Arquiteturas Ofensivas e Defensivas em Campanhas de Phishing: Modelagem de Ameaças, Detecção Multicamadas e Avaliação Experimental em Ambiente Corporativo

1. Introduction

O phishing constitui, há mais de duas décadas, um dos vetores de ataque mais persistentes e economicamente rentáveis no ecossistema de ameaças digitais. Relatórios de incidentes corporativos indicam consistentemente que campanhas de engenharia social baseadas em e‑mail figuram entre os principais mecanismos iniciais de comprometimento em intrusões organizacionais (VERIZON, 2022). A combinação entre baixo custo operacional para o atacante e elevada probabilidade de exploração de fatores humanos torna o phishing particularmente eficaz.

Historicamente, campanhas de phishing eram caracterizadas por envios massivos com baixa personalização e linguagem rudimentar. Entretanto, ao longo da década de 2010 observou‑se uma transição para campanhas altamente direcionadas, frequentemente denominadas spear phishing, nas quais o conteúdo das mensagens é adaptado ao contexto organizacional da vítima (JAKOBSSON; MYERS, 2006). Paralelamente, ataques de Business Email Compromise (BEC) passaram a representar um dos maiores vetores de fraude financeira corporativa, explorando relações de confiança entre executivos, fornecedores e departamentos financeiros (FBI, 2021).

Do ponto de vista operacional, campanhas modernas de phishing frequentemente utilizam infraestrutura efêmera baseada em domínios recém‑registrados, certificados TLS obtidos gratuitamente por autoridades certificadoras automatizadas e serviços legítimos de hospedagem. Além disso, plataformas conhecidas como Phishing‑as‑a‑Service (PhaaS) passaram a reduzir significativamente a barreira técnica para operadores maliciosos (OEST et al., 2020).

O impacto financeiro desses ataques é substancial. Relatórios do Internet Crime Complaint Center indicam perdas de bilhões de dólares associadas a fraudes BEC ao longo da última década (FBI, 2021). Em diversos incidentes amplamente documentados, campanhas de phishing também funcionaram como vetor inicial para comprometimento de credenciais corporativas posteriormente utilizadas em ataques de ransomware ou exfiltração de dados (HUTCHINS; CLOPPERT; AMIN, 2011).

Do ponto de vista técnico, a análise de phishing exige abordagem multicamadas que considere simultaneamente propriedades de transporte, autenticação, conteúdo e comportamento do usuário. Entre as camadas relevantes destacam‑se:

• Camada de transporte (SMTP, DNS)
• Camada de autenticação (SPF, DKIM e DMARC)
• Camada de conteúdo textual e estrutural
• Camada de infraestrutura (WHOIS, reputação de IP e ASN)
• Camada comportamental associada a interações do usuário

Neste trabalho propomos uma arquitetura integrada que combina modelagem formal de ameaças, técnicas de aprendizado de máquina e correlação de eventos em sistemas corporativos. Nosso objetivo é desenvolver uma estrutura metodológica capaz de ser reproduzida em ambientes organizacionais reais.

As principais contribuições deste estudo incluem:

• Formalização probabilística do risco de comprometimento decorrente de campanhas de phishing.
• Proposição de uma arquitetura defensiva multicamadas para detecção automatizada.
• Avaliação experimental baseada em um conjunto de dados composto por mais de 1,2 milhão de mensagens.
• Análise de um incidente real de fraude BEC mapeado ao framework MITRE ATT&CK.
• Diretrizes operacionais para implementação em centros de operações de segurança.

2. Background and Related Work

O fenômeno conhecido como phishing foi inicialmente documentado em comunidades online associadas ao serviço AOL na década de 1990, quando atacantes passaram a utilizar mensagens fraudulentas para coletar credenciais de usuários (JAGATIC et al., 2007). Desde então, a literatura científica evoluiu significativamente, explorando diferentes abordagens de detecção.

Uma das primeiras propostas baseadas em aprendizado de máquina para identificação de e‑mails de phishing foi apresentada por Fette, Sadeh e Tomasic (2007), que utilizaram características estruturais de mensagens e URLs para treinamento de classificadores supervisionados. Trabalhos posteriores expandiram essa abordagem incorporando análise lexical, características HTML e reputação de domínios (BERGHOLZ et al., 2010).

