Bluekit: Plataforma de Phishing-as-a-Service con Browser-in-the-Middle (BitM) y Evasión Avanzada (2026)
Nombres Alternativos / Aliases
- Bluekit Phishing-as-a-Service (PhaaS)
- Browser-in-the-Middle Phishing Kit (Por la técnica principal)
- AI-Powered Phishing Platform (Por el asistente de IA integrado)
- rrweb Phishing Campaign (Por la librería open-source abusada)
Fecha de Detección / Actividad
- Fecha de descubrimiento inicial (Varonis Threat Labs) : Abril de 2026 (en desarrollo)
- Fecha de confirmación de operatividad (Netcraft) : 24 de junio de 2026
- Actividad detectada: Aproximadamente 70 hostnames activos en una sola semana
- Estado: Activa (en evolución continua con nuevas características)
Actor de Amenaza (Atribución)
- Nombre del Actor: Desconocido (operadores de la plataforma Bluekit)
- Vínculo Gubernamental: Ninguno (ciberdelincuencia comercial)
- Tipo de Actor: Ciberdelincuencia / Phishing-as-a-Service (PhaaS)
- Sofisticación: ALTA. La plataforma demuestra:
- Arquitectura de evasión por capas (anti-análisis, WebRTC, fingerprinting)
- Técnica BitM (Browser-in-the-Middle) con rrweb para DOM streaming
- Integración de IA con modelos "abliterados" sin restricciones de seguridad
- Automatización completa: compra de dominios, DNS, plantillas, exfiltración
- Dashboard unificado para gestión de campañas
- Actualización continua con nuevas características
- Modelo de negocio: Suscripción / PhaaS (Phishing-as-a-Service)
Resumen Ejecutivo
Bluekit es una plataforma de Phishing-as-a-Service (PhaaS) que representa una evolución significativa en el ecosistema del phishing criminal. Detectada inicialmente por Varonis Threat Labs en abril de 2026 y confirmada operativa por Netcraft en junio de 2026, Bluekit combina una técnica innovadora de Browser-in-the-Middle (BitM) con una arquitectura de evasión por capas y un asistente de IA integrado para automatizar ataques de phishing a gran escala.
La innovación clave: Browser-in-the-Middle (BitM)
A diferencia de herramientas tradicionales como Evilginx (que utilizan proxy reverso para interceptar tráfico), Bluekit carga la página de inicio de sesión legítima dentro de un navegador controlado por el atacante y transmite la interacción en tiempo real a la víctima mediante la librería open-source rrweb .
| Característica | Evilginx (Proxy Reverso) | Bluekit (BitM) |
|---|---|---|
| Contexto de ejecución | Navegador local de la víctima | Navegador remoto del atacante |
| Método de robo | Intercepta tráfico en tránsito | Víctima autentica directamente en navegador del atacante |
| Detección de sesión | Fallo de fingerprint (entorno diferente) | Sesión consistente (mismo navegador) |
| Bypass MFA | Sí | Sí (la víctima completa el flujo completo) |
Fases del ataque
| Fase | Descripción |
|---|---|
| 1. Evasión previa al ataque | Más de 20 comprobaciones de bots: fingerprinting (RAM, CPU, pantalla), WebRTC para detectar IP real, CAPTCHA personalizado, ofuscación JavaScript dinámica |
| 2. Entrega BitM | rrweb serializa el DOM de la página legítima y lo transmite vía WebSocket; la víctima interactúa con la página real en el navegador del atacante |
