Framework de phishing JWR controla a vítima em tempo real

A Cisco Talos divulgou em 13 de agosto de 2026 a análise de um framework de phishing até então não documentado, batizado internamente pelo próprio desenvolvedor de JWR. O kit não se comporta como uma página falsa comum, que apenas registra o que a vítima digita e envia por e-mail: ele mantém um canal WebSocket criptografado aberto com o criminoso durante toda a visita, permitindo que a sessão da vítima seja conduzida ao vivo, passo a passo.

Na prática, isso significa que o operador enxerga cada tecla digitada antes mesmo de qualquer botão de envio ser clicado — número de cartão parcial, senha parcial, código de verificação em formação — e decide, em tempo real, para qual das 44 páginas falsas do kit a vítima será redirecionada em seguida. A pesquisa é assinada por Chetan Raghuprasad e foi publicada na categoria Threat Spotlight do blog da Talos.

A Talos avalia com confiança média que o JWR é uma variante do The Outsider, plataforma de phishing como serviço (PhaaS) operada por criminosos de língua chinesa. A avaliação se baseia em semelhanças de código e de funcionalidades entre os motores cliente das duas plataformas — é uma hipótese de atribuição técnica, não um fato confirmado, e a própria empresa a apresenta com essa ressalva.

Contexto: o ecossistema de phishing como serviço em língua chinesa

O JWR não surge no vácuo. Ele se encaixa em uma linhagem de kits comerciais de phishing associados a operadores de língua chinesa que vem sendo mapeada por pesquisadores há alguns anos, com nomes como Lucid, Darcula e Lighthouse — este último alvo de uma ação judicial movida pelo Google em novembro de 2025, quando a empresa afirmou que a plataforma havia afetado mais de um milhão de vítimas em 120 países. Segundo levantamento da Netcraft, Lighthouse e Lucid juntos foram ligados a mais de 17,5 mil domínios de phishing imitando 316 marcas de 74 países.

O “The Outsider”, apontado como parente próximo do JWR, foi alvo da operação Ghost Hook, anunciada pelo FBI em junho de 2026 em coordenação com Google e Black Lotus Labs, da Lumen. A operação resultou na apreensão de domínios, servidores administrativos e carteiras de pagamento. De acordo com o material divulgado na ocasião, a plataforma operava desde julho de 2023, era vendida por um bot de Telegram a partir de US$ 88 por semana e foi associada a 3,87 milhões de cartões roubados e a US$ 1,9 bilhão em prejuízos.

Esse detalhe importa para entender o achado da Talos: o Outsider era vendido como produto de autoatendimento. Derrubar a infraestrutura central não retira das mãos dos compradores as cópias do kit já distribuídas. O JWR é, na leitura da Talos, exatamente o tipo de derivado que se espera desse modelo de negócio.

Como o motor cliente do JWR funciona

O código do JWR verifica um único sinalizador global no navegador, window.__HOST_MODE, definido pela página falsa que a vítima acessa. A partir dele, o kit escolhe entre dois modos de execução.

• Host Mode — o controle passa para um módulo chamado Host Bridge, que roda na página principal (normalmente uma réplica de um checkout ou de uma tela de login legítima) e funciona como ponte, repassando comandos recebidos do servidor de comando e controle (C2) para um iframe filho que contém o formulário de phishing propriamente dito.
• Content Mode — o controle passa para uma aplicação Vue.js que renderiza as páginas falsas, coleta os dados e executa as instruções do operador. Esse modo tem três variações de comunicação: standalone (a aplicação mantém a própria conexão), pluginIframe (sem acesso direto à rede, repassa tudo para o quadro que a incorpora) e hostIframe (delega à página pai que já atua como ponte).

Cada vítima recebe um identificador de sessão persistente. O módulo primeiro procura por um valor JWRCID já armazenado no navegador; se ele existir, é reutilizado, o que permite ao criminoso correlacionar visitas diferentes do mesmo dispositivo. Caso contrário, gera um novo token com prefixo JWRCVV seguido de carimbo de tempo e dois segmentos aleatórios.

Para sobreviver à navegação entre as páginas do fluxo falso, o kit cria um Web Worker a partir de um script separado, isolando a conexão WebSocket do contexto JavaScript principal. Há ainda uma verificação antianálise que usa uma chamada autorreferente a .toString() contra uma expressão regular para detectar se um depurador foi acoplado à função, além de variáveis-isca espalhadas pelo código para confundir ferramentas de análise estática.

