Kit de phishing chinês 'Outsider' resiste a ações policiais com 267 templates e 100 mil páginas fraudulentas em 6 meses
O ator conhecido como ChenLun opera desde o Telegram o 'Outsider Phishing Kit', um phishing-as-a-service com mais de 267 templates prontos mirando bancos, PayPal, operadoras de telefonia, governos e e-commerces em 54 países. Mesmo após uma ação da Google e a 'Operation Ghost Hook' em junho de 2026, a operação registrou mais de 700 novos domínios em um único mês, sustentada por um modelo descentralizado de afiliados. O kit rouba cartões, credenciais e contorna MFA em tempo real via WebSocket, com distribuição majoritariamente por SMS (smishing).
O relatório do Group-IB detalha a estrutura comercial do Outsider Phishing Kit: um canal de atualizações no Telegram, um grupo fechado com mais de 230 afiliados pagantes e um bot de vendas automatizado, tudo operado pelo autor 'ChenLun' (局外人). Entre dezembro de 2025 e maio de 2026 a infraestrutura gerou mais de 100 mil páginas de phishing, e mesmo depois de ações coordenadas de larga escala — um processo movido pela Google e a operação policial batizada de 'Ghost Hook', ambas em 13 de junho de 2026 — os afiliados já haviam recriado mais de 700 domínios novos em apenas um mês, evidenciando a resiliência do modelo descentralizado frente a takedowns pontuais.
O que torna o kit particularmente perigoso é a engenharia por trás dos templates: um sistema de nomenclatura por prefixos organiza o funil de ataque (páginas iniciais de engodo, formulários de pagamento, desafios de autenticação por SMS/e-mail/PIN, e clones de portais bancários e do PayPal). O script 'main.js' realiza keylogging contínuo de números de cartão, CVV e credenciais, criptografa o tráfego roubado com AES-256-CTR e mantém uma conexão WebSocket persistente que permite ao operador manipular o desafio de MFA em tempo real — inclusive redirecionando a vítima de volta ao formulário para capturar múltiplos cartões na mesma sessão. Um script de validação bloqueia ainda tentativas de inserir números de documento de identidade nacional de mais de 12 países, um filtro provavelmente usado para evitar honeypots de pesquisadores.
A distribuição ocorre majoritariamente via SMS (smishing), com mensagens de urgência simulando multas, taxas alfandegárias ou cobranças de operadoras, direcionando a vítima a páginas hospedadas atrás de Cloudflare para dificultar o bloqueio. Para o usuário final, os sinais de alerta continuam sendo os clássicos do smishing — cobranças com prazo apertado, links encurtados ou domínios levemente alterados do site oficial — mas o diferencial deste caso é operacional: como a barreira técnica para novos afiliados é baixa e a infraestrutura se regenera rapidamente, medidas de bloqueio de domínio isoladas têm efeito limitado. Bancos e instituições financeiras que aparecem como marca-isca deveriam monitorar continuamente o surgimento de domínios-clone (não apenas reagir a denúncias) e reforçar autenticação que não dependa só de código enviado por SMS, já que o kit já foi desenhado especificamente para interceptar esse fluxo em tempo real.