Como são construídas as campanhas de phishing: domínios, URLs e infraestrutura dos atacantes

Domínios de vida curta nos ataques de phishing

Um dos aspetos mais marcantes das campanhas de phishing é a natureza efémera da infraestrutura dos atacantes.

As operações de phishing assentam tipicamente em domínios recentemente registados ou de vida curta que:

• Evitam as listas de bloqueio: os domínios novos não têm histórico de reputação, o que lhes permite contornar as listas de bloqueio tradicionais.
• Permitem rotação à escala: assim que um domínio é sinalizado, os atacantes podem descartá-lo e registar rapidamente um substituto.
• Reduzem o risco de atribuição: a rotação frequente de domínios dificulta a ligação da atividade a um ator persistente.

Estes domínios têm muitas vezes uma vida útil muito limitada — são registados, utilizados durante horas ou dias e depois retirados — para serem substituídos por novos que seguem o mesmo padrão.

Este ciclo de vida dificulta a deteção. As defesas que dependem fortemente da reputação histórica ou da denúncia manual ficam muitas vezes atrasadas em relação à atividade dos atacantes, deixando passar campanhas enquanto estas ainda estão ativas.

URLs semelhantes e impersonação de marcas

O vetor mais comum de phishing é a URL e, neste domínio, os atacantes são especialistas em engano.

Em vez de escolherem nomes de domínio aleatórios, os atacantes criam deliberadamente URLs semelhantes que imitam de perto marcas legítimas. As técnicas comuns incluem:

• Typosquatting: domínios como micros0ft-secure.com, que exploram pequenas diferenças visuais.
• Ataques homográficos: utilização de caracteres Unicode que se assemelham a letras padrão (por exemplo, substituir o "o" pela letra grega ο).
• Abuso de subdomínios: colocação da infraestrutura maliciosa em subdomínios, como login.paypal.com.verify-secure.net

A figura abaixo apresenta uma comparação lado a lado entre domínios legítimos e domínios de phishing, mostrando como os atacantes exploram pequenas diferenças visuais para enganar os utilizadores.

Para um utilizador sem formação, estes domínios podem parecer legítimos à primeira vista, especialmente em dispositivos móveis ou em pré-visualizações de email onde o endereço completo é truncado.

O objetivo não é a complexidade técnica, mas sim a plausibilidade psicológica e a sensação de segurança.

Abuso de subdomínios nas campanhas de phishing

Os subdomínios ampliam ainda mais a ilusão de legitimidade. Em vez de registarem um domínio obviamente suspeito, os atacantes alojam páginas de phishing em subdomínios como:

A eficácia do abuso de subdomínios torna-se mais clara ao examinar a estrutura de um domínio de phishing. A Figura 3 ilustra como os atacantes utilizam subdomínios enganadores para impersonar marcas de confiança, enquanto o domínio real permanece sob o controlo do atacante.

Esta abordagem funciona porque:

• O domínio de segundo nível (verification-check.net) não é familiar para a maioria dos utilizadores.
• O subdomínio (signin.bankname) imita a marca de confiança.
• Muitos utilizadores, e até algumas ferramentas de segurança, associam erradamente o texto do subdomínio à legitimidade.

No phishing, a confiança é uma perceção, e o uso indevido de subdomínios é uma das formas mais eficazes de a fabricar.

Infraestrutura reutilizada pelos atacantes

As campanhas de phishing mais avançadas não se limitam a reutilizar domínios: reutilizam frequentemente ambientes de alojamento, certificados TLS, infraestrutura de email e kits de phishing em múltiplas operações.

Os padrões de reutilização comuns incluem:

• IPs de alojamento partilhado que servem centenas de websites maliciosos.
• Certificados TLS wildcard que permitem HTTPS em muitos domínios de phishing.
• Kits de phishing, que combinam lógica de página pronta a usar e modelos de email, transacionados em mercados subterrâneos.
• Infraestrutura de redirecionamento e de payload concebida para evadir a análise e a deteção.

Esta reutilização de infraestrutura cria padrões que podem ser identificados e explorados pelos defensores, mas apenas se o foco estiver nos sinais certos.

Porque o ThreatChase se concentra em domínios e URLs

No ThreatChase, tratamos os domínios e as URLs não apenas como vetores de ataque, mas como sinais fundamentais da infraestrutura de phishing. Estes elementos situam-se na interseção entre a intenção do atacante, a execução técnica e a interação do utilizador, o que os torna especialmente valiosos na abordagem de deteção baseada em domínios e URLs desenvolvida pelo ThreatChase.

