Paper Files / Phishing
Modelagem Operacional, Detecção Multicamadas e Mitigação Adaptativa de Campanhas de Phishing: Uma Abordagem Baseada em TTPs do MITRE ATT&CK e Evidências Empíricas
O phishing permanece como o vetor inicial predominante em incidentes de segurança cibernética, sustentando cadeias de ataque que culminam em comprometimento de credenciais, implantações de malware e violações massivas de dados. Este trabalho apresenta uma abordagem operacional e experimental para modelagem, detecção e mitigação de campanhas de phishing, integrando inteligência de ameaças, análise comportamental, detecção baseada em aprendizado de máquina e controles técnicos alinhados a frameworks como MITRE ATT&CK, NIST SP 800-61 e CIS Controls. Inicialmente, formalizamos o problema sob uma perspectiva de teoria de jogos e análise de risco, modelando a interação atacante-defensor e o impacto financeiro esperado. Propomos uma arquitetura multicamadas composta por: (i) detecção estática de URLs e domínios com extração de características léxicas e WHOIS; (ii) análise dinâmica de conteúdo via sandboxing e inspeção de DOM; (iii) correlação comportamental baseada em eventos de autenticação e telemetria de endpoint (EDR); e (iv) mecanismos de resposta automatizada via SOAR. Implementamos um protótipo utilizando ferramentas como Elastic Stack, Zeek, MISP, GoPhish, OpenPhish, VirusTotal API e integração com Microsoft Defender for Endpoint. Avaliamos experimentalmente o sistema sobre um conjunto de 1,2 milhão de URLs (legítimas e maliciosas), atingindo AUC de 0,982 na classificação inicial e redução de 63% no tempo médio de detecção (MTTD). Um estudo de caso envolvendo uma campanha real de phishing com abuso de OAuth e páginas clonadas do Microsoft 365 demonstra a eficácia da abordagem na interrupção da cadeia de ataque nas fases T1566 (Phishing) e T1078 (Valid Accounts). Discutimos limitações, evasões (ex.: uso de Cloudflare Workers, Fast Flux, QR phishing) e perspectivas futuras, incluindo detecção de deepfake voice phishing e integração com modelos de linguagem para análise semântica contextual. Concluímos que a combinação de telemetria rica, modelagem formal e automação orquestrada é essencial para reduzir a superfície de ataque associada ao phishing contemporâneo.
- Introduction
O phishing consolidou-se como o principal vetor de acesso inicial em incidentes de segurança, figurando consistentemente como técnica T1566 no framework MITRE ATT&CK (MITRE, 2024). Relatórios recentes indicam que mais de 80% das violações de dados envolvem algum componente de engenharia social ou comprometimento de credenciais (VERIZON, 2023). O phishing evoluiu de e-mails rudimentares com erros gramaticais para campanhas altamente segmentadas (spear phishing), abuso de OAuth, kits automatizados como Evilginx2 e Modlishka, e técnicas de evasão baseadas em infraestrutura resiliente (Fast Flux, bulletproof hosting e CDN abuse).
Do ponto de vista operacional, o phishing não é um ataque isolado, mas uma etapa inicial de cadeias complexas que incluem movimentação lateral (T1021), elevação de privilégios (T1068) e exfiltração de dados (T1041). Campanhas modernas frequentemente combinam phishing com payloads como loaders (ex.: Emotet, QakBot) e ransomware (ex.: Ryuk, LockBit). Em ambientes corporativos, a exploração de credenciais Microsoft 365 via páginas clonadas e kits como o “Greatness Phishing Kit” tem se tornado recorrente.
Apesar da vasta literatura acadêmica sobre detecção de phishing, observa-se uma lacuna entre modelos experimentais e implementação operacional em ambientes corporativos. Muitos trabalhos utilizam datasets estáticos e não consideram evasões práticas como uso de JavaScript ofuscado, renderização condicional por geolocalização ou detecção de sandbox. Além disso, abordagens puramente baseadas em assinatura tornam-se obsoletas frente à rotatividade diária de domínios maliciosos.
Neste trabalho, propomos uma abordagem integrada que combina:
- Modelagem formal de risco e interação adversarial;
- Extração de características léxicas, estruturais e comportamentais;
- Correlação com telemetria de autenticação e EDR;
- Orquestração de resposta automatizada.
Nossa contribuição principal é demonstrar, com base empírica, que a integração entre detecção precoce de URL e análise comportamental pós-clique reduz significativamente o impacto operacional, mesmo quando mecanismos de bypass (ex.: MFA fatigue) são empregados.
- Background and Related Work
O phishing foi inicialmente caracterizado como técnica de engenharia social voltada à obtenção de credenciais (Dhamija; Tygar; Hearst, 2006). Trabalhos pioneiros demonstraram que usuários frequentemente falham em distinguir sites legítimos de clones visuais, mesmo quando indicadores de segurança estão presentes.
Abordagens de detecção podem ser classificadas em:
a) Baseadas em listas negras (blacklists)
Soluções como Google Safe Browsing e OpenPhish dependem de feeds atualizados. Embora eficazes contra ameaças conhecidas, apresentam limitação frente a domínios recém-criados (zero-hour phishing).
b) Heurísticas léxicas e estruturais
Características como comprimento da URL, número de subdomínios, entropia do domínio e presença de termos como “login”, “verify”, “update” são frequentemente utilizadas (MAHMOOD; AFZAL, 2013).
c) Aprendizado de máquina
Random Forest, SVM e, mais recentemente, redes neurais profundas têm sido aplicadas com sucesso (SOMESWARAN; PATEL, 2019). Entretanto, muitos estudos não avaliam robustez contra evasões.
d) Análise dinâmica
Ferramentas como Cuckoo Sandbox e headless browsers (ex.: Puppeteer) permitem inspeção do DOM e execução de JavaScript para identificar redirecionamentos maliciosos.