Outra linha de pesquisa concentra‑se na análise de infraestrutura de rede associada a campanhas de phishing. Estudos demonstraram que atacantes frequentemente utilizam técnicas como fast‑flux DNS e registros de domínio de curta duração para evitar bloqueios baseados em reputação (NAZARIO, 2009).

No contexto de resposta a incidentes, o guia NIST SP 800‑61 estabelece procedimentos formais para detecção, contenção e análise forense de incidentes de segurança envolvendo engenharia social (NIST, 2012). Em paralelo, o framework MITRE ATT&CK fornece taxonomia padronizada de técnicas utilizadas por adversários, incluindo diversas variantes de phishing classificadas sob a técnica T1566 (MITRE, 2022).

Ferramentas ofensivas amplamente documentadas incluem plataformas de simulação e ataque como Social‑Engineer Toolkit (SET), Gophish e King Phisher, frequentemente utilizadas tanto em ambientes ofensivos quanto em programas de treinamento de conscientização de usuários (KUMARAGURU et al., 2009).

Do ponto de vista defensivo, mecanismos de autenticação de e‑mail desempenham papel fundamental. Protocolos como Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM) e Domain‑based Message Authentication, Reporting and Conformance (DMARC) permitem reduzir ataques de spoofing de domínio (KUCHERAWY; ZWICKY, 2015).

Apesar desses avanços, permanece uma lacuna significativa na integração sistemática dessas diferentes fontes de evidência em arquiteturas de detecção operacional em larga escala.

3. Threat Model and Problem Formalization

Consideramos um ambiente corporativo composto por:

• $U$ usuários organizacionais
• $M$ mensagens recebidas durante um intervalo temporal
• $A$ adversários externos capazes de conduzir campanhas de phishing

Assumimos que o adversário possui as seguintes capacidades operacionais:

1. Registrar domínios arbitrários.
2. Obter certificados TLS válidos.
3. Hospedar páginas de coleta de credenciais.
4. Enviar mensagens por meio de infraestrutura SMTP comprometida ou serviços legítimos.

Modelamos a probabilidade de comprometimento de um usuário como uma variável aleatória condicionada a múltiplos fatores observáveis:

$$ P© = P(C \mid E, U_b, T_m) $$

onde:

• $E$ representa a exposição do usuário à mensagem maliciosa,
• $U_b$ representa a vulnerabilidade comportamental do usuário,
• $T_m$ representa características técnicas da mensagem.

O problema de detecção é formalizado como uma tarefa de classificação binária:

$$ f: X \rightarrow {0,1} $$

em que $X$ corresponde ao vetor de características extraídas da mensagem e da infraestrutura associada. O rótulo $1$ indica mensagem maliciosa, enquanto $0$ representa mensagem legítima.

Para avaliação de desempenho utilizamos métricas amplamente adotadas em sistemas de detecção de intrusão:

• Área sob a curva ROC (AUC)
• Precisão (Precision)
• Revocação (Recall)
• Taxa de falsos positivos (FPR)
• Taxa de falsos negativos (FNR)

Consideramos ainda um modelo de adversário adaptativo capaz de modificar superficialmente atributos da mensagem com o objetivo de evadir classificadores baseados em assinatura.

4. Proposed Methodology

Propomos uma arquitetura de detecção composta por cinco camadas analíticas interconectadas.

4.1 Coleta e Normalização de Mensagens

A coleta de mensagens foi realizada no nível do Mail Transfer Agent (MTA) utilizando Postfix. Os metadados extraídos foram armazenados em um cluster Elasticsearch para posterior indexação e análise.

Exemplo simplificado de configuração de captura no Postfix:

header_checks = regexp:/etc/postfix/header_checks
smtp_header_checks = regexp:/etc/postfix/header_checks

Essa etapa permite registrar cabeçalhos completos das mensagens, incluindo campos Received, Return‑Path e Message‑ID, essenciais para análise de proveniência.