Mais de 40 comandos remotos

Antes de a aplicação Vue ser criada, o motor monta uma tabela que associa mais de 40 nomes de comandos do operador a arquivos HTML específicos. É essa tabela que transforma o kit em um painel de controle remoto do navegador da vítima. Os comandos cobrem, entre outras ações:

• Encaminhar a vítima para páginas de login, de dados pessoais, de cartão ou de QR Code.
• Solicitar códigos de uso único por SMS, e-mail, aplicativo do banco ou segundo fator.
• Percorrer logins bancários em várias etapas.
• Reproduzir fluxos com a identidade visual de PayPal, Apple e Klarna.
• Exibir mensagens falsas de recusa para forçar nova digitação ou extrair um segundo cartão.
• Injetar silenciosamente um código de verificação fornecido pelo operador ou atualizar uma imagem, como um QR Code, sem navegar.

Um mecanismo de controle mantém no armazenamento de sessão uma lista das instruções já executadas (limitada a 50 entradas e podada para as 30 mais recentes) para evitar que o mesmo comando rode duas vezes, e envia ao C2 uma confirmação a cada instrução nova aceita.

O que é roubado

O esquema de exfiltração do JWR gira em torno de um objeto de formulário único, e seu escopo vai muito além de dados de pagamento. Segundo a Talos, ele contempla nome, gênero, data de nascimento, número de Seguro Social, número de prontuário médico, endereço, e-mail e senha de e-mail, até três conjuntos de credenciais de sites, login do PayPal, dados completos do cartão (número, validade, CVV, PIN, bandeira, emissor, país emissor), imagens da frente e do verso do cartão, fotos de documentos de identidade e passaporte, e uma impressão digital do navegador com IP, dispositivo, idioma, fuso horário, user agent, cookies e geolocalização.

A comunicação principal ocorre por WebSocket binário. Como alternativa, o cliente registra cinco endpoints REST, entre eles um de sinalização de chegada da vítima com dados de fingerprinting, um de leitura de configurações controladas pelo operador (que permite mudar mensagens de erro e outros comportamentos sem redistribuir o kit), um de long polling para ambientes onde o WebSocket é bloqueado e um endpoint final que recebe todo o objeto acumulado por HTTP POST quando a sessão é encerrada.

Integração com Shopify e WooCommerce

Um detalhe que eleva a qualidade do disfarce: o kit tem integrações específicas para duas plataformas de comércio eletrônico. Em implantações voltadas ao Shopify, ele lê o parâmetro de dados do carrinho na URL — um bloco JSON assinado que a plataforma passa entre etapas do checkout — e extrai o domínio de checkout para usar como base da conexão WebSocket, fazendo a conexão parecer originar-se de um domínio legítimo. Funções dedicadas reconstroem o carrinho da vítima com nomes de produtos, quantidades, preços unitários e total do pedido corretos, o que torna o checkout falso visualmente indistinguível do verdadeiro.

As mensagens de status voltadas ao operador estão inteiramente em chinês simplificado e funcionam como um feed de painel administrativo, com frases do tipo “preenchendo conta de login do PayPal” e “entrando na página de verificação 2FA, envie a verificação, aguarde o envio do usuário”.

A campanha observada

A Talos observou o JWR sendo entregue por SMS. As mensagens usam iscas de pedágio e taxas de tráfego e de encomendas retidas por serviços postais e transportadoras. A vitimologia descrita aponta para uma operação ampla e multinacional, e não para um alvo único: parte das URLs imita uma autoridade nacional de transporte terrestre e seu portal de pagamento de pedágio, em linha com o golpe de “multa de pedágio não paga” em Singapura; outro conjunto imita um serviço postal nacional, com o tema de “encomenda retida à espera de taxa alfandegária”; há ainda um grupo menor imitando um sistema de cobrança eletrônica de pedágio nos Emirados Árabes Unidos e um conjunto que reproduz uma transportadora regional usada em vários países do Sudeste Asiático.

Não há, no material publicado pela Talos, indicação de alvos no Brasil nesta campanha específica. Vale registrar, porém, que o padrão de isca é o mesmo que circula no país há anos — mensagens sobre encomendas paradas nos Correios e cobranças de pedágio eletrônico —, o que torna a análise diretamente útil para quem responde a incidentes por aqui.