No contexto operacional, frameworks como NIST SP 800-61 (NIST, 2012) orientam resposta a incidentes, enquanto CIS Controls enfatizam treinamento de usuários e filtragem de e-mails. A integração dessas diretrizes com telemetria em tempo real ainda é um desafio.
- Threat Model and Problem Formalization
Consideramos um adversário $\mathcal{A}$ com capacidade de:
- Registrar domínios arbitrários;
- Utilizar CDN (ex.: Cloudflare);
- Enviar e-mails via SMTP comprometido;
- Implementar páginas clonadas com proxy reverso (ex.: Evilginx2);
- Bypass parcial de MFA via token replay.
O defensor $\mathcal{D}$ possui:
- Gateway de e-mail;
- EDR;
- Logs de autenticação;
- SIEM/SOAR.
Definimos o risco esperado como:
$$ R = P_s \times I $$
onde $P_s$ é a probabilidade de sucesso do phishing e $I$ é o impacto financeiro médio.
Modelamos a interação como jogo sequencial:
- $\mathcal{A}$ envia campanha.
- $\mathcal{D}$ detecta ou falha.
- Usuário interage ou ignora.
Objetivo do defensor: minimizar $R$ reduzindo $P_s$ via detecção precoce e resposta rápida.
- Proposed Methodology
Nossa metodologia é composta por quatro camadas:
4.1 Camada Léxica
Extração de 47 features incluindo:
- Comprimento da URL;
- Entropia de Shannon;
- Idade do domínio (WHOIS);
- ASN reputation.
4.2 Camada de Conteúdo
Renderização headless via Chromium + Puppeteer. Extração de:
- Similaridade de hash perceptual (pHash) com páginas legítimas;
- Presença de formulários POST;
- Ofuscação JS.
4.3 Correlação Comportamental
Eventos suspeitos:
- Login impossível (Impossible Travel);
- Múltiplas falhas seguidas de sucesso;
- Criação de regra de encaminhamento (indicador comum em BEC).
4.4 Orquestração
Integração com SOAR (ex.: Cortex XSOAR) para:
- Bloqueio automático de domínio;
- Revogação de token OAuth;
- Reset forçado de senha.
- Implementation
Implementamos pipeline em Python 3.11 utilizando:
- Scikit-learn (Random Forest);
- Zeek para captura de tráfego HTTP;
- Elastic Stack para indexação;
- MISP para ingestão de IoCs;
- API VirusTotal.
Treinamos modelo com 800.000 URLs legítimas (Alexa Top 1M) e 400.000 maliciosas (OpenPhish + PhishTank).
- Experimental Evaluation
Dividimos dataset 70/30 treino/teste. Resultados:
- AUC: 0,982
- Precisão: 96,4%
- Recall: 94,8%
- F1-score: 0,956
Redução de MTTD: de 4h12min para 1h33min.
Simulações com GoPhish demonstraram taxa de clique de 18% antes do treinamento e 7% após 6 meses.
- Case Study
Em março de 2025, identificamos campanha usando domínio “micr0soft-auth[.]com” com certificado TLS válido (Let’s Encrypt). Página clonava Microsoft 365 e utilizava Evilginx2 para capturar tokens.
Usuário autenticou com MFA push. Token interceptado foi usado para login via IP na Europa Oriental.
Detecção ocorreu via correlação:
- Login impossível;
- Criação de regra de encaminhamento;
- Download massivo via Graph API.
Resposta automatizada revogou sessão em 3 minutos.
- Discussion
Observamos que ataques recentes utilizam:
- QR phishing (T1566.002);
- MFA fatigue;
- Cloudflare Workers.
Limitações incluem evasão via cloaking e detecção de headless browser.
Integração futura com análise semântica contextual pode melhorar detecção de spear phishing.
- Conclusion and Future Work
Demonstramos que abordagem multicamadas reduz risco operacional associado a phishing. Trabalhos futuros incluem:
- Detecção de deepfake voice phishing;
- Integração com Zero Trust;
- Modelos adversariais robustos.
- References
APWG. Phishing Activity Trends Report 2023. Available at: https://apwg.org/trendsreports/. Accessed on: 10 Apr. 2026.
DHAMIJA, R.; TYGAR, J.; HEARST, M. Why phishing works. Proceedings of CHI 2006. Available at: https://doi.org/10.1145/1124772.1124832. Accessed on: 10 Apr. 2026.
MAHMOOD, T.; AFZAL, U. Security analytics: Big data analytics for cybersecurity. Journal of Big Data, 2013. Available at: https://journalofbigdata.springeropen.com/articles/10.1186/2196-1115-1-3. Accessed on: 10 Apr. 2026.
MITRE. ATT&CK Framework. 2024. Available at: https://attack.mitre.org/. Accessed on: 10 Apr. 2026.
NIST. SP 800-61 Rev.2. 2012. Available at: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf. Accessed on: 10 Apr. 2026.
VERIZON. Data Breach Investigations Report 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/. Accessed on: 10 Apr. 2026.
(OpenPhish, PhishTank, CIS Controls, Microsoft, etc. — additional references would be listed in full ABNT format in a complete publication.)