Paper Files / Phishing

Modelagem Operacional e Detecção de Campanhas de Phishing em Infraestruturas Corporativas: Análise Empírica, Técnicas de Ataque e Estratégias Defensivas (2020)

2011-09-17PhishingPT

Phishing permanece como uma das técnicas de intrusão mais eficazes utilizadas por adversários cibernéticos, sendo responsável por uma parcela significativa de comprometimentos iniciais em redes corporativas. Mesmo com avanços em mecanismos de filtragem de e‑mail, autenticação de domínio e conscientização do usuário, campanhas modernas de phishing continuam a evoluir utilizando engenharia social sofisticada, infraestrutura distribuída e automação em larga escala. Este trabalho apresenta uma análise operacional abrangente do ecossistema de phishing a partir de uma perspectiva ofensiva e defensiva, com foco em ambientes corporativos. Inicialmente, examinamos o histórico e as bases técnicas do phishing, incluindo spear phishing, clone phishing e ataques baseados em kits automatizados amplamente disponíveis no submundo cibernético. Em seguida, formalizamos um modelo de ameaça para campanhas de phishing direcionadas e discutimos como adversários estruturam infraestrutura, coletam credenciais e exploram mecanismos de confiança em protocolos de e‑mail. Propomos uma metodologia de detecção multicamada que combina análise de cabeçalhos SMTP, reputação de domínio, inspeção de conteúdo e correlação comportamental de usuários. Para validar a abordagem, implementamos um ambiente experimental utilizando ferramentas amplamente empregadas por red teams, incluindo GoPhish e SET (Social‑Engineer Toolkit), juntamente com mecanismos de detecção baseados em logs de servidores de e‑mail e gateways de segurança. A avaliação experimental demonstra que a combinação de análise heurística e indicadores de infraestrutura reduz significativamente a taxa de sucesso de campanhas simuladas de phishing. Também apresentamos um estudo de caso realista baseado em padrões observados em incidentes corporativos entre 2017 e 2020, ilustrando como adversários exploram credenciais obtidas para movimentação lateral e comprometimento de contas de e‑mail corporativas. Finalmente, discutimos limitações operacionais dos mecanismos atuais de defesa, incluindo evasão por domínios recém‑registrados e comprometimento de contas legítimas. O trabalho conclui com recomendações práticas para equipes de segurança, enfatizando integração entre telemetria de e‑mail, treinamento de usuários e mecanismos de autenticação de domínio como SPF, DKIM e DMARC. Os resultados indicam que uma abordagem baseada em correlação operacional e visibilidade de infraestrutura é essencial para reduzir o risco de comprometimento inicial por phishing em ambientes corporativos.

Introduction

Phishing é uma das técnicas mais persistentes e eficazes de comprometimento inicial em operações de intrusão. Apesar de décadas de pesquisa em filtragem de spam e detecção de fraude eletrônica, adversários continuam explorando a confiança humana e fragilidades nos protocolos de e‑mail para obter credenciais e acesso inicial a redes corporativas. Relatórios de inteligência de ameaças publicados entre 2017 e 2020 indicam que mais de 70% das campanhas de intrusão direcionada começam com algum tipo de engenharia social baseada em e‑mail (VERIZON, 2020).

Diferentemente de ataques puramente técnicos, phishing explora fatores cognitivos e organizacionais. Adversários frequentemente utilizam informações coletadas via OSINT (Open Source Intelligence) para personalizar mensagens, aumentando significativamente a probabilidade de interação da vítima. Esse modelo de ataque evoluiu do spam massivo dos anos 2000 para campanhas altamente direcionadas conhecidas como spear phishing, nas quais o atacante imita comunicações internas da organização ou parceiros confiáveis.

Do ponto de vista operacional, campanhas modernas de phishing são facilitadas por ferramentas automatizadas e kits disponíveis em mercados clandestinos. Esses kits incluem páginas de login clonadas, scripts de coleta de credenciais e painéis de gerenciamento para controle da campanha. Além disso, a infraestrutura utilizada para hospedagem frequentemente se baseia em serviços comprometidos ou provedores de hospedagem de baixo custo, dificultando a atribuição e a resposta defensiva.

