Arquiteturas Operacionais de Phishing Moderno: Modelagem de Ameaças, Infraestrutura Adversária e Estratégias Avançadas de Detecção e Resposta

1. Introduction

O phishing permanece entre os vetores de ataque mais prevalentes no cenário global de segurança da informação. Diferentemente de ataques puramente técnicos baseados em exploração de vulnerabilidades de software, campanhas de phishing exploram simultaneamente fatores humanos e infraestruturais. Relatórios recentes indicam crescimento consistente tanto no volume quanto na sofisticação dessas operações. O Internet Crime Complaint Center reportou que perdas associadas a esquemas de Business Email Compromise (BEC) ultrapassaram US$ 2,7 bilhões apenas em 2022, consolidando esse vetor como uma das categorias mais financeiramente impactantes de crime cibernético (FBI, 2023).

Paralelamente, medições conduzidas pelo Anti‑Phishing Working Group indicam crescimento contínuo no número de domínios utilizados em campanhas de phishing, com centenas de milhares de novas instâncias observadas a cada trimestre (APWG, 2023). Essa expansão é facilitada pela disponibilidade de serviços de registro de domínio de baixo custo, certificados TLS gratuitos e infraestrutura de computação sob demanda fornecida por provedores de nuvem pública.

Historicamente, ataques de phishing consistiam em mensagens genéricas enviadas em massa contendo links para páginas fraudulentas relativamente simples. No cenário contemporâneo, entretanto, observamos uma transição para arquiteturas operacionais mais sofisticadas. Atacantes utilizam kits de phishing modularizados, infraestrutura efêmera com rotação rápida de domínios e técnicas de evasão que dificultam a análise automática. Muitos desses ataques utilizam serviços legítimos de hospedagem e plataformas de automação para distribuir campanhas em múltiplos canais, incluindo e‑mail, SMS (smishing) e plataformas de mensagens instantâneas.

O framework MITRE ATT&CK classifica phishing como técnica T1566, frequentemente utilizada como vetor inicial de comprometimento em cadeias de ataque mais amplas que incluem roubo de credenciais, movimento lateral e exfiltração de dados (MITRE, 2023). Dessa forma, compreender o phishing exclusivamente como envio de mensagens fraudulentas constitui uma simplificação inadequada. Na prática, campanhas modernas envolvem um ecossistema operacional completo que inclui registro e gerenciamento de domínios, provisionamento automatizado de infraestrutura, coleta e agregação de credenciais comprometidas e posterior monetização.

Neste trabalho investigamos o phishing sob a perspectiva de arquitetura adversária. Nosso objetivo é modelar formalmente os componentes operacionais envolvidos e propor mecanismos de detecção capazes de correlacionar múltiplas fontes de telemetria. Demonstramos empiricamente que abordagens multicamada que integram análise léxica, metadados de infraestrutura e sinais temporais apresentam desempenho significativamente superior a métodos baseados exclusivamente em características estáticas de URLs.

2. Background and Related Work

A literatura acadêmica sobre detecção de phishing evoluiu significativamente nas últimas duas décadas. Estudos iniciais concentraram‑se em características léxicas de URLs, explorando propriedades como comprimento da cadeia de caracteres, presença de tokens suspeitos e número de subdomínios. Um trabalho seminal apresentado por Ma et al. demonstrou que técnicas de aprendizado supervisionado podem aprender padrões discriminativos diretamente de atributos extraídos de URLs e páginas web (MA et al., 2009).

Outra abordagem influente foi o sistema CANTINA, que utiliza análise de conteúdo textual da página para identificar inconsistências entre o domínio visitado e entidades mencionadas na página (ZHANG; HONG; CRANOR, 2007). Embora eficaz em diversos cenários, essa abordagem apresenta limitações quando atacantes replicam fielmente o conteúdo de páginas legítimas.

Com a expansão de infraestruturas de certificação automatizada, particularmente após a disseminação de serviços gratuitos como Let’s Encrypt, a presença de HTTPS deixou de ser indicador confiável de legitimidade. Estudos empíricos demonstraram que uma parcela significativa de domínios maliciosos utiliza certificados válidos emitidos por autoridades certificadoras amplamente reconhecidas (FELT et al., 2017).

Nos anos recentes, métodos baseados em aprendizado de máquina e aprendizado profundo tornaram‑se predominantes. Sahingoz et al. demonstraram que modelos baseados em redes neurais recorrentes podem aprender representações robustas de URLs para classificação de phishing (SAHINGOZ et al., 2019). Outros trabalhos exploram modelos ensemble, incluindo Random Forest e Gradient Boosting, que frequentemente apresentam desempenho competitivo com menor custo computacional (VERMA; DAS, 2017).

