Atribuição de Ameaças (Confiança, Limitações)

Nota do capítulo 05 (Análise e Produção de Inteligência).
Diferencia os níveis de atribuição técnica, operacional e política, distingue evidência de inferência e mapeia os mecanismos de false flag.
Define a expressão de confiança calibrada em baixa, moderada e alta, apresenta os riscos políticos e jurídicos e os cenários em que não se deve atribuir, com exemplo de relato calibrado. Dialoga com a nota de Clustering, com a Pirâmide de Dor e com a avaliação de fontes do capítulo 02.

1. Contexto e Posicionamento na Biblioteca

Atribuição é o julgamento sobre quem está por trás de uma atividade, e é a etapa analítica de maior visibilidade e de maior risco dentro do ciclo de inteligência. O cluster técnico, produzido na nota anterior, descreve o que foi observado com evidência; a atribuição dá um passo além e nomeia um operador, um grupo ou um patrocinador, por meio de inferência sobre o que foi observado. Essa diferença entre descrever e julgar é a origem de quase todos os problemas de credibilidade que relatórios de inteligência enfrentam, e a disciplina de calibração apresentada aqui é o que separa análise profissional de afirmação especulativa.

Na biblioteca, esta nota consome diretamente o cluster da nota de Campanhas e Agrupamentos e herda a lógica de raridade da Pirâmide de Dor, porque vínculos raros sustentam julgamentos e vínculos densos não sustentam. A nota de Avaliação, Proveniência e Histórico das Fontes, do capítulo 02, fornece a avaliação de qualidade que alimenta a confiança, e os produtos de relato do capítulo 06 exigem que todo julgamento de atribuição chegue calibrado, com base explícita e com as alternativas rejeitadas documentadas. O episódio mais citado do mercado como lição é a circulação de exploits de grau estatal após o vazamento conhecido como Shadow Brokers, que provou na prática que presença de código sofisticado não equivale a identidade de estado.

2. Níveis de Atribuição: Técnica, Operacional e Política

Atribuição não é uma decisão binária, e sim uma escala de três níveis que respondem a perguntas diferentes e se apoiam em evidências de naturezas diferentes. O relatório maduro declara cada nível separadamente, porque fundir níveis é o mecanismo pelo qual um vínculo técnico sólido se transforma em afirmação política insustentável sem que o leitor perceba a troca.

A atribuição técnica é a mais forte porque trata de artefatos observáveis e verificáveis: afirmar que um binário específico foi compilado pela mesma cadeia de ferramentas que outro é afirmação testável por qualquer analista com o material. A atribuição operacional já é julgamento agregado, que combina dimensões do cluster e pesa raridade, e é o nível que a maioria das decisões de defesa realmente precisa. A atribuição política adiciona motivo e patrocinador, e é o nível de maior controvérsia pública, porque envolve estados, e o analista deve tratá-la como categoria distinta, com exigência de evidência própria e não apenas com extrapolação do nível técnico.

A separação de níveis também define responsabilidade interna. O analista declara o nível técnico sempre que o artefato sustenta, e o operacional quando o cluster maduro sustenta; o nível político não é decidido pelo analista, e sim autorizado pela política organizacional com revisão jurídica, porque nomear patrocinador é decisão de comunicação institucional. Essa divisão evita que o relatório interno vire arena de opinião e que a nomeação pública aconteça sem dono formal.

3. Evidência e Inferência: Como se Constrói o Julgamento

Evidência é o que foi observado e pode ser registrado: o hash, o nameserver compartilhado, a sequência de técnicas, o log de autenticação. Inferência é o raciocínio que conecta evidências a um julgamento sobre responsabilidade, e é aí que mora a incerteza, porque cada passo da cadeia multiplicativo adiciona chance de erro. Uma cadeia típica, como o kit é o mesmo, então o operador é o mesmo, então a operação é do grupo que usou o kit antes, tem três elos, e cada elo precisa ser defendido com critério explícito de força do vínculo, conforme a nota de clustering.

A técnica estruturada mais útil para o julgamento é a análise de hipóteses competitivas, conhecida pela sigla ACH. O analista lista todas as hipóteses plausíveis, inclusive a de reuso por terceiros e a de imitação deliberada, avalia cada peça de evidência contra cada hipótese e documenta por que as alternativas foram rebaixadas ou descartadas. O produto desse trabalho não é apenas a conclusão, mas o registro auditável do caminho, que permite a revisão por pares verificar se a inferência sobrevive. Dois vieses merecem vigilância constante: a falácia da taxa base, que trata TTPs comuns como assinatura única, e a confusão entre ausência de evidência e evidência de ausência, que faz o analista descartar hipótese apenas porque não encontrou apoio para ela.

A planilha de hipóteses competitivas é o registro que dá auditabilidade ao julgamento, e o exemplo abaixo, aplicado ao caso de phishing da nota anterior, mostra o formato mínimo que a revisão por pares exige.

Planilha de hipoteses competitivas (ACH) do caso CLUSTER-2025-041-PHISH-FIN

Hipoteses: H1 grupo financeiro regional | H2 afiliado de ransomware com kit comprado
           H3 operacao de espionagem usando fraude como capa

Evidencia                            | H1          | H2           | H3
Nameserver dedicado usado em 2023/24 | consistente | consistente  | inconsistente
Template v3.2 identico entre ondas   | consistente | consistente  | inconsistente
Ausencia de componente de ransomware | consistente | inconsistente| consistente
Janela de envio em dias uteis, UTC-3 | consistente | neutro       | neutro

Resultado: H1 melhor sustentada; H2 rebaixada por evidencia contraria;
H3 descartada por duas incompatibilidades. Nivel declarado: confianca moderada.

