Um analista do SANS Internet Storm Center abriu em laboratório o link de uma mensagem de phishing que havia chegado à caixa dos plantonistas. Em vez da tela falsa de login, veio um travamento: o navegador ficou parado por cerca de trinta segundos e um núcleo do processador foi ao limite de uso. Como o código da página chegou rápido do servidor, a demora não vinha da internet nem da hospedagem do golpe. Vinha da própria página.
O que veio depois interessa menos ao programador e mais a quem decide em uma empresa. Aquele endereço não entregava sempre a mesma página: a cada visita, o servidor montava uma versão nova do golpe, com outro código, outros nomes internos e até outro título de aba. É o que se chama de phishing polimórfico, e ele ataca justamente o ponto em que muita empresa deposita confiança, que é reconhecer a ameaça pela aparência do arquivo.
O que os pesquisadores encontraram
A primeira versão da página estava quebrada. Quase todo o conteúdo era JavaScript embaralhado de propósito, técnica usada para dificultar a leitura de quem analisa. No meio desse emaranhado, duas funções usavam o mesmo contador de repetição sem que ele fosse declarado dentro de cada uma. Uma reescrevia o valor que a outra estava usando, e a contagem nunca terminava. O computador rodava em falso e a tela do golpe jamais aparecia. Corrigido esse detalhe, o disfarce caiu e surgiu uma página comum de roubo de senha, dessas que imitam a entrada de um serviço conhecido.
O analista voltou ao mesmo endereço pouco depois e a página abriu sem travar. Abriu de novo nas tentativas seguintes. O código-fonte, porém, nunca se repetia: mudavam os nomes de funções e variáveis, a ordem em que apareciam, o jeito de escrever os números e o bloco cifrado que guardava o formulário. Até o título da aba variava, com palavras como Solution, Viewer, Credentials, Private e Authenticate.
Para confirmar a suspeita, ele baixou a mesma URL cinquenta vezes. As cinquenta amostras tinham impressão digital criptográfica diferente umas das outras, apareceram vinte e uma variações de título de aba, quarenta e nove abriram normalmente e apenas uma ficou presa no mesmo laço sem fim. Somando as tentativas manuais do começo, foram cerca de cinquenta e seis cópias coletadas, duas delas defeituosas. O formulário final também mudava a cada rodada: nomes de campos, classes de estilo, identificadores de elementos e até caracteres invisíveis espalhados no meio de textos visíveis. Para a vítima, no entanto, a tela era sempre a mesma.
Por que a defesa por assinatura perde força
Boa parte das proteções mais simples funciona por comparação. O sistema guarda a impressão digital de um arquivo malicioso, guarda pedaços de texto que aparecem naquela página falsa e passa a barrar tudo que for idêntico. É um método barato e útil quando o criminoso repete a mesma cópia para milhares de vítimas. Deixa de ser suficiente quando cada visita recebe uma cópia inédita, porque não existe arquivo repetido para comparar.
Vale a ressalva feita pelos próprios pesquisadores: trocar de roupa não é passe livre. O comportamento da página continua o mesmo, ela pede senha onde não deveria, envia dados para um destino estranho e mantém características de estrutura que sobrevivem a qualquer maquiagem. O que o disfarce faz é encarecer a detecção de quem depende demais do formato do arquivo. Quem observa comportamento, reputação de domínio e destino do tráfego continua com trabalho a fazer, mas continua com chance.
A técnica também não nasceu ontem. A ideia é discutida há mais de uma década em trabalhos acadêmicos, e kits de golpe que sorteiam detalhes do código a cada visita circulam há anos. A novidade, para o dono de empresa, é o quanto isso já virou rotina do outro lado.