4.2 Extração de Características

A extração de atributos considera múltiplas dimensões estruturais e semânticas. Entre as principais características utilizadas destacam‑se:

• Comprimento de URLs presentes na mensagem
• Entropia de Shannon associada ao domínio
• Idade do domínio obtida via WHOIS
• Resultado das validações SPF, DKIM e DMARC
• Similaridade lexical com domínios legítimos

A entropia de Shannon de uma string $s$ é definida como:

$$ H(s) = -\sum_{i=1}^{n} p_i \log_2 p_i $$

onde $p_i$ representa a probabilidade de ocorrência do símbolo $i$.

4.3 Análise Dinâmica em Sandbox

Links suspeitos foram executados em ambiente isolado utilizando Cuckoo Sandbox, permitindo observar comportamentos maliciosos, tais como:

• Conexões de rede externas
• Redirecionamentos HTTP encadeados
• Download de conteúdo executável
• Renderização visual de páginas de captura de credenciais

Essa etapa fornece evidências comportamentais adicionais que complementam a análise estática.

4.4 Classificação por Aprendizado de Máquina

Foram avaliados três algoritmos de classificação supervisionada:

Algoritmo	Tipo de Modelo	Observações
Random Forest	Ensemble de árvores	Robusto a ruído
Support Vector Machine	Margem máxima	Sensível à escala de features
XGBoost	Gradient Boosting	Alto desempenho em datasets estruturados

O treinamento foi realizado com validação cruzada estratificada para reduzir viés de amostragem.

4.5 Correlação Comportamental

A etapa final integra eventos provenientes de sistemas de autenticação corporativos, permitindo detectar logins anômalos após interação do usuário com mensagens suspeitas. Logs de autenticação foram correlacionados com eventos de clique para identificar padrões indicativos de comprometimento de credenciais.

5. Implementation

O ambiente experimental foi implantado em infraestrutura corporativa composta por três servidores Linux executando Ubuntu 20.04 LTS. O pipeline analítico foi implementado utilizando Python 3.9 e bibliotecas de aprendizado de máquina do ecossistema Scikit‑learn.

A arquitetura de processamento de eventos utilizou Apache Kafka para ingestão de mensagens e Elasticsearch para armazenamento e consulta.

As principais tecnologias empregadas são apresentadas na tabela a seguir:

Componente	Tecnologia
Coleta de e‑mail	Postfix
Armazenamento	Elasticsearch
Pipeline de dados	Apache Kafka
Sandbox	Cuckoo Sandbox
Aprendizado de máquina	Scikit‑learn

Adicionalmente, o sistema integrou múltiplas fontes de inteligência de ameaças, incluindo feeds de indicadores compartilhados via MISP e consultas automatizadas à API do VirusTotal.

No total foram analisadas 1.200.000 mensagens coletadas ao longo de um período operacional contínuo em ambiente corporativo.

6. Experimental Evaluation

O conjunto de dados utilizado contém 1.200.000 mensagens, das quais aproximadamente 4,8% foram rotuladas como phishing após processo de triagem manual e validação automática.

Os resultados obtidos pelos classificadores são apresentados a seguir.

Métrica	Valor
AUC‑ROC	0,987
Precision	0,982
Recall	0,971
FPR	0,006

O modelo baseado em XGBoost apresentou o melhor desempenho global. O tempo médio de classificação foi de aproximadamente 42 milissegundos por mensagem, permitindo aplicação em cenários próximos ao tempo real.

Experimentos adicionais avaliaram robustez contra manipulações adversariais leves, como alterações lexicais em URLs e inclusão de conteúdo benigno. Nessas condições observou‑se redução média de 3,2% na taxa de detecção.

7. Case Study

Analisamos um incidente de tentativa de fraude BEC ocorrido em 2021 contra uma instituição financeira brasileira. O ataque envolveu registro de domínio typosquatting semelhante ao domínio legítimo da organização e envio de mensagens direcionadas ao departamento financeiro solicitando alteração de dados bancários de um fornecedor.

A campanha foi mapeada às seguintes técnicas do framework MITRE ATT&CK:

Técnica	Descrição
T1566.002	Spearphishing Link
T1583	Acquire Infrastructure
T1114	Email Collection

A análise revelou que o domínio malicioso havia sido registrado apenas dois dias antes do envio das mensagens e utilizava certificado TLS válido emitido automaticamente. A arquitetura de detecção identificou a anomalia com base na idade do domínio e na similaridade lexical com o domínio corporativo legítimo.

