O laboratório de análise de malware ANY.RUN revelou nesta semana a operação de um novo phishkit chamado Wazza, direcionado a organizações bancárias, governamentais e industriais nos Estados Unidos, na União Europeia e na Austrália. A ferramenta foi observada em campanhas que utilizam páginas de login falsas aprimoradas com recursos de filtragem, gerenciamento de sessões e controle de tráfego, o que eleva o nível de sofisticação em relação a kits de phishing tradicionais.
Contexto
Historicamente, kits de phishing limitavam‑se a reproduzir visualmente páginas de login conhecidas e aguardar a inserção de credenciais pelos usuários. Nos últimos anos, porém, criminosos têm investido em infraestrutura que permite capturar informações de forma mais dinâmica, contornar mecanismos de detecção e manter a sessão ativa por períodos prolongados. Nesse cenário, o surgimento do Wazza representa uma continuação dessa tendência, combinando técnicas de proxy reverso e filtragem de tráfego para direcionar o usuário a um ambiente controlado antes de encaminhar os dados ao servidor de comando.
Impacto
As organizações afetadas incluem bancos de grande porte, agências governamentais responsáveis por serviços públicos e empresas do setor de energia e manufatura. Até o momento, não foram divulgados números precisos de vítimas, mas a amplitude geográfica indica que o kit pode comprometer milhares de contas em diferentes jurisdições. Para as instituições, o risco vai além do roubo de credenciais; a capacidade de gerenciar sessões permite que os invasores mantenham acesso persistente, facilitando fraudes financeiras, espionagem industrial e vazamento de informações sensíveis. Analistas alertam que a falta de autenticação multifator em alguns sistemas pode ampliar ainda mais o potencial de dano.
Detalhes técnicos
Do ponto de vista técnico, o Wazza funciona como um intermediário entre o usuário e o site legítimo. Primeiro, o atacante hospeda uma cópia da página de login em um servidor controlado, inserindo scripts que monitoram a entrada de dados. Em seguida, o kit estabelece um canal de comunicação que filtra requisições, permitindo que apenas informações relevantes sejam encaminhadas ao servidor de comando. O gerenciamento de sessões ocorre por meio de cookies temporários gerados pelo próprio proxy, o que impede que mecanismos de bloqueio baseados em IP ou geolocalização interrompam a captura. Além disso, o controle de tráfego inclui redirecionamentos condicionais que podem adaptar a página de phishing conforme o perfil do alvo, dificultando a detecção por soluções de segurança que dependem de assinaturas estáticas.
Encerramento
Especialistas recomendam que as organizações revisem imediatamente suas políticas de autenticação, adotando autenticação multifator e monitoramento de comportamento de login. A atualização de filtros de e‑mail, a implementação de soluções de detecção de phishing baseadas em inteligência de ameaças e a realização de treinamentos regulares para usuários são medidas complementares que podem reduzir a eficácia de kits como o Wazza. Até o momento, ANY.RUN continua analisando amostras adicionais para mapear a infraestrutura de comando e controle associada ao kit. A divulgação da descoberta serve como alerta para que setores críticos reforcem suas defesas contra ataques de engenharia social cada vez mais sofisticados.