O que a sua empresa faz a respeito
Se a página do golpe muda de cara a cada clique, a proteção precisa olhar para outras coisas: para onde o funcionário está navegando, quem está tentando entrar na conta e o que acontece depois que alguém erra. Na prática, cinco frentes dão conta da maior parte do estrago:
- Filtro de navegação e de DNS. O firewall com controle de saída bloqueia domínios recém-criados e categorias de risco antes de a página abrir, sem depender de reconhecer o código dela.
- Segundo fator em tudo que for e-mail e sistema. Se a senha vazar no formulário falso, o segundo fator ainda separa o criminoso da caixa de entrada.
- Olho no que acontece depois. O monitoramento contínuo da rede percebe o acesso fora de hora, a regra de encaminhamento criada na caixa da vítima e o tráfego para um destino que ninguém usa.
- Cópia que volta. Roubo de senha costuma ser o primeiro passo; quando vira sequestro de arquivo, o que salva o expediente é backup com restauração testada, não a promessa de que existe backup.
- Regra clara para a equipe. Ninguém confirma pagamento nem troca senha por link recebido; confirma pelo canal de sempre, com a pessoa de sempre. E avisa a TI mesmo quando desconfia que já clicou.
Repare que nenhuma dessas frentes depende de identificar a página falsa pelo desenho ou pelo arquivo. Todas partem do princípio de que uma hora alguém vai clicar, e tratam do que vem depois do clique.
Quando o golpe trava sozinho
O detalhe mais curioso do caso serve de alerta ao contrário. Duas das cópias analisadas simplesmente não funcionavam, travadas pelo mesmo erro de contador. Uma pessoa comum, ao clicar naquele link, veria o navegador engasgar e provavelmente fecharia a aba achando que o site estava fora do ar. Nada indicaria que aquilo era um golpe, e ninguém avisaria a TI.
Por isso vale combinar com a equipe que página estranha também se reporta: a que trava, a que pede senha sem motivo, a que abre sozinha depois de um anexo. Esses relatos são o que transforma um clique isolado em informação útil para quem cuida da rede.
Sobre quem monta essas variações, os pesquisadores foram honestos: é tentador imaginar inteligência artificial escrevendo o código na hora, e existe até uma prova de conceito nesse sentido, mas nada nas amostras confirma isso. A explicação mais provável é um embaralhador automático comum, do tipo que troca nomes e reordena trechos sem cuidado nenhum com o resto. Foi justamente esse descuido que quebrou duas páginas.
Fonte: SANS Internet Storm Center — A polymorphic phishing page (that occasionally breaks itself), acesso em 28 de agosto de 2026.
A Ragnatela IoT Solutions cuida dessa parte para empresas que não têm TI própria: firewall com filtro de navegação, verificação em duas etapas, monitoramento da rede e backup com restauração testada, tudo acompanhado de perto. Se quiser revisar como a sua empresa está hoje, fale com a nossa equipe.
Perguntas frequentes
O que é phishing polimórfico?
É a página falsa que muda o próprio código a cada visita. O golpe continua o mesmo para quem olha a tela, mas o arquivo entregue ao navegador nunca se repete, o que atrapalha proteções que trabalham comparando arquivos já conhecidos.
O antivírus deixa de servir por causa disso?
Não. Ele continua útil contra ameaças conhecidas e contra o que tenta rodar na máquina. O ponto é não depender só dele: filtro de navegação, segundo fator, monitoramento e backup testado cobrem o que a comparação de arquivos não alcança.
Como saber se alguém da equipe caiu em uma página falsa?
Sinais comuns são acesso à conta fora do horário, regra nova de encaminhamento no e-mail, cliente reclamando de mensagem estranha e tráfego para destinos incomuns. Monitoramento contínuo e um canal simples de aviso interno ajudam a perceber cedo.
Uma página que trava o navegador é sinal de golpe?
Pode ser. No caso analisado, parte das cópias falsas travava por erro de programação dos próprios criminosos. Vale orientar a equipe a relatar páginas que engasgam depois de um link recebido, em vez de apenas fechar a aba e seguir o dia.