Ao analisar como os domínios são registados, como as URLs são construídas e como ambos são reutilizados entre campanhas, o ThreatChase capta sinais que surgem antes de as campanhas serem amplamente denunciadas ou bloqueadas. Este foco traduz-se naturalmente em quatro perspetivas de deteção complementares.

1. Os domínios refletem a intenção

Os registos suspeitos de domínios aparecem frequentemente antes de os emails de phishing serem enviados ou de as campanhas entrarem em funcionamento. Identificar estes domínios cedo proporciona aos defensores uma vantagem valiosa e informação sobre as atividades de preparação dos atacantes.

2. As URLs são onde as pessoas interagem

Os utilizadores não clicam em endereços IP, clicam em URLs. O sucesso do phishing depende da plausibilidade da URL, o que torna a estrutura da URL, a colocação de tokens e as pistas de impersonação de marcas sinais de deteção críticos.

3. Os padrões de infraestrutura revelam campanhas

Os domínios de phishing raramente existem isoladamente. Estão tipicamente integrados numa infraestrutura de ataque mais ampla, onde os domínios partilham ambientes de alojamento, momentos de registo ou convenções de nomenclatura. Ao analisar estas relações, o ThreatChase identifica clusters de campanhas coordenadas, e não apenas URLs maliciosos isolados.

4. As listas de bloqueio e os modelos tradicionais ficam atrasados

As listas de bloqueio e os modelos baseados em reputação têm dificuldade em lidar com infraestrutura de vida curta e em rápida rotação. A abordagem orientada por sinais do ThreatChase ajuda a colmatar esta lacuna, detetando atividade de phishing quase em tempo real, em vez de reagir depois de o dano ter ocorrido.

Como o ThreatChase utiliza sinais de domínios e URLs para detetar phishing

O ThreatChase aborda a deteção de phishing analisando domínios e URLs como sinais de infraestrutura, em vez de os tratar como indicadores isolados. Em vez de perguntar apenas se uma URL já é conhecida como maliciosa, o ThreatChase avalia como e porque é que essa URL existe, e como se relaciona com outros elementos da infraestrutura do atacante.

As campanhas de phishing deixam vestígios estruturais muito antes de serem denunciadas ou bloqueadas. Estes vestígios surgem ao nível do registo de domínios, da construção de URLs, da configuração de alojamento e da reutilização de infraestrutura, muitas vezes bem antes de os emails de phishing serem entregues à escala.

Para captar estes sinais precoces, o ThreatChase recolhe e analisa continuamente domínios e URLs de múltiplas fontes e enriquece-os com informação contextual. Como ilustra a Figura 4, este processo combina recolha de dados, enriquecimento e análise numa pipeline de deteção unificada.

O ThreatChase avalia várias classes de sinais, incluindo:

• Características do ciclo de vida dos domínios, como a idade do registo, a taxa de rotação e a reutilização entre campanhas.
• Propriedades lexicais e estruturais das URLs, incluindo padrões de impersonação de marcas, colocação de tokens e uso enganador de subdomínios.
• Relações de infraestrutura, como ambientes de alojamento partilhados, reutilização de certificados TLS e momentos de registo correlacionados.

Em vez de pontuar estes sinais de forma independente, o ThreatChase correlaciona-os para descobrir padrões de coordenação. Os domínios que aparecem juntos no tempo, na infraestrutura ou na estrutura de nomenclatura são avaliados como parte de uma campanha mais ampla, e não como ameaças individuais e desconexas.

Esta abordagem orientada por correlação permite ao ThreatChase revelar informação ao nível da campanha, sinalizando domínios recentemente observados com base na sua semelhança com infraestrutura maliciosa conhecida — mesmo antes de serem utilizados em ataques de phishing ativos. Ao focar-se nos sinais de infraestrutura e nas suas relações, o ThreatChase permite uma deteção mais precoce e uma resposta mais eficaz a campanhas de phishing em rápida evolução.

Conclusão

O phishing não é aleatório, é engenhado. Para o contrariar eficazmente, os defensores têm de ir além do bloqueio reativo e adotar uma deteção proativa baseada em sinais.

Ao compreender como são construídas as campanhas de phishing, desde domínios descartáveis a URLs enganadoras e infraestrutura reutilizada, as organizações podem detetar ameaças mais cedo e reduzir a exposição dos utilizadores.

No ThreatChase, os domínios e as URLs não são o fim da deteção, são o início.

Explore mais análises no blog do projeto ThreatChase e fique atento!