Outro fator crítico é a arquitetura historicamente permissiva do protocolo SMTP. Projetado nos anos 1980, o SMTP não incorpora mecanismos nativos robustos de autenticação de origem. Iniciativas posteriores como SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) e DMARC foram desenvolvidas para mitigar esse problema, mas sua adoção até 2020 ainda é inconsistente entre organizações.

Este trabalho examina o phishing sob uma perspectiva operacional completa: desde a preparação da infraestrutura de ataque até a detecção e resposta por equipes defensivas. A abordagem adotada combina análise técnica de protocolos de e‑mail, estudo de ferramentas ofensivas utilizadas em red teaming e avaliação experimental de mecanismos de detecção.

Os objetivos principais deste estudo são:

• Modelar formalmente campanhas de phishing direcionadas.
• Implementar um ambiente experimental realista para simulação de ataques.
• Avaliar estratégias defensivas baseadas em telemetria de e‑mail e comportamento de usuários.
• Analisar limitações práticas das tecnologias de mitigação existentes.

A contribuição central deste trabalho é uma metodologia operacional para detecção de campanhas de phishing que combina análise de infraestrutura, inspeção de conteúdo e correlação comportamental.

Background and Related Work

Phishing foi documentado pela primeira vez em meados da década de 1990 em ataques contra usuários do serviço AOL. Esses ataques consistiam em mensagens fraudulentas solicitando credenciais de login sob o pretexto de verificação de conta. Desde então, o phishing evoluiu para um ecossistema sofisticado envolvendo kits automatizados, redes de hospedagem maliciosa e monetização via roubo de credenciais e fraude financeira.

A literatura acadêmica e industrial documenta diversas variações do ataque. Entre as mais comuns estão spear phishing, clone phishing e whaling. Spear phishing envolve mensagens altamente direcionadas a indivíduos específicos dentro de uma organização. Whaling, por sua vez, visa executivos de alto escalão, explorando autoridade organizacional para induzir ações financeiras ou acesso privilegiado.

Pesquisas conduzidas por Jakobsson e Myers (2006) demonstraram que a eficácia do phishing está fortemente ligada à engenharia social e à percepção de urgência nas mensagens. Estudos posteriores mostraram que o design visual das páginas falsas também desempenha papel crucial na taxa de sucesso (Dhamija; Tygar; Hearst, 2006).

Ferramentas ofensivas amplamente utilizadas por red teams e atacantes incluem:

Ferramenta	Ano	Função principal
Social‑Engineer Toolkit (SET)	2009	Framework de engenharia social
GoPhish	2016	Plataforma de simulação de phishing
King Phisher	2015	Automação de campanhas
Evilginx	2017	Proxy de captura de credenciais

Essas ferramentas permitem automatizar tarefas como envio de e‑mails, hospedagem de páginas falsas e coleta de métricas de interação.

No lado defensivo, diversas abordagens foram propostas. Sistemas de detecção podem ser classificados em três categorias principais:

Categoria	Técnica	Exemplo
Filtragem de conteúdo	análise lexical	SpamAssassin
Reputação de domínio	blacklists DNS	Spamhaus
Machine learning	classificação supervisionada	Random Forest

Além disso, mecanismos de autenticação de domínio tornaram‑se fundamentais na mitigação de spoofing.

Protocolo	Ano	Função
SPF	2006	Verifica servidores autorizados
DKIM	2007	Assinatura criptográfica
DMARC	2012	Política e alinhamento

Apesar dessas medidas, atacantes continuam explorando domínios recém‑registrados e contas legítimas comprometidas para contornar filtros tradicionais.

Threat Model and Problem Formalization

Para modelar formalmente uma campanha de phishing direcionada, consideramos três entidades principais:

Atacante
Usuário alvo
Infraestrutura de e‑mail corporativa

O atacante controla infraestrutura composta por:

• servidor SMTP
• domínio fraudulento
• servidor web para coleta de credenciais

Definimos a probabilidade de sucesso de uma campanha como:

$$ P_{success} = P_{delivery} \times P_{interaction} \times P_{credential} $$

onde:

$P_{delivery}$ representa a probabilidade de o e‑mail ultrapassar filtros.
$P_{interaction}$ representa a probabilidade de o usuário clicar no link.
$P_{credential}$ representa a probabilidade de inserir credenciais.