| 3. Captura de credenciales | La víctima completa la autenticación (incluyendo MFA) en el navegador del atacante; el atacante obtiene una sesión autenticada válida |
Capacidades principales
| Capacidad | Descripción |
|---|---|
| +40 plantillas | iCloud, Gmail, Outlook, GitHub, Twitter, Zara, Ledger, etc. |
| Dashboard unificado | Compra de dominios, DNS, creación de páginas, gestión de logs y exfiltración vía Telegram |
| Asistente IA (Abliterated Llama) | Generación de campañas de phishing con modelos sin restricciones de seguridad |
| Evasión avanzada | CAPTCHA personalizado, ofuscación JavaScript (>1MB, rotación), WebRTC IP mismatch |
| Bypass MFA | La víctima completa el flujo MFA en el navegador del atacante, eliminando señales de detección |
| Monitoreo en tiempo real | Panel de administración con vista en vivo de las interacciones de la víctima (actualización cada 5 segundos) |
Vector de Ataque / Métodos de Distribución
Fase 1: Evasión y calificación de víctimas
Antes de mostrar cualquier contenido de phishing, Bluekit somete a cada visitante a un sistema de comprobación diseñado para distinguir víctimas humanas de escáneres automatizados o investigadores :
| Técnica | Descripción |
|---|---|
| Manipulación de filtros CSS | Valores aleatorios (saturación, tono, brillo, contraste) aplicados al elemento HTML para derrotar la detección por hash de píxeles |
| Ofuscación JavaScript | Archivo principal >1MB, rotado periódicamente para evitar bloqueo por firma estática |
| CAPTCHA personalizado | No utiliza Google/Cloudflare nativo; imita marcas objetivo o servicios anti-bot; HTML diferente en cada carga |
| Fingerprinting de navegador | RAM instalada, núcleos de CPU, idioma, resolución de pantalla, indicadores de headless browser, extensiones anti-fingerprinting |
| Detección de IP por WebRTC | Conexión a servidor STUN sobre UDP para obtener IP real; detecta uso de proxy/VPN; si no coinciden, marca como escáner automático |
Fase 2: Entrega del ataque BitM
Una vez que el visitante pasa todas las comprobaciones, Bluekit ejecuta la técnica Browser-in-the-Middle :
- La infraestructura del atacante abre la página de inicio de sesión legítima (ej. Microsoft) en un navegador controlado por ellos
- rrweb serializa el DOM en vivo y lo transmite al navegador de la víctima a través de WebSocket
- La víctima recibe la página como DOM nativo (no como captura de pantalla o video), interactivo y con fidelidad visual perfecta
- Los recursos (imágenes, fuentes, CSS) que no están en el DOM se obtienen a través de un endpoint proxy en la infraestructura PhaaS, no directamente del sitio legítimo
- Los movimientos del mouse y pulsaciones de teclas de la víctima se transmiten de vuelta al navegador del atacante, que los ejecuta en el sitio legítimo
Fase 3: Captura de sesión
La víctima completa el flujo de autenticación (incluyendo MFA) en el navegador del atacante. El atacante obtiene una sesión autenticada válida sin que el sistema de seguridad del objetivo detecte una anomalía en el fingerprint del navegador. La ventana de monitoreo del administrador permite al operador ver en tiempo real la actividad posterior al inicio de sesión de la víctima .
Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK
| Táctica (MITRE ATT&CK) | Técnica / Subtécnica | Descripción / Implementación |
|---|---|---|
| Initial Access (TA0001) | Phishing: Spearphishing Link (T1566.002) | Distribución de enlaces a páginas de phishing Bluekit |
| Execution (TA0002) | User Execution: Malicious Link (T1204.001) | Usuario hace clic en enlace y abre página de phishing |
| Defense Evasion (TA0005) | Masquerading (T1036) | Suplantación de marcas legítimas (Microsoft, Cloudflare, etc.) |
| Defense Evasion (TA0005) | Obfuscated Files or Information (T1027) | Ofuscación JavaScript dinámica, rotación periódica |
| Defense Evasion (TA0005) | Browser Fingerprinting | Detección de headless browsers, proxies, VPNs |
| Defense Evasion (TA0005) | Virtualization/Sandbox Evasion (T1497) | Comprobaciones de entorno para evitar análisis automatizado |
| Credential Access (TA0006) | Credentials from Password Stores (T1555) | Robo de credenciales mediante BitM |
| Credential Access (TA0006) | Multi-Factor Authentication Interception | Captura de tokens MFA durante el flujo de autenticación en navegador controlado |
| Credential Access (TA0006) | Steal Application Access Token (T1528) | Robo de cookies de sesión y tokens OAuth |
| Collection (TA0009) | Data from Local System (T1005) | Captura de datos post-autenticación (correos, archivos, Teams) |
| Command and Control (TA0011) | Application Layer Protocol: Web Protocols (T1071.001) | WebSocket para streaming DOM vía rrweb |
| Exfiltration (TA0010) | Exfiltration Over Web Service (T1567) | Exfiltración de datos vía Telegram |
Flujo de Ataque (Cyber Kill Chain)
| Fase | Descripción |
|---|---|
| 1. Reconocimiento | Selección de objetivo (marca, sector, región) desde el dashboard de Bluekit |
| 2. Armamento | Selección de plantilla (+40 opciones), compra de dominio y configuración de DNS desde el panel |
| 3. Entrega | Envío de enlaces de phishing (correo, SMS, mensajería) con el asistente de IA generando contenido atractivo |
| 4. Evasión | Sistema de calificación: fingerprinting, CAPTCHA personalizado, WebRTC IP mismatch, ofuscación |
| 5. Explotación (BitM) | rrweb transmite DOM de página legítima desde navegador atacante a víctima vía WebSocket |
| 6. Captura de Credenciales | Víctima introduce credenciales y MFA en navegador atacante; atacante obtiene sesión autenticada |
| 7. Exfiltración | Envío de credenciales, cookies y datos post-login vía Telegram |
| 8. Toma de Cuenta | Atacante accede a servicios con sesión autenticada (correo, archivos, Teams) |
Infraestructura Utilizada
Tecnologías abusadas
| Componente | Propósito | Observación |
|---|---|---|
| rrweb | Streaming DOM en tiempo real | Librería open-source legítima (session replay) weaponizada para BitM |
| WebSocket | Canal de comunicación para rrweb | Transmisión de datos DOM entre atacante y víctima |
| STUN Server | Detección de IP real por WebRTC | Usado para identificar analistas/proxies/VPNs |
| Telegram API | Exfiltración de credenciales y notificaciones | Entrega instantánea de datos robados al atacante |
Plantillas objetivo (+40)
| Categoría | Servicios |
|---|---|
| Correo | Gmail, Outlook, Hotmail, Yahoo, ProtonMail |
| Identidad | iCloud, Apple ID |
| Desarrolladores | GitHub, Zoho |
| Redes Sociales | |
| Retail/Cripto | Zara, Ledger |
Infraestructura de evasión
| Técnica | Detalle |
|---|---|
| CAPTCHA personalizado | Imita Cloudflare o la marca objetivo; HTML diferente en cada carga |
| Ofuscación JavaScript | Bundle >1MB, rotación periódica |
| Filtros CSS aleatorios | Saturación, tono, brillo, contraste variables para derrotar detección por hash |
Impacto y Riesgo