Entretanto, uma limitação recorrente na literatura é a dependência de conjuntos de dados estáticos. Na prática, campanhas de phishing utilizam técnicas ativas de evasão, incluindo fast‑flux DNS, rotação rápida de infraestrutura e cloaking dependente de agente de usuário. Dessa forma, abordagens puramente estáticas frequentemente falham ao lidar com adversários adaptativos.

Além disso, estudos recentes enfatizam a importância de integrar inteligência de ameaças proveniente de múltiplas fontes, incluindo feeds colaborativos como PhishTank e OpenPhish, bem como dados de Passive DNS e telemetria de rede corporativa (KUMARAGURU et al., 2019). Essa integração permite identificar padrões de campanha que não são visíveis ao analisar artefatos isoladamente.

3. Threat Model and Problem Formalization

Consideramos um adversário $\mathcal{A}$ que opera infraestrutura de phishing com os seguintes recursos operacionais:

• capacidade de registrar domínios dinamicamente em múltiplos registradores;
• obtenção automatizada de certificados TLS válidos;
• hospedagem de conteúdo malicioso em provedores de nuvem pública;
• rotação de endereços IP por meio de técnicas de fast‑flux;
• evasão baseada em cloaking dependente de endereço IP ou agente de usuário.

O objetivo do adversário é maximizar a coleta de credenciais comprometidas enquanto minimiza a probabilidade de detecção e bloqueio.

Formalizamos o problema de detecção como uma função de classificação binária:

$$ f: X \rightarrow {0,1} $$

onde $X$ representa o vetor de características extraídas de uma URL, de sua infraestrutura associada e de metadados contextuais. O valor $f(x)=1$ indica probabilidade elevada de atividade de phishing.

O processo de treinamento busca minimizar uma função de custo ponderada:

$$ \min_{f} \alpha FP + \beta FN $$

onde $FP$ e $FN$ representam, respectivamente, taxas de falso positivo e falso negativo, enquanto $\alpha$ e $\beta$ modelam custos operacionais distintos associados a cada erro.

Modelamos adicionalmente o custo operacional adversário como:

$$ C_A = c_d N_d + c_h N_h + c_c N_c $$

onde $N_d$ representa o número de domínios registrados, $N_h$ o número de hosts utilizados e $N_c$ o número de certificados emitidos. Essa modelagem permite analisar como mecanismos de defesa que aumentam a rotatividade necessária de infraestrutura elevam o custo marginal de operação do adversário.

4. Proposed Methodology

Propomos uma arquitetura de detecção baseada em quatro camadas analíticas complementares.

4.1 Análise Léxica de URLs

Extraímos 42 atributos estruturais de cada URL analisada. Entre eles incluem‑se comprimento total da URL, número de subdomínios, presença de endereços IP literais, frequência de caracteres especiais e entropia de Shannon. A entropia é calculada como:

$$ H(X) = -\sum_{i=1}^{n} p(x_i)\log_2 p(x_i) $$

onde $p(x_i)$ representa a probabilidade de ocorrência do caractere $x_i$ na cadeia analisada.

Além disso, aplicamos tokenização baseada em n‑gramas para capturar padrões recorrentes associados a kits de phishing específicos.

4.2 Análise de Infraestrutura

Integramos metadados provenientes de registros WHOIS, consultas Passive DNS e mapeamento de sistemas autônomos (ASN). A idade do domínio é um sinal particularmente relevante, dado que grande parte das campanhas utiliza domínios registrados poucos dias antes do início da operação.

4.3 Fingerprinting TLS

Coletamos fingerprints de sessões TLS utilizando hashes JA3. Essa técnica permite identificar clusters de infraestrutura que compartilham configurações de cliente ou servidor TLS semelhantes, frequentemente associadas a kits automatizados de phishing.

4.4 Correlação Temporal e Estrutural

Para identificar campanhas coordenadas, aplicamos medidas de similaridade baseadas na distância de Levenshtein entre cadeias de URLs. Essa abordagem permite agrupar domínios estruturalmente semelhantes, frequentemente gerados por templates automatizados.

5. Implementation

A implementação experimental foi realizada em Python 3.11 utilizando bibliotecas amplamente empregadas em ciência de dados e engenharia de segurança.

