedente che degrada quando il contenuto è nascosto, PhishLumos sfrutta i segnali infrastrutturali (IP, certificati, ASN) per rilevare le campagne anche quando il contenuto della pagina è occultato o inaccessibile.
3. Orchestrazione Multi-Agente: Il sistema dimostra un'applicazione innovativa di agenti potenziati da LLM per coordinare indagini complesse e consapevole dello stato, spostando dinamicamente il focus in base alle evidenze emergenti.
4. Intelligence Azionabile: Il sistema produce regole di rilevamento validate (ad esempio, query di ricerca per blacklist) piuttosto che semplici classificazioni binarie, consentendo l'integrazione diretta negli ecosistemi di sicurezza.

Risultati Sperimentali
Il sistema è stato valutato su un dataset di verità fondamentale (ground-truth) di 103 distinte campagne di phishing (6.020 URL) verificate da JPCERT/CC, insieme a un dataset benigno.

• Copertura della Campagna: PhishLumos ha raggiunto una copertura mediana della campagna del 100%, il che significa che le regole generate hanno identificato con successo quasi tutti gli URL noti all'interno di una campagna.
• Rilevamento Proattivo: Il sistema ha identificato le campagne con una mediana di 192,8 ore (circa 8 giorni) prima che gli esperti umani le confermassero, fornendo una finestra critica per la difesa preventiva.
• Performance in Scenari Evasivi: Negli scenari di contenuto inaccessibile (85 campagne), PhishLumos ha ottenuto un F1-Score di 0,994 con un recall di 1,000. Al contrario, i baseline allo stato dell'arte (ChatPhishDetector, Phishpedia, VisualPhishNet) hanno visto le loro performance crollare, con F1-score scesi fino a 0,000 per i metodi basati sulla visione.
• Precisione: Il sistema ha mantenuto un tasso di falsi positivi minimo di 0,001 in tutti gli scenari.
• Studio di Ablazione: Rimuovere la capacità di "Analisi Pivotale" ha ridotto la copertura media dal 93,0% al 56,1%, confermando la necessità del pivoting infrastrutturale. Rimuovere l'agente di "Generazione Regole" (specificamente il passaggio di validazione multi-ipotesi) ha fatto crollare la copertura mediana al 2,2%, evidenziando l'importanza di una rigorosa validazione delle regole.

Significatività
Il documento sostiene che PhishLumos rappresenti un cambiamento pratico nella difesa della cybersicurezza. Automatizzando l'investigazione esperta dell'infrastruttura delle campagne, esso affronta il divario di scalabilità tra attaccanti e difensori. La capacità del sistema di rilevare le campagne giorni prima della verifica ufficiale consente ai vendor di sicurezza e alle organizzazioni di distribuire regole di blocco a livello di rete, proteggendo gli utenti vulnerabili prima che possano essere danneggiati. Il lavoro dimostra che una difesa efficace contro il phishing moderno ed evasivo non richiede l'accesso al contenuto malevolo, quanto piuttosto la capacità di ragionare sull'infrastruttura persistente che supporta tali campagne.