Kit de phishing 'Bulletproof' usa redirecionadores em sites legítimos hackeados para driblar filtros de e-mail

O que torna esse kit particularmente perigoso não é a página de phishing final, mas a arquitetura de evasão construída em torno dela. Em vez de colocar a URL maliciosa diretamente no corpo do e-mail — o que é hoje detectado com facilidade por filtros de reputação e sandboxes de URL —, o kit usa um script PHP hospedado dentro de sites legítimos previamente comprometidos como camada de redirecionamento. O link que chega à caixa de entrada da vítima aponta para um domínio real, com reputação estabelecida, tornando a checagem automática de reputação de URL essencialmente inútil.

O segundo nível de evasão é ainda mais sofisticado: o destino final malicioso não fica visível como texto no HTML da página de redirecionamento, mas embutido dentro de tags de JavaScript, de forma que scanners que só analisam o conteúdo HTTP estático enxergam apenas uma tela de carregamento falsa do OneDrive, exibida por cerca de 3,3 segundos antes do redirecionamento automático. Some-se a isso o cookie de sessão 'bp_redir_sess', que funciona como uma espécie de controle de acesso: ele identifica o visitante combinando hash de IP e user-agent em um token JWT com timestamp, barrando bots e scanners de segurança que não conseguem produzir esse fingerprint de forma convincente — só navegadores reais, operados por humanos, passam.

O destino final do fluxo é o mais crítico: as vítimas não caem em uma página de phishing estática que apenas rouba senha, mas em plataformas adversary-in-the-middle (AiTM) como Sneaky2FA e Tycoon 2FA. Esses kits atuam como proxy reverso entre a vítima e o serviço legítimo (Microsoft 365, por exemplo), repassando a autenticação em tempo real e capturando o cookie de sessão já validado por MFA — ou seja, o ataque neutraliza completamente a proteção de autenticação de dois fatores, porque não precisa da senha nem do segundo fator isoladamente, apenas do token de sessão gerado depois que a vítima já se autenticou normalmente.

Para defesa, gateways de e-mail tradicionais baseados em reputação de domínio e varredura de URL estática perdem eficácia contra esse tipo de kit — é necessário sandboxing dinâmico que execute o JavaScript da página de destino antes de liberar o clique do usuário (browser isolation / time-of-click rewriting). No nível organizacional, a resposta mais robusta contra AiTM é migrar de MFA baseado em código/push para chaves de segurança FIDO2/passkeys, que são criptograficamente vinculadas ao domínio legítimo e não podem ter sua sessão repassada por um proxy man-in-the-middle.