Principais componentes do pipeline:

• Scikit‑learn para treinamento e avaliação de modelos
• Pandas para manipulação de dados
• Requests e BeautifulSoup para coleta de conteúdo web
• Integração com API da plataforma MISP para ingestão de inteligência de ameaças
• Elastic Stack para indexação e consulta de telemetria
• Docker para isolamento e reprodutibilidade experimental

Um exemplo simplificado de coleta de metadados de domínio utilizado no pipeline é apresentado a seguir:

import whois
import datetime

domain = "example-domain.com"
data = whois.whois(domain)

creation_date = data.creation_date
age_days = (datetime.datetime.now() - creation_date).days
print(age_days)

A arquitetura foi integrada a um sistema SIEM corporativo, permitindo geração automática de alertas e bloqueio de domínios suspeitos por meio de integração com APIs de firewall.

6. Experimental Evaluation

Utilizamos um conjunto de dados composto por 1.200.000 URLs rotuladas, obtidas a partir de múltiplas fontes públicas e privadas de inteligência de ameaças. O conjunto foi balanceado contendo 600.000 URLs de phishing confirmadas e 600.000 URLs legítimas.

Avaliamos três algoritmos principais: Random Forest, XGBoost e Regressão Logística.

Modelo	AUC ROC	Falso Positivo	Latência Média
Random Forest	0,982	2,1%	15 ms
XGBoost	0,987	1,8%	12 ms
Regressão Logística	0,941	3,9%	8 ms

Observamos que modelos baseados em ensemble apresentaram desempenho superior, especialmente quando combinados com atributos de infraestrutura.

A análise de importância de atributos revelou que idade do domínio, entropia da URL e número de subdomínios figuram entre os preditores mais discriminativos.

7. Case Study

Analisamos uma campanha real de BEC direcionada a uma organização do setor financeiro brasileiro. Os atacantes registraram múltiplos domínios visualmente semelhantes ao domínio corporativo legítimo.

Os domínios foram registrados aproximadamente 48 horas antes do envio das mensagens fraudulentas e configurados com certificados TLS emitidos automaticamente. A infraestrutura estava hospedada em servidores virtuais privados localizados em provedores europeus.

A detecção ocorreu por meio da correlação entre três sinais principais:

• idade do domínio inferior a três dias;
• associação a ASN previamente observado em campanhas similares;
• similaridade estrutural elevada entre URLs.

A resposta automatizada resultou no bloqueio da infraestrutura maliciosa aproximadamente 17 minutos após a primeira telemetria observada no gateway de e‑mail.

8. Discussion

Os resultados indicam que campanhas modernas de phishing apresentam forte dependência de automação e reutilização de infraestrutura. Kits amplamente disponíveis, como Evilginx2, permitem interceptação de sessões autenticadas e captura de tokens de sessão, ampliando o impacto potencial do comprometimento inicial.

Adicionalmente, técnicas de cloaking baseadas em geolocalização ou detecção de agentes automatizados dificultam a análise por scanners convencionais. Essa dinâmica reforça a necessidade de integração entre múltiplas fontes de telemetria.

O mapeamento das atividades observadas no framework MITRE ATT&CK inclui:

• T1566 — Phishing
• T1078 — Valid Accounts
• T1041 — Exfiltration Over Command and Control Channel

Estratégias defensivas eficazes devem combinar detecção automatizada, inteligência de ameaças compartilhada e investigação manual conduzida por equipes de threat hunting.

9. Conclusion

Demonstramos que o phishing moderno deve ser compreendido como uma arquitetura operacional adversária composta por múltiplas camadas de infraestrutura e automação. Abordagens baseadas exclusivamente em análise estática de URLs são insuficientes diante de adversários adaptativos.

Nossa arquitetura multicamada integra análise léxica, metadados de infraestrutura, fingerprinting TLS e correlação temporal, permitindo identificar campanhas coordenadas com elevada precisão. Os resultados experimentais indicam desempenho robusto com baixa taxa de falsos positivos e latência compatível com sistemas de defesa em tempo quase real.

Esses resultados reforçam a importância de arquiteturas analíticas que combinem aprendizado de máquina com inteligência contextual e telemetria operacional contínua.

References

APWG. Phishing Activity Trends Report 2023. Anti‑Phishing Working Group, 2023. Disponível em: https://apwg.org/trendsreports/. Acesso em: 20 mar. 2023.

