Kit de phishing JWR revela operação industrial do Smishing Triad com controle remoto em tempo real
A Group-IB desmontou o JWR, kit de phishing usado pelo cluster "Outsider" do Smishing Triad, e encontrou uma central de controle que permite a um operador humano acompanhar a digitação da vítima e redirecioná-la em tempo real entre 32 páginas fraudulentas diferentes. O kit captura, em estágios sucessivos, identidade, dados de cartão, senha bancária, código OTP e até uma segunda conta bancária ou carteira digital, tudo enviado por WebSocket sob uma criptografia AES que expõe a própria chave junto com os dados. A infraestrutura já rotacionou mais de 194 mil domínios em 192 países desde 2024, evidenciando phishing como serviço em escala industrial.
A empresa de inteligência de ameaças Group-IB publicou uma análise técnica detalhada do JWR, o kit de phishing por trás de campanhas de smishing (phishing via SMS) atribuídas ao subgrupo "Outsider" dentro do guarda-chuva Smishing Triad. Diferente de páginas falsas estáticas, o JWR funciona como uma aplicação completa, construída em Vue 2, com um painel de controle que dá ao operador visão e comando quase em tempo real sobre cada vítima em andamento.
Tecnicamente, a vítima que clica no link do SMS é conduzida por um funil de coleta em múltiplos estágios — login inicial, dados pessoais, dados do cartão, código enviado por SMS, PIN e, em alguns casos, credenciais de um segundo banco ou carteira digital. Cada campo digitado é transmitido ao servidor de comando e controle via WebSocket, com fallback por HTTP long-polling a cada 2 segundos, permitindo que um operador humano observe a digitação em tempo real e dispare, entre 32 comandos pré-configurados, ações como trocar a página exibida, simular um QR code, forçar uma tela de "cartão recusado" ou bloquear o campo de OTP até a vítima repetir o código. Quando ativado o modo "unattended", o próprio kit decide automaticamente se avança o fluxo, validando o número do cartão contra listas de BINs e o algoritmo de Luhn, dispensando o operador humano nos casos mais simples. A criptografia usada para essa comunicação é AES-256-CTR, mas os pesquisadores notaram uma falha estrutural: a chave de 32 bytes é enviada em texto claro, concatenada ao início de cada mensagem cifrada, o que anula a proteção contra qualquer analista disposto a inspecionar o tráfego.
A operação é industrial em escala: a Group-IB contabilizou mais de 194 mil domínios usados desde 2024, distribuídos por 192 países, com rotação de domínio em menos de dois dias para escapar de bloqueios e listas negras — uma estratégia de volume que compensa a falta de proteções mais sofisticadas contra automação ou análise, como detecção de máquina virtual ou empacotamento do código.
Para defensores, o relatório traz indicadores de comprometimento reaproveitáveis: chaves específicas gravadas no localStorage do navegador, um padrão fixo de identificador de vítima, um erro de digitação recorrente no kit e, principalmente, um caminho de WebSocket com sufixo fixo que serve como assinatura de rede para regras de detecção, incluindo uma regra Suricata publicada pelos pesquisadores. Para o usuário final, a defesa prática continua sendo a mesma contra qualquer smishing: nunca seguir links recebidos por SMS que peçam login bancário, e nunca informar um código OTP recebido por SMS numa página aberta a partir desse link — o banco nunca precisa que o cliente "confirme" o código dessa forma. Bancos e operadoras de telefonia, por sua vez, deveriam tratar picos de tráfego para domínios recém-registrados como sinal de alerta e acelerar o compartilhamento de indicadores como os publicados neste relatório.