An Analysis of Architectural and Operational Dynamics of Phishkits in the Wild
Este artigo analisa 1.300 phishkits modernos coletados entre 2020 e 2023 para revelar que, apesar de sua diversidade operacional, a maioria depende de componentes previsíveis e reutilizáveis e carece de mecanismos de evasão sofisticados, sugerindo que a detecção em larga escala desses ataques é viável.
Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo
Imagine a internet como uma cidade enorme e movimentada onde todos estão tentando chegar ao seu destino. Nesta cidade, existem trapaceiros sorrateiros que montam lojas falsas que parecem exatamente com os bancos, centros de redes sociais ou escritórios de e-mail reais. Eles esperam que as pessoas passem por ali, esperando que entrem para verificar suas correspondências ou sacar dinheiro, apenas para roubar suas chaves e segredos. Este é o mundo do "phishing", um golpe digital que existe há muito tempo. Mas aqui está a reviravolta: esses trapaceiros geralmente não estão construindo suas lojas falsas do zero, tijolo por tijolo. Em vez disso, eles estão comprando "kits de construção" pré-fabricados chamados phishkits. Pense nesses kits como um "conjunto de Lego para golpes". Você compra a caixa, encaixa as peças e pronto — você tem um banco falso convincente. Esses kits vêm com instruções especiais sobre como se esconder dos guardas de segurança da cidade (como mecanismos de busca e softwares antivírus) e como enviar secretamente as chaves roubadas de volta para os vilões. Entender como esses kits funcionam é crucial porque, se soubermos como os conjuntos de Lego são construídos, podemos descobrir como identificar os edifícios falsos antes que alguém se machuque.
Agora, vamos mergulhar no que uma equipe de pesquisadores da Florida International University fez. Eles decidiram usar uma lupa gigante para examinar 1.300 desses "conjuntos de Lego de golpes" (phishkits) que estavam flutuando pela internet entre 2020 e 2023. Eles queriam ver como os vilões estavam usando esses kits, quais truques estavam usando para se esconder e como estavam roubando dados.
Aqui está o que eles descobriram, e é um pouco surpreendente: a maioria desses kits de golpe é, na verdade, bastante entediante e previsível.
Os pesquisadores descobriram que, embora os vilões sejam espertos, eles também são eficientes. Eles descobriram que muitos desses kits são construídos usando exatamente os mesmos projetos. É como se cada criminoso em uma cidade decidisse construir seu banco falso usando as mesmas três instruções do mesmo manual de instruções. Os pesquisadores viram que as partes "principais" desses kits — as partes que fazem a página de login falsa parecer real, as partes que escondem o site de scanners de segurança e as partes que enviam os dados roubados para longe — eram quase idênticas em centenas de kits diferentes. Na verdade, eles descobriram que 284 dos kits (cerca de 21,8%) nem sequer tentaram se esconder! Eles apenas deixaram suas portas escancaradas, tornando incrivelmente fácil para os sistemas de segurança detectá-los.
Quando os vilões realmente tentavam se esconder, usavam truques muito antigos e conhecidos. Eles verificavam quem estava visitando seu site falso. Se o visitante parecesse um guarda de segurança, um robô de mecanismo de busca ou um pesquisador universitário, o kit dizia: "Oh, você não é uma pessoa real! Vá embora!" e mostrava uma página de "Erro 404" falsa em vez do golpe. Eles bloquearam milhões de endereços específicos, incluindo aqueles pertencentes a grandes empresas de tecnologia, universidades e até alguns serviços de VPN. Mas aqui está o detalhe: eles estavam usando as mesmas listas de endereços bloqueados repetidamente. É como um ladrão usando a mesma placa de "Proibido Entrar" para todas as casas que ele rouba.
Os pesquisadores também espiaram por trás das cortinas para ver como os ladrões estavam obtendo seus saques roubados. Eles descobriram que, em vez de usar túneis subterrâneos complicados e secretos, a maioria dos vilões estava usando aplicativos de mensagens populares e cotidianos (como o Telegram) para enviar as senhas e números de cartão de crédito roubados. É como um ladrão enviando uma mensagem de texto para seu parceiro dizendo "Peguei as chaves!" usando um aplicativo de telefone comum e público. A equipe até interagiu com esses bots de mensagens para ver o que estava acontecendo. Eles encontraram milhares de mensagens contendo números de cartões de crédito reais e códigos de login. Eles informaram responsavelmente as operadoras de cartão de crédito sobre esses vazamentos, e as empresas cancelaram os cartões ativos para proteger as vítimas.
Então, qual é a grande conclusão? O artigo sugere que, como esses golpistas dependem tanto desses kits pré-fabricados de copiar e colar, seu comportamento é altamente previsível. Eles não estão inventando novas formas mágicas de se esconder todos os dias; eles estão apenas reutilizando os mesmos truques antigos e o mesmo código antigo. Isso é, na verdade, uma boa notícia para as pessoas que tentam detê-los. Se os vilões estão todos usando as mesmas instruções de Lego, os defensores podem construir melhores "detectores de golpes" que busquem por esses padrões específicos. Os pesquisadores concluem que, embora o phishing ainda seja uma enorme ameação, o fato de que tantos desses ataques são construídos a partir das mesmas partes previsíveis torna mais fácil pegá-los em flagrante, desde que possamos construir ferramentas inteligentes o suficiente para detectar os padrões familiares no caos.
Afogado em artigos na sua área?
Receba digests diários dos artigos mais recentes que correspondam às suas palavras-chave de pesquisa — com resumos técnicos, no seu idioma.