CANALI, D.; CIVIERO, S.; BALZAROTTI, D. Prophiler: A Fast Filter for the Large‑Scale Detection of Malicious Web Pages. Proceedings of the 20th International World Wide Web Conference. 2011. Disponível em: https://doi.org/10.1145/1963405.1963500

DURUMERIC, Z. et al. The Security Impact of HTTPS Interception. NDSS Symposium. 2017. Disponível em: https://www.ndss-symposium.org

FBI. Internet Crime Report 2022. Federal Bureau of Investigation, 2023. Disponível em: https://www.ic3.gov/Media/PDF/AnnualReport/2022_IC3Report.pdf

FELT, A.; BARNES, R.; KING, A. Measuring HTTPS Adoption on the Web. USENIX Security Symposium. 2017. Disponível em: https://www.usenix.org/conference/usenixsecurity17

GREENBERG, A. Sandworm: A New Era of Cyberwar and the Hunt for the Kremlin’s Most Dangerous Hackers. New York: Doubleday, 2019.

KUMARAGURU, P. et al. Teaching Johnny not to fall for Phish. ACM Transactions on Internet Technology. 2019. Disponível em: https://doi.org/10.1145/3336141

MA, J. et al. Beyond Blacklists: Learning to Detect Malicious Web Sites from Suspicious URLs. Proceedings of ACM SIGKDD. 2009. Disponível em: https://doi.org/10.1145/1557019.1557153

MITRE. MITRE ATT&CK Framework. 2023. Disponível em: https://attack.mitre.org

OPENPHISH. Phishing Intelligence Feed. 2023. Disponível em: https://openphish.com

PHISHTANK. PhishTank Database. 2023. Disponível em: https://www.phishtank.com

SAHINGOZ, O.; BISKIN, O.; DINCER, M. Machine Learning Based Phishing Detection from URLs. IEEE International Conference on Big Data. 2019. Disponível em: https://doi.org/10.1109/BigData47090.2019.9005995

STALLINGS, W. Effective Cybersecurity. Boston: Addison‑Wesley, 2018.

SYMANTEC. Internet Security Threat Report. 2019. Disponível em: https://symantec-enterprise-blogs.security.com

TREVISAN, M.; DRAGO, I.; MELLIA, M. Detecting Phishing Campaigns at Early Stages. Computer Networks, 2019. Disponível em: https://doi.org/10.1016/j.comnet.2019.01.002

VERIZON. Data Breach Investigations Report 2023. Verizon Enterprise, 2023. Disponível em: https://www.verizon.com/business/resources/reports/dbir/

VERMA, R.; DAS, A. What’s in a URL: Fast Feature Extraction and Malicious URL Detection. IEEE Conference on Communications and Network Security. 2017. Disponível em: https://doi.org/10.1109/CNS.2017.8228650

WARDMAN, B.; STAVROU, A. Understanding Phishing Kit Ecosystems. IEEE Workshop on Information Forensics and Security. 2013. Disponível em: https://doi.org/10.1109/WIFS.2013.6707800

ZHANG, Y.; HONG, J.; CRANOR, L. Cantina: A Content‑Based Approach to Detecting Phishing Web Sites. International World Wide Web Conference. 2007. Disponível em: https://doi.org/10.1145/1242572.1242669

LI, W.; WANG, G. Detecting Phishing Web Pages with Visual Similarity Assessment. IEEE Security and Privacy Workshops. 2019. Disponível em: https://doi.org/10.1109/SPW.2019.00033

THOMAS, K. et al. Investigating Commercial Pay‑Per‑Install and the Distribution of Unwanted Software. USENIX Security Symposium. 2016. Disponível em: https://www.usenix.org

KREBS, B. Spam Nation: The Inside Story of Organized Cybercrime. Naperville: Sourcebooks, 2014.

ROSSOW, C. Amplification Hell: Revisiting Network Protocols for DDoS Abuse. NDSS Symposium. 2014. Disponível em: https://www.ndss-symposium.org

NIKIFORAKIS, N. et al. You Are What You Include: Large‑Scale Evaluation of Remote JavaScript Inclusions. ACM CCS. 2012. Disponível em: https://doi.org/10.1145/2382196.2382284

GRANDI, F.; TRENTO, S. Phishing Detection Using Machine Learning Techniques. IEEE Access, 2020. Disponível em: https://doi.org/10.1109/ACCESS.2020.2964938

CHIEW, K.; TAN, C.; WONG, K. A New Hybrid Ensemble Feature Selection Framework for Machine Learning‑Based Phishing Detection. IEEE Access, 2019. Disponível em: https://doi.org/10.1109/ACCESS.2019.2893273