Microsoft identifica sites que vendem kits para ‘phishing-como-serviço’

A Microsoft divulgou ter identificado uma campanha que usou um mais de 300 mil subdomínios em uma única execução de ataque de phishing. Trata-se de uma operação em larga escala chamada BulletProofLink que vende kits de phishing, modelos de e-mail, hospedagem e serviços automatizados em um custo relativamente baixo.

“Com mais de 100 modelos de phishing disponíveis que imitam marcas e serviços conhecidos, a operação BulletProofLink é responsável por muitas das campanhas de phishing que impactam as empresas hoje. BulletProofLink (também conhecido como BulletProftLink ou Anthrax por seus operadores em vários sites, anúncios e outros materiais promocionais) é usado por vários grupos de invasores em modelos de negócios baseados em assinatura mensal ou única, criando um fluxo de receita constante para seus operadores”, publicou a empresa.

Segundo a Microsoft, a descoberta “lança uma luz sobre as operações de phishing como serviço”. A empresa aponta como pode ser fácil para os invasores comprar campanhas de phishing e implantá-las em larga escala e como o “phishing-as-a-service” impulsiona a proliferação de técnicas de phishing como “duplo roubo”, um método em que credenciais roubadas são enviadas tanto para o operador de phishing-as-a-service quanto para seus clientes, resultando na monetização em várias frentes.

Além de indicar que as descobertas foram incorporadas em seu Microsoft Defender para o Office 365, a MS diz que compartilhou as informações para que a comunidade em geral possa se basear nelas e usá-las para aprimorar as regras de filtragem de e-mail, bem como tecnologias de detecção de ameaças, como sandboxes, para melhor capturar essas ameaças.

De acordo com a Microsoft, “embora antes fosse necessário que os invasores criassem individualmente e-mails de phishing e sites de falsificação de identidade de marca, o cenário de phishing desenvolveu sua própria economia baseada em serviços. Os invasores que visam facilitar ataques de phishing podem comprar recursos e infraestrutura de outros grupos de invasores”. 

Esses recursos consistem em ‘kits de phishing’, arquivos compactados, geralmente um arquivo ZIP, que vêm com modelos de phishing de e-mail prontos para uso, projetados para evitar a detecção e geralmente são acompanhados por um portal para acessá-los. Os kits de phishing permitem que os clientes configurem os sites e comprem os nomes de domínio. Alternativas para modelos ou kits de sites de phishing também incluem modelos para os próprios e-mails, que os clientes podem personalizar e configurar para entrega. 

Segundo a MS, o ‘phishing-as-a-service’ é semelhante ao ransomware-as-a-service (RaaS) e exige que os invasores paguem a uma operadora para desenvolver e implante grandes porções ou conclua campanhas de phishing a partir do desenvolvimento de páginas de login falsas, hospedagem de sites e análise e redistribuição de credenciais.