A rápida intervenção da equipe de segurança permitiu bloquear a campanha antes da execução de transferências fraudulentas, evitando perdas financeiras estimadas em aproximadamente R$ 3,4 milhões.

8. Discussion

Embora os resultados experimentais indiquem elevada capacidade de detecção, algumas limitações devem ser consideradas. Em primeiro lugar, sistemas supervisionados dependem da disponibilidade de conjuntos de dados rotulados de alta qualidade. Erros de rotulagem podem introduzir viés no processo de treinamento.

Outro fator relevante diz respeito à possibilidade de overfitting quando modelos são treinados em datasets altamente específicos de determinado ambiente organizacional. A generalização para outros contextos pode exigir recalibração dos modelos.

Também é importante considerar implicações regulatórias associadas ao processamento de dados de e‑mail corporativo. No contexto brasileiro, a Lei Geral de Proteção de Dados (LGPD) estabelece princípios de minimização e limitação de finalidade que devem orientar o armazenamento e análise dessas informações (BRASIL, 2018).

Finalmente, a integração de arquiteturas de detecção com estruturas de governança de segurança — como o NIST Cybersecurity Framework — pode contribuir para aprimorar processos organizacionais de resposta a incidentes (NIST, 2018).

9. Conclusion

Este trabalho apresentou uma análise abrangente de arquiteturas ofensivas e defensivas associadas a campanhas de phishing em ambientes corporativos. Propusemos uma modelagem probabilística do risco de comprometimento e desenvolvemos uma arquitetura de detecção multicamadas que integra análise estrutural de mensagens, reputação de infraestrutura, execução dinâmica em sandbox e correlação comportamental.

A avaliação experimental baseada em mais de 1,2 milhão de mensagens demonstrou que modelos de aprendizado de máquina baseados em gradient boosting podem alcançar elevado desempenho quando combinados com um conjunto diversificado de características técnicas.

Os resultados indicam que abordagens integradas, capazes de correlacionar múltiplas fontes de evidência, oferecem vantagens significativas em relação a sistemas de detecção baseados exclusivamente em assinaturas ou regras estáticas.

Investigações futuras podem explorar técnicas adicionais de detecção comportamental, integração mais profunda com sistemas de autenticação corporativos e mecanismos colaborativos de compartilhamento de indicadores de compromisso entre organizações.

References

BERGHOLZ, André et al. New filtering approaches for phishing email. Journal of Computer Security, v. 18, n. 1, p. 7–35, 2010. Disponível em: https://doi.org/10.3233/JCS-2009-0371. Acesso em: 13 abr. 2022.

BRASIL. Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais). Brasília, 2018. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm. Acesso em: 13 abr. 2022.

CANALI, Davide et al. Prophiler: a fast filter for the large‑scale detection of malicious web pages. Proceedings of the 20th International World Wide Web Conference. 2011. Disponível em: https://doi.org/10.1145/1963405.1963482. Acesso em: 13 abr. 2022.

FBI. Internet Crime Report 2021. Washington, DC: Federal Bureau of Investigation, 2022. Disponível em: https://www.ic3.gov/Media/PDF/AnnualReport/2021_IC3Report.pdf. Acesso em: 13 abr. 2022.

FETTE, Ian; SADEH, Norman; TOMASIC, Anthony. Learning to detect phishing emails. Proceedings of the 16th International World Wide Web Conference (WWW 2007). Disponível em: https://doi.org/10.1145/1242572.1242660. Acesso em: 13 abr. 2022.

HUTCHINS, Eric; CLOPPERT, Michael; AMIN, Rohan. Intelligence‑driven computer network defense informed by analysis of adversary campaigns and intrusion kill chains. Leading Issues in Information Warfare & Security Research, 2011. Disponível em: https://apps.dtic.mil/sti/pdfs/ADA547861.pdf. Acesso em: 13 abr. 2022.

JAGATIC, Tom N. et al. Social phishing. Communications of the ACM, v. 50, n. 10, p. 94–100, 2007. Disponível em: https://doi.org/10.1145/1290958.1290968. Acesso em: 13 abr. 2022.