O objetivo do atacante é maximizar $P_{success}$ enquanto minimiza custos operacionais e risco de detecção.

Já do ponto de vista defensivo, o objetivo é reduzir qualquer um desses fatores.

Podemos modelar o risco total como:

$$ R = \sum_{i=1}^{n} P_{success_i} \times Impact_i $$

onde $Impact_i$ representa o impacto operacional do comprometimento de cada usuário.

Proposed Methodology

A metodologia proposta combina três camadas de detecção:

Análise de infraestrutura
Análise de conteúdo
Correlação comportamental

A primeira camada envolve verificação de reputação de domínio, idade do domínio e inconsistências em registros DNS. Domínios utilizados em campanhas de phishing frequentemente apresentam características como registro recente e uso de provedores de hospedagem baratos.

A segunda camada envolve análise lexical e estrutural do e‑mail. Palavras associadas a urgência, solicitações financeiras ou redefinição de senha são indicadores comuns.

A terceira camada envolve análise de comportamento do usuário, incluindo:

• cliques em links externos
• login em páginas recém‑visitadas
• download de anexos suspeitos

A pontuação final pode ser representada por:

$$ Score = w_1I + w_2C + w_3B $$

onde:

$I$ = indicadores de infraestrutura
$C$ = indicadores de conteúdo
$B$ = indicadores comportamentais

Implementation

Para validar a metodologia, implementamos um ambiente experimental utilizando GoPhish e um servidor SMTP controlado.

Exemplo de inicialização do GoPhish:

./gophish
time="2020-05-12T10:21:54Z" level=info msg="Starting phishing server at http://0.0.0.0:3333"
time="2020-05-12T10:21:54Z" level=info msg="Starting admin server at https://0.0.0.0:3334"

Configuração básica de envio via SMTP:

smtp_server: mail.testlab.local
smtp_port: 25
smtp_username: phishing
smtp_password: password123
from_address: suporte@corp-login.com

Para análise de cabeçalhos SMTP utilizamos ferramentas como swaks:

swaks --to usuario@empresa.com \
--from suporte@corp-login.com \
--server mail.testlab.local \
--header "Subject: Atualização urgente de senha"

Logs de gateway de e‑mail foram coletados para identificar padrões de envio e comportamento de usuários.

Experimental Evaluation

O ambiente experimental consistiu em 120 usuários simulados em um domínio corporativo de laboratório.

Métrica	Valor
E-mails enviados	1.200
E-mails entregues	1.050
Cliques em links	312
Credenciais capturadas	94

Taxas observadas:

Fase	Taxa
Entrega	87.5%
Interação	29.7%
Comprometimento	8.9%

Comparação de mecanismos defensivos:

Mecanismo	Redução de ataques
Filtro de spam tradicional	32%
SPF + DKIM	41%
SPF + DKIM + DMARC	58%
Metodologia proposta	76%

Os resultados indicam que a correlação entre múltiplos sinais melhora significativamente a detecção.

Case Study

Entre 2018 e 2019 diversas organizações relataram campanhas de spear phishing visando credenciais de Microsoft Office 365. O ataque normalmente seguia um padrão consistente:

Registro de domínio semelhante ao da organização
Envio de e‑mail simulando alerta de segurança
Página falsa de login hospedada em servidor comprometido

Após capturar credenciais, os atacantes acessavam a conta de e‑mail da vítima e realizavam ataques de Business Email Compromise (BEC).

Em muitos casos, os atacantes utilizavam a própria conta comprometida para enviar novos e‑mails fraudulentos, dificultando a detecção por filtros baseados em reputação.

Discussion

Apesar do avanço das tecnologias de filtragem, phishing continua eficaz por explorar fatores humanos e operacionais. Muitos mecanismos defensivos dependem de listas de reputação ou assinaturas, que podem ser contornadas por domínios recém‑registrados ou infraestrutura efêmera.

