O Bluekit não é um nome novo. A Varonis Threat Labs documentou pela primeira vez esse kit de phishing como serviço em abril de 2026, catalogando um assistente de IA construído sobre modelos de linguagem com as restrições removidas, mais de 40 modelos que suplantam marcas de Apple ID e Gmail a GitHub e Ledger, registro automatizado de domínios, e complementos de clonagem de voz vendidos em pacote. O que é novo é como ele rouba um login. A análise mais recente da Netcraft, publicada neste mês, descobriu que o Bluekit adicionou uma técnica de Browser-in-the-Middle, e identificou cerca de 70 sites de phishing ativos usando-a em uma única semana. Isso não é uma prova de conceito circulando em um fórum. É um kit comercial já implantado em escala.
Do Proxy Reverso à Transmissão de um Navegador ao Vivo
Kits mais antigos de adversário no meio, como o Evilginx, funcionam fazendo proxy do tráfego. O navegador da vítima conversa com o servidor de phishing, o servidor de phishing repassa as solicitações para o site real, e o kit captura tudo o que passa em ambas as direções, incluindo o cookie de sessão que sobrevive depois que o MFA é satisfeito. Essa arquitetura deixa rastros que as equipes de defesa aprenderam a procurar: certificados TLS que não coincidem, cabeçalhos típicos de proxy, roteamento incomum.
A abordagem de Browser-in-the-Middle do Bluekit pula o proxy por completo. Usando o rrweb, uma biblioteca de código aberto criada para gravar e reproduzir interações do DOM, o kit carrega a página real de login dentro de um navegador controlado pelo atacante e transmite em tempo real o que esse navegador renderiza para a vítima, retransmitindo depois os cliques e as teclas digitadas pela vítima de volta para essa página. A vítima não está olhando para uma cópia da página de login. Ela está operando remotamente a página real, rodando na máquina do atacante. Não há tráfego de proxy para identificar porque, no sentido tradicional, não há proxy nenhum.
Por Que Isso Vence o MFA em Que Você Confia
Como a sessão vive no navegador do atacante desde o início, qualquer desafio de MFA que a vítima complete, incluindo um código de uso único ou uma aprovação por push, autentica diretamente esse navegador. O atacante não precisa interceptar e reproduzir um token de sessão depois do fato. Ele já tem a sessão autenticada, ao vivo, no momento em que a vítima termina de fazer login. As reportagens sobre o kit associam isso especificamente ao roubo de contas Microsoft, e as camadas de evasão sobrepostas tornam mais difícil detectá-lo antes desse ponto: ofuscação dinâmica de JavaScript, um CAPTCHA personalizado que suplanta a marca alvo ou um fornecedor legítimo de anti-bot, verificações WebRTC que sinalizam endereços IP incompatíveis, impressão digital de navegadores headless, e HTML que é randomizado a cada carregamento de página. A única fraqueza que os pesquisadores da Netcraft apontam é sutil: transmitir um DOM ao vivo via rrweb adiciona latência que uma página de login real não tem, então a página pode parecer levemente mais lenta ao digitar ou clicar. Isso é um sinal de detecção para uma equipe de segurança. Não é algo que um funcionário apressado provavelmente perceba.
Por Que o DMARC Nunca Tem Voz Nisso
O DMARC autentica o e-mail de saída de um domínio. Ele não autentica uma sessão, um navegador, nem uma página que a vítima acessa ao clicar em um link, e toda a proposta de valor do Bluekit vive inteiramente depois desse clique. A mensagem que entrega o link pode vir de um domínio parecido recém-registrado que o atacante possui e autentica sem problemas, de uma conta comprometida em um domínio com um registro DMARC perfeito, ou de um canal que o DMARC nunca toca, como SMS ou um aplicativo de chat. Não importa como esse link chegue, o trabalho do DMARC termina no momento em que o e-mail é entregue. A técnica de Browser-in-the-Middle do Bluekit opera inteiramente na camada abaixo dele, na sessão, e o MFA, o controle no qual a maioria das organizações se apoia como reforço depois que uma mensagem passa, é exatamente o que ele foi construído para vencer.
O Que as Equipes de Segurança Devem Fazer Agora
Avançar rumo a um MFA resistente a phishing em qualquer plataforma que o suporte. Chaves de segurança FIDO2 e passkeys vinculam a cerimônia de autenticação à origem do site legítimo, algo que uma página falsa transmitida ou em proxy não consegue satisfazer por mais convincente que pareça.
Monitorar comportamento anômalo de sessão, não apenas logins malsucedidos. Um token de sessão usado a partir de um dispositivo ou local inesperado logo após uma autenticação limpa é um sinal mais forte do que um login falho, e é exatamente o padrão que um ataque de Browser-in-the-Middle deixa para trás.
Manter o DMARC em p=reject em todos os domínios que você possui, incluindo os que nunca enviam e-mail em massa. Isso não vai parar o Bluekit, mas fecha os ataques mais baratos e comuns que ainda se apoiam na reputação do seu próprio domínio, liberando sua equipe para focar nas ameaças mais difíceis de nível de sessão.
Treinar os usuários para notar fricção, não apenas erros de ortografia. Uma página de login que parece um pouco mais lenta ou menos responsiva do que o normal é um sinal de alerta mais útil contra essa técnica específica do que qualquer logotipo ou erro gramatical.
A Conclusão
A atualização de Browser-in-the-Middle do Bluekit é um lembrete de que defesas de phishing construídas em torno da aparência de uma mensagem, ou mesmo em torno da reprodução clássica de tokens de sessão, estão perseguindo um alvo que continua se movendo uma camada mais fundo. O DMARC ainda importa. Ele simplesmente nunca foi posicionado para responder à pergunta que o Bluekit está fazendo agora.
A Excello Mail mantém os domínios que você possui totalmente autenticados e aplicados, fechando os caminhos de phishing mais baratos para que a atenção da sua equipe de segurança vá para onde realmente é necessária, para ameaças de nível de sessão como o Bluekit que nenhum registro de autenticação consegue tocar. Cadastre-se gratuitamente na Excello Mail para ver hoje mesmo a postura real de autenticação do seu domínio.