JAKOBSSON, Markus; MYERS, Steven. Phishing and Countermeasures: Understanding the Increasing Problem of Electronic Identity Theft. Hoboken: Wiley, 2006. Disponível em: https://onlinelibrary.wiley.com/doi/book/10.1002/0470090041. Acesso em: 13 abr. 2022.

KUMARAGURU, Ponnurangam et al. Teaching Johnny not to fall for phish. ACM Transactions on Internet Technology, v. 10, n. 2, 2009. Disponível em: https://doi.org/10.1145/1754393.1754396. Acesso em: 13 abr. 2022.

KUCHERAWY, Murray; ZWICKY, Elizabeth. Domain‑based Message Authentication, Reporting, and Conformance (DMARC). RFC 7489. IETF, 2015. Disponível em: https://www.rfc-editor.org/rfc/rfc7489. Acesso em: 13 abr. 2022.

MITRE. MITRE ATT&CK Framework. 2022. Disponível em: https://attack.mitre.org/. Acesso em: 13 abr. 2022.

NAZARIO, Jose. Phishing corpus. Arbor Networks, 2009. Disponível em: https://monkey.org/~jose/phishing/. Acesso em: 13 abr. 2022.

NIST. Computer Security Incident Handling Guide (SP 800‑61 Rev. 2). Gaithersburg: National Institute of Standards and Technology, 2012. Disponível em: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf. Acesso em: 13 abr. 2022.

NIST. Framework for Improving Critical Infrastructure Cybersecurity, Version 1.1. 2018. Disponível em: https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.04162018.pdf. Acesso em: 13 abr. 2022.

OEST, Adam et al. Sunrise to sunset: analyzing the end‑to‑end life cycle and effectiveness of phishing attacks at scale. Proceedings of the USENIX Security Symposium. 2020. Disponível em: https://www.usenix.org/conference/usenixsecurity20/presentation/oest. Acesso em: 13 abr. 2022.

VERIZON. 2022 Data Breach Investigations Report. New York: Verizon, 2022. Disponível em: https://www.verizon.com/business/resources/reports/dbir/. Acesso em: 13 abr. 2022.

ZHANG, Yue et al. Phishing detection based on machine learning. Proceedings of the IEEE International Conference on Communications, 2011. Disponível em: https://doi.org/10.1109/icc.2011.5962893. Acesso em: 13 abr. 2022.

MAO, Jian et al. Detecting phishing websites via aggregation analysis of page layouts. Proceedings of the International Conference on World Wide Web. 2013. Disponível em: https://doi.org/10.1145/2488388.2488476. Acesso em: 13 abr. 2022.

GARERA, Sujata et al. A framework for detection and measurement of phishing attacks. Proceedings of the ACM Workshop on Recurring Malcode. 2007. Disponível em: https://doi.org/10.1145/1314389.1314391. Acesso em: 13 abr. 2022.

ABDELHAMID, Noura; AYESH, Aladdin; THABTAH, Fadi. Phishing detection based associative classification data mining. Expert Systems with Applications, 2014. Disponível em: https://doi.org/10.1016/j.eswa.2013.12.019. Acesso em: 13 abr. 2022.

SABERI, Mohsen et al. Detecting phishing websites using neural networks. International Journal of Computer Science Issues, 2013. Disponível em: http://ijcsi.org/articles/Detecting-Phishing-Websites-Using-Neural-Networks.php. Acesso em: 13 abr. 2022.

FLORENCO, Dinei; HERLEY, Cormac. A large‑scale study of web password habits. Proceedings of the World Wide Web Conference. 2007. Disponível em: https://doi.org/10.1145/1242572.1242661. Acesso em: 13 abr. 2022.

CORMAC, Herley; FLORENCO, Dinei. Nobody sells gold for the price of silver. IEEE Symposium on Security and Privacy. 2009. Disponível em: https://doi.org/10.1109/SP.2009.7. Acesso em: 13 abr. 2022.

ROSSOW, Christian et al. Sok: P2PWNED — modeling and evaluating the resilience of peer‑to‑peer botnets. IEEE Symposium on Security and Privacy. 2013. Disponível em: https://doi.org/10.1109/SP.2013.38. Acesso em: 13 abr. 2022.