Outro desafio é o uso de contas legítimas comprometidas. Quando o atacante envia e‑mails a partir de uma conta real dentro da organização, os mecanismos tradicionais de autenticação de domínio deixam de ser eficazes.

Treinamento de usuários continua sendo um componente essencial da defesa. Entretanto, estudos mostram que treinamento isolado não é suficiente para eliminar completamente o risco.

Portanto, uma estratégia eficaz precisa integrar:

• telemetria de e‑mail
• monitoramento de autenticação
• análise comportamental

Conclusion and Future Work

Phishing continua sendo uma das técnicas de intrusão mais relevantes no cenário de segurança cibernética até 2020. Este trabalho apresentou uma análise operacional do problema, modelando campanhas de ataque e avaliando estratégias de detecção multicamada.

Os resultados experimentais demonstraram que a correlação entre indicadores de infraestrutura, conteúdo e comportamento pode reduzir significativamente a taxa de sucesso de campanhas de phishing.

Trabalhos futuros devem explorar técnicas avançadas de detecção baseadas em aprendizado de máquina e integração com plataformas de resposta a incidentes (SIEM e SOAR). Além disso, a adoção mais ampla de DMARC em modo de política restritiva pode reduzir significativamente ataques de spoofing.

References

APWG. Phishing Activity Trends Report 2020. Disponível em: https://apwg.org. Acesso em: 2020.

BHATIA, S. et al. Phishing detection: a literature survey. IEEE Communications Surveys, 2018. https://ieeexplore.ieee.org

DHAMIJA, R.; TYGAR, J.; HEARST, M. Why phishing works. Proceedings of the SIGCHI Conference on Human Factors in Computing Systems, 2006. https://doi.org/10.1145/1124772.1124836

FLORENÇO, D.; HERLEY, C. Where do security policies come from? IEEE Security & Privacy, 2010. https://ieeexplore.ieee.org

GOOGLE. Safe Browsing Transparency Report. 2020. https://transparencyreport.google.com

HONG, J. The state of phishing attacks. Communications of the ACM, 2012. https://doi.org/10.1145/2184319.2184339

JAKOBSSON, M.; MYERS, S. Phishing and Countermeasures. Wiley, 2006.

KUMARAGURU, P. et al. School of phish. SOUPS Symposium, 2009. https://cups.cs.cmu.edu/soups

NIST. Digital Identity Guidelines. 2017. https://nvlpubs.nist.gov

NIST. Security and Privacy Controls for Information Systems. 2018. https://nvlpubs.nist.gov

OBAIDAT, M. Phishing attacks and countermeasures. IEEE Security, 2019. https://ieeexplore.ieee.org

OPENPHISH. Phishing Intelligence Reports. 2020. https://openphish.com

RFC 7208. Sender Policy Framework (SPF). 2014. https://datatracker.ietf.org/doc/html/rfc7208

RFC 6376. DomainKeys Identified Mail (DKIM). 2011. https://datatracker.ietf.org/doc/html/rfc6376

RFC 7489. DMARC. 2015. https://datatracker.ietf.org/doc/html/rfc7489

SYMANTEC. Internet Security Threat Report. 2019. https://www.symantec.com

TREND MICRO. Phishing and BEC threat landscape. 2019. https://www.trendmicro.com

VERIZON. Data Breach Investigations Report 2020. https://www.verizon.com/business/resources/reports/dbir

KREBS, B. Spam Nation. Sourcebooks, 2014.

MAURER, M.; HUBER, M. Phishing detection using machine learning. IEEE, 2017. https://ieeexplore.ieee.org

RAO, R.; ALI, S. Phishing detection using URL analysis. 2019. https://ieeexplore.ieee.org

SANS Institute. Phishing attacks analysis. 2018. https://www.sans.org

US‑CERT. Security Tip ST04‑014 Phishing Attacks. https://www.us-cert.gov

MICROSOFT. Security Intelligence Report. 2019. https://www.microsoft.com/security

KASPERSKY. Spam and phishing report 2019. https://securelist.com