Balonx Sistema: PhaaS mexicano combina phishing bancário, vishing com IA e RAT móvel contra mais de 20 bancos
A Group-IB expôs o "Balonx Sistema", uma plataforma de Phishing-as-a-Service vendida por assinatura semanal (a partir de 3.000 MXN) que mira mais de 20 instituições financeiras mexicanas, incluindo o Banamex. A operação combina páginas de phishing com WebSocket em tempo real para burlar MFA, um módulo de vishing automatizado por IA generativa (GPT-4o-mini, ElevenLabs, Whisper) e um RAT Android disfarçado de app de "proteção bancária".
O Balonx Sistema é essencialmente um negócio de crime como serviço: por 3.000 MXN por semana (plano individual, até 2 dispositivos) ou 6.000 MXN (plano "office", até 8 subcontas), pagos automaticamente via integração com a exchange Bitso, qualquer criminoso pode alugar infraestrutura completa de phishing contra bancos mexicanos. A Group-IB estima que apenas 12 usuários ativos já geraram cerca de US$ 99 mil em receita para o operador da plataforma — um indicativo de como esse modelo reduz a barreira técnica para fraude bancária em escala.
A técnica central é o uso de WebSocket persistente para manter uma conexão bidirecional ao vivo entre a página de phishing na tela da vítima e o painel do operador criminoso, com 14 tipos de tela diferentes (login, código, NIP, cartão etc.) que se adaptam em tempo real ao que o operador precisa capturar. Isso permite contornar autenticação multifator por relay: o painel repassa as credenciais roubadas para o site real do banco, recebe o código único (OTP) enviado pelo banco à vítima, e imediatamente solicita esse mesmo código à vítima através de uma tela falsa — um golpe de "man-in-the-middle" operado manualmente e em tempo real. Paralelamente, o módulo CallFlow automatiza ligações de vishing usando um LLM (GPT-4o-mini) para conduzir o diálogo, síntese de voz da ElevenLabs para soar natural e Whisper para transcrever as respostas da vítima, tudo rodando sobre uma central telefônica FreePBX com até 30 canais SIP simultâneos — ou seja, um único operador pode conduzir centenas de ligações fraudulentas por dia sem intervenção humana direta em cada chamada. Como reforço adicional, um RAT para Android baseado em Spyroid é distribuído sob o pretexto de um app de "proteção bancária", com keylogging, captura de tela e controle remoto total do aparelho.
Para instituições financeiras, os indicadores mais acionáveis são padrões anormais de conexões WebSocket durante sessões de app bancário e sequências de envio/confirmação de OTP anormalmente rápidas, típicas de relay automatizado em vez de digitação humana — além de bloquear ativamente o pacote Android "sacred.explosion" e a infraestrutura de C2 identificada. Para o usuário, a recomendação de sempre validar chamadas bancárias discando o número oficial no verso do cartão (nunca retornando ou aceitando instruções de quem ligou) e nunca instalar aplicativos sugeridos por telefone ou por um site continua sendo a defesa mais simples e eficaz contra esse tipo de fraude, e a adoção de FIDO2/autenticação por hardware reduz drasticamente o risco de interceptação de OTP.