Impactos, possibilidades e limitações

O ponto tecnicamente mais relevante do JWR é o deslocamento do modelo de ataque. Uma página de phishing estática pode ser derrotada por um segundo fator: mesmo com a senha, o criminoso precisa do código, e o código expira. Um kit com operador ao vivo neutraliza parte dessa proteção, porque o código é solicitado no momento exato em que será usado e injetado no fluxo em segundos. Isso não quebra a criptografia nem explora falha de software — explora a janela de tempo humana. Chaves de acesso vinculadas ao domínio (passkeys e FIDO2) continuam sendo a defesa mais eficaz contra essa classe de ataque, porque simplesmente não produzem um segredo que possa ser repassado a um site falso.

Do lado das limitações, é importante separar o que foi demonstrado do que foi inferido. A ligação entre JWR e The Outsider é uma avaliação de confiança média, baseada em semelhança de código. A Talos afirma explicitamente que o JWR não compartilha implementação de código com Lucid, Darcula ou Lighthouse: o protocolo de C2, o módulo de criptografia e o envelope de mensagens foram desenvolvidos de forma independente. A convergência entre esses kits é comportamental — controle ao vivo do operador, captura de cartão combinada com interceptação de código de uso único e uso de modelos multimarca em escala —, o que sugere consistência de ofício dentro de um mesmo ecossistema criminoso, e não necessariamente um único desenvolvedor.

Também não há, no material publicado, estimativa de número de vítimas, volume financeiro ou países afetados além da lista de marcas e temas imitados. Qualquer número que circule associando o JWR aos US$ 1,9 bilhão da operação Ghost Hook estaria misturando duas coisas distintas: aquele valor se refere ao Outsider, não a esta variante.

Recomendações práticas

• Priorize autenticação resistente a phishing. Passkeys e chaves FIDO2 vinculadas à origem derrotam o modelo de retransmissão em tempo real; códigos por SMS e aplicativos autenticadores TOTP, não.
• Aplique as detecções publicadas. A Talos disponibilizou a assinatura ClamAV Js.Phishing.JwrFramework-10060456-0 e as regras Snort2/Snort3 de identificadores 66924 a 66928. Os indicadores de comprometimento estão no repositório público da equipe no GitHub.
• Monitore conexões WebSocket anômalas partindo de páginas de checkout, especialmente conexões iniciadas por Web Workers que persistem entre navegações.
• Reforce a orientação aos usuários sobre a natureza do golpe: nenhum atendimento legítimo pede que a pessoa informe um código de verificação recém-recebido enquanto navega em uma página de cobrança.
• Para operadores de lojas Shopify e WooCommerce, monitore o uso indevido de parâmetros de carrinho e domínios de checkout em páginas de terceiros, já que o kit os utiliza para dar aparência legítima à conexão.
• Em caso de suspeita de comprometimento, trate documentos de identidade fotografados como expostos, não apenas o cartão: o esquema de coleta do kit abrange passaporte, carteira de motorista e dados de identificação civil.

Conclusão

O JWR é menos uma novidade conceitual do que a confirmação de uma tendência: o phishing de alto valor deixou de ser um formulário estático e virou uma sessão interativa conduzida por um operador humano. Isso muda a economia da defesa, porque encurta drasticamente o tempo útil de qualquer segredo temporário que a vítima possa fornecer.

O que vale acompanhar a partir daqui é se novas variantes do código do Outsider continuarão aparecendo após a operação Ghost Hook — o que indicaria que a derrubada da infraestrutura central teve efeito limitado sobre as cópias já vendidas — e se a Talos ou outros pesquisadores conseguirão quantificar o alcance real desta campanha específica, hoje descrita apenas em termos de marcas e países imitados.

Fontes e referências

• Cisco Talos — Dissecting the JWR phishing framework: blog.talosintelligence.com
• CyberScoop — FBI takes down massive China-based cybercrime network that caused $1.9B in losses: cyberscoop.com
• heise online — FBI takes down Phishing-as-a-Service platform “Outsider”: heise.de
• BleepingComputer — Google sues to dismantle Chinese phishing platform behind US toll scams: bleepingcomputer.com
• Netcraft — Inside the Lighthouse and Lucid PhaaS campaigns targeting 316 global brands: netcraft.com
• The Hacker News — Google Sues China-Based Hackers Behind $1 Billion Lighthouse Phishing Platform: thehackernews.com