Investigação identificou mais de 10 mil domínios conectados a uma infraestrutura que disfarça as páginas maliciosas em diretórios ocultos por todo o mundo
Uma infraestrutura global de phishing em grande escala utiliza as páginas de erro “404 – Not Found” ou telas em branco em domínios principais para camuflar campanhas ativas de roubo de dados. É o que afirma a Check Point Software, que mapeou a tática usada por criminosos para burlar ferramentas tradicionais de análise e inspeção de segurança.
Durante a análise, os pesquisadores da empresa identificaram que criminosos estão utilizando páginas genéricas de modo a burlar ferramentas tradicionais de inspeção e análise de segurança. O conteúdo malicioso só é exibido quando a vítima acessa caminhos regionais específicos ou atende a requisitos operacionais predefinidos enviados por canais privados como SMS, e-mail e WhatsApp.
A partir de um pequeno grupo de URLs maliciosas, a Check Point mapeou uma assinatura técnica (fingerprint) única — combinando configurações dos servidores HTTP GoFrame e Caddy —, o que permitiu conectar a ameaça a mais de 322 endereços IP e a um universo de 10.187 domínios associados em um único período de coleta em setembro. Cerca de 90% desses domínios foram classificados no nível mais alto de severidade maliciosa.
Ataques personalizados e modulares na América Latina
A investigação revelou que a infraestrutura opera no modelo de plataforma compartilhada (Phishing-as-a-Service), permitindo que diferentes cibercriminosos alterem rapidamente marcas, moedas e idiomas, mantendo a mesma arquitetura de fundo. A ferramenta suporta mais de 12 idiomas, incluindo português e espanhol.
Na América Latina, as campanhas identificadas personificam principalmente instituições financeiras, agências governamentais, serviços postais e programas de benefícios sociais. Em outras regiões do mundo, como Sudeste Asiático e Europa, os alvos incluem redes bancárias, serviços de transporte público, arrecadação de impostos e programas de fidelidade.
“Muitas soluções de segurança inspecionam apenas a URL principal de um domínio e, ao receberem uma resposta de erro 404, classificam o site como inofensivo. Os atacantes estão se aproveitando dessa brecha para esconder fluxos completos de roubo de credenciais em diretórios ocultos, como /pa ou /it, e usando validação por tokens de sessão para impedir que analistas de segurança vejam a fraude”, explica a Check Point.
Alta volatilidade exige monitoramento comportamental
Os dados da Check Point Software mostram que a infraestrutura é extremamente volátil: em uma amostragem posterior, o volume de domínios ativos associados à mesma assinatura caiu para 5.785, demonstrando uma rotação constante de domínios para evitar bloqueios em listas negras (blacklists).
Diante dessa tática de camuflagem, a empresa recomenda que as equipes de segurança da informação adotem abordagens de monitoramento baseadas em comportamento e assinaturas de infraestrutura, e não apenas na reputação estática de domínios. A combinação de análise de comportamento de servidores, parâmetros de localização e identificação de rotas aleatórias de API permite neutralizar a ameaça mesmo quando os domínios são alterados.