| Categoría | Nivel | Descripción |
|---|---|---|
| Alcance | ALTO | 70 hostnames activos en una semana, +40 plantillas, escalabilidad PhaaS |
| Evasión de MFA | MUY ALTO | Víctima completa MFA en navegador del atacante; sin señales de anomalía |
| Detección | MUY BAJA | Tráfico a dominios legítimos, DOM real vs. página clonada, sin cambio de fingerprint |
| Acceso persistente | ALTO | Sesiones autenticadas, cookies robadas, acceso a recursos post-login |
| Automatización | MUY ALTA | Compra de dominios, DNS, plantillas, exfiltración vía Telegram desde un panel |
| IA integrada | ALTA | Generación de contenido de phishing convincente, escalable y multilingüe |
Consecuencias para la víctima
| Consecuencia | Gravedad | Detalle |
|---|---|---|
| Toma de cuenta | Crítica | Sesión autenticada robada, acceso a correo, archivos, Teams |
| Bypass MFA | Crítica | MFA SMS, autenticador y push son completamente ineficaces |
| Acceso a datos sensibles | Alta | Correos, documentos, mensajes de Teams, SharePoint |
| Suplantación de identidad | Alta | Atacante puede actuar como la víctima en servicios autenticados |
| Compromiso en cascada | Alta | Uso de acceso para pivotar a otros sistemas conectados (SaaS, SSO) |
Comparativa con herramientas tradicionales
| Aspecto | Evilginx (Proxy Reverso) | Bluekit (BitM) |
|---|---|---|
| Detección por fingerprint | Alta (cambio de navegador) | Baja (mismo navegador durante sesión) |
| Bypass DBSC | Parcial | Sí (DBSC no protege contra BitM) |
| Fidelidad visual | Alta | Perfecta (DOM real) |
| Latencia | Baja | Media (round-trip adicional) |
| Complejidad técnica | Media | Media-Alta (requiere navegador headless) |
Recomendaciones de Mitigación
Para organizaciones
| Acción | Prioridad | Descripción |
|---|---|---|
| Adoptar FIDO2/WebAuthn (Claves Hardware) | CRÍTICA | Más resistente a BitM que MFA tradicional (autenticación ligada a dispositivo físico) |
| Monitorear tráfico WebSocket | ALTA | Detectar conexiones WebSocket a dominios no autorizados en páginas de inicio de sesión |
| Inspeccionar tráfico de recursos | ALTA | Detectores de Bluekit: elementos HTML con filtros CSS aleatorios, bundles JS >1MB, CAPTCHAs personalizados |
| Educación de usuarios | ALTA | Latencia en clics/teclado puede ser señal de BitM; verificar URL antes de login |
| Segmentación de red | MEDIA | Limitación de acceso a recursos críticos desde sesiones no corporativas |
| Revisar sesiones activas | ALTA | Buscar sesiones desde ubicaciones/IPs no habituales |
Para usuarios
| Acción | Descripción |
|---|---|
| Verificar URL | Siempre comprobar que el dominio sea el oficial y no contenga errores tipográficos |
| Desconfiar de retrasos | Latencia inusual en login (clics/teclado) puede indicar BitM |
| Usar claves hardware | FIDO2/YubiKey (el login físico no puede ser interceptado por BitM) |
| Activar MFA (aunque no sea suficiente) | Sigue siendo protección básica contra credenciales robadas en ataques menos sofisticados |
| Reportar enlaces sospechosos | Al equipo de seguridad o al proveedor del servicio |
Detección de Bluekit (señales observables)
| Señal | Etapa | Descripción |
|---|---|---|
| Manipulación de filtros CSS | Anti-análisis | Valores aleatorios en saturación/humo/brillo en elemento HTML |
| Bundle JS >1MB rotado | Anti-análisis | JavaScript ofuscado que cambia periódicamente |
| CAPTCHA personalizado | Calificación | No es de Google/Cloudflare; imita marcas objetivo |
| WebRTC IP mismatch | Calificación | Intento de detectar IP real para identificar proxies/VPNs |
| Conexión WebSocket | Entrega BitM | Datos binarios/encriptados en página de login |
