GitBait: campanha de phishing modular mira bancos mexicanos via GitHub Pages
Uma operação de phishing modular batizada de GitBait está mirando ao menos 12 instituições financeiras que operam no México, distribuída via WhatsApp, SMS e Telegram. A infraestrutura abusa do GitHub Pages para hospedar mais de 100 domínios com scripts ofuscados, exfiltrando as credenciais roubadas através da API pública SheetBest, que grava tudo em planilhas Google controladas pelos criminosos.
A Group-IB identificou uma campanha de phishing bancário no México que foge do padrão comum de páginas hospedadas em servidores descartáveis: os atacantes usam o GitHub Pages, um serviço legítimo e gratuito de hospedagem estática, para publicar mais de 100 domínios com páginas clonadas de pelo menos 12 bancos locais e estrangeiros que atuam no país. As vítimas chegam a esses links por mensagens no WhatsApp, SMS ou Telegram, um vetor de distribuição barato e difícil de filtrar em massa.
Por dentro, a engenharia é pensada para dificultar a análise automatizada. As páginas falsas carregam a lógica de captura de credenciais em arquivos JavaScript separados, com nomes e caminhos aleatorizados e ofuscados, em vez de embutir tudo no HTML — isso atrapalha scanners que varrem o conteúdo estático das páginas. Quando a vítima digita usuário e senha, o script dispara uma requisição POST diretamente para a SheetBest API (api.sheetbest.com), um serviço que transforma planilhas do Google em endpoints de API; alguns endpoints alternativos usam bots do Telegram como destino. O resultado é uma cadeia de exfiltração inteira construída sobre serviços legítimos, o que reduz a taxa de bloqueio por reputação de domínio.
O uso de infraestrutura 'as a service' (GitHub Pages para hospedagem, SheetBest para exfiltração) é o padrão que mais cresce em phishing bancário atualmente, porque cada peça isolada parece inofensiva para filtros de segurança tradicionais. Isso reforça a necessidade de bancos e times antifraude monitorarem não apenas domínios suspeitos, mas também padrões de tráfego de rede incomuns, como chamadas para sheetbest.com originadas de páginas que imitam a marca do banco.
Para o usuário final, a defesa prática continua sendo checar sempre a URL antes de digitar credenciais e desconfiar de links recebidos por mensagem pedindo login urgente. Para as instituições, a recomendação da Group-IB é monitorar ativamente repositórios GitHub que imitam a marca, correlacionar comportamento de rede em vez de depender só de blocklists, reforçar autenticação multifator e alertas de transação em tempo real, e compartilhar indicadores de comprometimento com pares do setor e reguladores.