Phishing Kit (набор для фишинга, фишинг-кит) - это предварительно скомпонованный программный пакет, содержащий шаблоны веб-страниц, скрипты и вспомогательные компоненты, предназначенные для быстрого развертывания фишинговых сайтов, имитирующих легитимные сервисы, с целью сбора учетных данных, токенов многофакторной аутентификации (MFA) и других конфиденциальных данных. В отличие от отдельной фишинговой страницы, созданной вручную, phishing kit представляет собой тиражируемое решение, которое снижает порог входа для Threat Actor (субъекта угрозы) с минимальной технической квалификацией и позволяет масштабировать кампании. Этот класс инструментов следует отличать от вредоносного ПО (malware) для конечных точек: phishing kit действует на уровне веб-инфраструктуры и человеческого фактора, хотя современные образцы могут интегрировать механизмы обхода защит, характерные для вредоносных программ.
Как работает механизм
Типичный phishing kit состоит из внешнего и внутреннего контура. Внешний контур - это набор шаблонов (HTML, CSS, JavaScript), которые воспроизводят интерфейс целевого сервиса с высокой точностью, включая логотипы, шрифты и поведение форм. Внутренний контур включает серверные скрипты (чаще всего на PHP, реже — на Node.js или Python), которые принимают введенные жертвой данные и либо сохраняют их в локальный лог-файл, либо пересылают оператору через API, электронную почту или бота в мессенджере. Для повышения эффективности в киты встраиваются механизмы Detection Evasion (уклонения от обнаружения): обфускация (запутывание) клиентского кода, динамическая подгрузка ресурсов с легитимных доменов, анти-бот-фильтры, которые блокируют сканеры исследователей безопасности, и клоакинг (подмена контента в зависимости от характеристик посетителя).
Ключевым эволюционным сдвигом стало распространение архитектуры Adversary-in-the-Middle (AiTM, «злоумышленник посередине»). В этом режиме phishing kit работает как обратный прокси: жертва взаимодействует с реальным сайтом целевого сервиса через контролируемый злоумышленником узел, который в реальном времени ретранслирует запросы и ответы. Это позволяет перехватывать не только пароль, но и session cookie (файл сессии), что делает стандартную MFA недостаточной защитой — злоумышленник использует украденную сессию, не нуждаясь в одноразовом коде. Операционная модель таких китов часто строится по принципу Phishing-as-a-Service (PhaaS, «фишинг как услуга»): разработчик предоставляет инфраструктуру и панель управления по подписке, а аффилиаты (исполнители кампаний) арендуют доступ за криптовалюту. Участниками процесса, таким образом, являются разработчик кита, оператор-арендатор, хостинг-провайдер (часто bulletproof hosting, игнорирующий жалобы), регистратор доменов и, разумеется, жертва.
Примеры из реальной практики
Одним из наиболее масштабных примеров является платформа Kratos (также известная как SneakyLog и Sneaky2FA), ориентированная на кражу учетных данных Microsoft 365. По данным немецких правоохранительных органов, к июлю 2026 года около 1800 платящих пользователей использовали Kratos для проведения примерно 15 000 фишинговых кампаний в месяц; совокупное число жертв с конца 2024 года оценивается в сотни тысяч человек более чем в 30 странах, а доход операторов превысил 300 000 евро. Кит поддерживал два режима — простой сбор паролей и AiTM-проксирование с перехватом сессии, что позволяло обходить обычную MFA. В феврале 2026 года операторы Kratos провели кампанию с налоговой тематикой, разослав письма с QR-кодами примерно 100 организациям в США, преимущественно в производственном, розничном и медицинском секторах.
Другим показательным случаем является деятельность инфраструктуры ONNX (также Caffeine и FUHRER), которую Microsoft в ноябре 2024 года нейтрализовала через изъятие 240 доменов. По оценке Microsoft, ONNX входила в топ-5 поставщиков фишинговых услуг по объему сообщений в первой половине 2024 года и предлагала подписки от 150 до 550 долларов в месяц с встроенным обходом двухфакторной аутентификации. Кампании ONNX были нацелены на сотрудников финансовых организаций и использовали квишинг — QR-коды в PDF-вложениях, которые перенаправляли жертв на поддельные страницы входа Microsoft 365; сканирование кода с личного мобильного устройства затрудняло обнаружение конечными средствами защиты.
В период с 2023 по 2024 год кит W3LL, продававшийся примерно за 500 долларов, применялся более чем в 17 000 атак по всему миру. Связанная с ним экосистема W3LLSTORE ранее обеспечила продажу свыше 25 000 скомпрометированных учетных записей, а ущерб от попыток мошенничества оценивается более чем в 20 миллионов долларов. Кит позволял создавать убедительные копии страниц входа Microsoft 365, перехватывая как пароли, так и сессионные данные для обхода MFA и закрепления в среде. География жертв была широкой: на США пришлось около 57 процентов идентифицированных случаев, далее следовали Великобритания, Австралия и Германия; среди наиболее пострадавших отраслей — производство, технологии и профессиональные услуги.
Эволюция угрозы, ограничения и методы защиты
Эволюция phishing kits за последние годы сместилась от статических HTML-архивов к модульным, обфусцированным и интегрированным с вредоносной активностью платформам. Если ранние киты сохраняли украденные данные в локальный файл, ожидая ручного сбора, то современные образцы ретранслируют их в реальном времени, поддерживают динамическую замену брендов, гибридные сценарии с использованием двух PhaaS-продуктов в одной кампании и методы удержания в памяти (memory-resident techniques), затрудняющие форензику. Рост числа известных китов примерно вдвое за 2025 год сопровождался увеличением доли неидентифицируемых образцов: по некоторым оценкам, во втором квартале 2025 года 58 процентов обнаруженных китов не поддавались однозначной атрибуции из-за кастомизации и обфускации. Генеративный искусственный интеллект снижает стоимость создания правдоподобного контента, а автоматизация развертывания позволяет операторам ежедневно заменять заблокированные домены.
Ограничения защитных мер обусловлены самой природой AiTM-китов: сигнатурное обнаружение фишинговых страниц неэффективно, когда контент проксируется с легитимного источника, а анти-бот-фильтры блокируют песочницы и сканеры. Традиционная MFA на основе одноразовых кодов или push-уведомлений не предотвращает перехват сессии, поскольку злоумышленник использует уже аутентифицированный cookie. Кроме того, короткоживущие домены и bulletproof-хостинг сокращают окно реагирования на блокировку.
Защита требует многоуровневого подхода. На уровне аутентификации необходимы phishing-resistant MFA (устойчивые к фишингу методы), такие как аппаратные ключи FIDO2 и passkeys, которые привязывают аутентификацию к origin (источнику) и не передают секрет, пригодный для повторного использования. Критически важен мониторинг и отзыв активных сессий: при подозрении на компрометацию недостаточно сменить пароль - необходимо инвалидировать все выданные session cookie, поскольку в AiTM-сценарии сессия может пережить сброс пароля. Threat Hunting (поиск угроз) должен включать отслеживание инфраструктурных индикаторов, характерных для конкретных китов, а также аномалий в поведении учетных записей, таких как вход из нетипичной геолокации сразу после посещения фишинговой страницы. Обучение пользователей сохраняет значение, но не как основной барьер, а как вспомогательный слой, особенно в условиях, когда визуальная верификация сайта перестает быть надежной. Наконец, на стратегическом уровне снижение доступности PhaaS-инфраструктуры - через совместные операции провайдеров, регистраторов и правоохранительных органов — остается значимым, хотя и временным сдерживающим фактором.