| Endpoint proxy para assets | Entrega BitM | Imágenes/fuentes/CSS no cargados directamente desde sitio legítimo |
| rrweb | Entrega BitM | Presencia fuera de contexto de analytics legítimos |
Herramientas de Detección
| Herramienta | Propósito |
|---|---|
| Netcraft Threat Intelligence | Detección activa de despliegues de Bluekit (70 hostnames en una semana) |
| Análisis de tráfico de red | Detectar conexiones WebSocket y tráfico rrweb |
| Inspección de DOM | Buscar filtros CSS aleatorios y bundles JS ofuscados |
| Monitoreo de sesiones | Detectar inicios de sesión desde entornos de navegador inconsistentes |
Contexto Más Amplio: La Evolución de PhaaS
| Fase | Característica | Ejemplo |
|---|---|---|
| Phishing tradicional | Plantillas estáticas, distribución manual | Kits de phishing básicos |
| PhaaS inicial | Plantillas + hosting, panel simple | Evilginx, Modlishka |
| PhaaS moderno | Automatización + IA + evasión avanzada | Bluekit (BitM, AI, +40 templates, dashboard unificado) |
Bluekit representa la convergencia de:
- Técnicas avanzadas de evasión (BitM, rrweb, WebRTC, fingerprinting)
- Automatización completa (dominios, DNS, templates, exfiltración)
- IA integrada (modelos sin restricciones para generar contenido de phishing)
- Modelo de negocio SaaS (dashboard, suscripción, reseller)
Referencias y Fuentes
- Netcraft. (2026, 24 de junio). Bluekit Phishing-as-a-Service: Browser-in-the-Middle (BitM) Analysis.
- HEAL Security. (2026, 25 de junio). New Bluekit Phishing-as-a-Service Bypasses MFA to Steal Microsoft Login Credentials.
- BleepingComputer. (2026, 25 de junio). Bluekit phishing kit adopts browser-in-the-middle for login theft.
- SC Media. (2026, 30 de abril). Multi-platform targeting, AiTM capabilities flexed by novel Bluekit phishing kit.
- Security Affairs. (2026, 4 de mayo). Bluekit phishing kit enables automated phishing with 40+ templates and AI tools.
- OffSeq. (2026, 17 de junio). Bluekit Phishing as a Service (PhaaS) - Live Threat Intelligence.
- Yahoo Tech. (2026, 29 de abril). Researchers discover dangerous new 'Bluekit' phishing kit.
- Varonis Threat Labs. (2026, abril). Bluekit Phishing Kit Analysis.
Historial de Revisiones
| Fecha | Versión | Autor | Cambios Realizados |
|---|---|---|---|
| 2026-06-30 | 1.0 | Fernando Vargas Hincapié | Creación inicial basada en informes de Netcraft, Varonis, BleepingComputer, Security Affairs, SC Media, Yahoo Tech y OffSeq |
Indicadores de Compromiso (IOCs)
Señales observables (no binarias, requieren contexto)
| Tipo | Indicador | Descripción |
|---|---|---|
| CSS | Filtros aleatorios en HTML | Saturación, tono, brillo, contraste con valores randómicos |
| JavaScript | Bundle >1MB rotado periódicamente | Ofuscación dinámica para evitar firmas estáticas |
| CAPTCHA | CAPTCHA personalizado | No es de Google/Cloudflare; puede imitar la marca objetivo |
| WebRTC | IP mismatch detection | Intento de descubrir IP real para detectar proxies/VPNs |
| WebSocket | Conexión en página de login | Datos binarios/encriptados transmitidos vía WebSocket |
| Proxy | Endpoint proxy para assets | Imágenes/fuentes/CSS no cargados directamente del sitio legítimo |
| Fingerprinting | RAM, CPU, resolución, headless | Comprobación de entorno del navegador |
Hashes (no especificados en fuentes públicas)
Se recomienda consultar los informes de Varonis Threat Labs y Netcraft para hashes actualizados de la infraestructura de Bluekit.
Etiquetas / Categorías
bluekit-phaas browser-in-the-middle bitm rrweb-phishing ai-powered-phishing adversary-in-the-middle aitm mfa-bypass netcraft-threat-intelligence varonis-threat-labs phishing-kit session-hijacking cookie-theft telemetry-exfiltration abliterated-llama