4. False Flag: Motivos e Mecanismos

False flag é a prática deliberada de fazer a atividade parecer obra de outro ator, e nenhum programa de atribuição maduro opera sem assumir que a hipótese existe. Os mecanismos observados no mercado são recorrentes e devem entrar na lista padrão de alternativas do ACH.

• Reuso de código vazado: exploits e implants de estados vazados publicamente circulam no submundo, e a presença deles em atividade criminosa comum não indica patrocínio estatal.
• Infraestrutura reciclada: VPS e domínios comprados em mercados carregam histórico de outros operadores, e vínculo por histórico sem análise de continuidade gera falsa conexão.
• Artefatos linguísticos plantados: localização falsa, erros de escrita intencionais e metadados de fuso horário manipulados são mecanismos conhecidos de indução.
• Imitação deliberada de TTPs: operação que copia a ordem de técnicas e o ritmo de um grupo conhecido para herdar o perfil de suspeito do grupo imitado.
• Uso de credenciais e contas roubadas: atividade executada com identidade de terceiro, especialmente em acesso inicial comprado de brokers.

Os motivos variam entre desviar a investigação e a resposta da verdadeira origem, enquadrar adversário geopolítico, diluir responsabilidade legal e, no caso de grupos criminosos, parecer mais capazes ou mais perigosos do que são. O caso de grupos de ransomware que alugam acesso inicial é o lembrete operacional diário: o operador que executa a intrusão raramente é quem obteve o acesso, e a cadeia de responsabilidade real é mais longa do que o grafo do caso mostra. A regra prática é simples e custa pouco: toda atribuição operacional que depende de um único tipo de vínculo deve ser tratada como vulnerável a false flag até que uma segunda dimensão independente confirme.

5. Expressão de Confiança Calibrada

Confiança é a medida de quão bem a evidência sustenta o julgamento, e não é o mesmo que qualidade da fonte nem severidade da ameaça, confusões que a prática corrige com critérios escritos. A política da equipe deve fixar três níveis, com definição operacional e redação padrão, de modo que leitores diferentes atribuam o mesmo significado ao mesmo termo. A tabela abaixo é o padrão recomendado.

Dois instrumentos clássicos complementam a calibração. A escala Admiralty avalia fonte e informação separadamente, com confiabilidade de fonte de A a F e credibilidade de informação de 1 a 6, o que permite declarar que uma fonte é normalmente confiável e que esta informação específica não pôde ser confirmada. O léxico de estimativas consagrado na comunidade de inteligência, formalizado em documentos como o ICD 203, mapeia termos como provável e altamente improvável para faixas de probabilidade, e a organização deve adotar esse mapeamento por escrito se quiser que os termos tenham valor informacional real. Confiança sem critério publicado é retórica, e retórica de confiança é o que mais degrada a percepção de qualidade de uma função de CTI.

A calibração se aplica também à redação, e a diferença entre frase que calibra e frase de retórica é visível no contraste abaixo.

Calibram:
  "Com confianca moderada, o operador atua a partir do fuso UTC-3,
   com base em tres ondas com janela identica em dias uteis."
  "A evidencia sustenta que o kit e o mesmo; a autoria segue em analise."

Nao calibram (retorica sem criterio publicado):
  "E amplamente conhecido que o grupo atua assim."
  "Fontes sugerem fortemente a participacao de um estado."

6. Riscos Políticos e Jurídicos e Quando Não Atribuir

Nomear um ator é decisão com consequências que excedem a análise. Atribuição pública a estado pode afetar relações comerciais, expor a organização a atenção diplomática e interferir em coordenação com autoridades; atribuição a indivíduos nomeados traz risco de alegação difamatória quando a base de evidência é fraca; e verbetes de sanção podem transformar o mero contato comercial com entidade nomeada em exposição regulatória. Por isso a decisão de atribuir, especialmente em produto externo, é decisão institucional com revisão jurídica e patrocínio executivo, e não escolha individual do analista, que é responsável pela calibração técnica do julgamento e não pela estratégia de divulgação.

A decisão mais madura do repertório analítico é saber quando não atribuir, e os cenários abaixo devem estar na política da equipe.

• Quando a decisão de defesa não muda: detecções derivadas de TTPs e de infraestrutura funcionam igualmente sem nome de ator, e o nome não adiciona proteção.
• Quando a base de evidência não sustenta nem o nível operacional: o produto correto é o cluster técnico, com hipóteses abertas registradas.
• Quando o risco de publicação excede o valor informacional: exposição jurídica, contratual ou diplomática maior que o benefício da nomeação.
• Quando a pressão do prazo compromete o ACH: contenção e resposta vêm primeiro, e a atribuição pode ser produto posterior com base consolidada.
• Quando a atividade é reuso evidente de recurso alheio: atribuir ao dono do recurso seria exatamente o efeito desejado por um false flag.

A institucionalização da decisão passa por três controles escritos. A política de atribuição define quem autoriza cada nível, com revisão jurídica obrigatória para nomeação de estados e de indivíduos. O registro de decisões guarda a data, a base de evidência e a confiança declarada de cada atribuição publicada, o que permite revisar decisões antigas quando evidência nova aparece. E o produto define o TLP de circulação antes da difusão, porque a mesma atribuição pode ser adequada em canal fechado e indevida em canal aberto.

7. Exemplo de Relato de Atribuição Calibrado

O bloco abaixo é o padrão de seção de atribuição para relatório interno, com julgamento em nível operacional, alternativas documentadas, níveis não atribuídos declarados e fontes avaliadas. Esse formato é exigido nos produtos derivados do cluster usado como exemplo na nota anterior.

## Julgamento de atribuicao

A campanha CLUSTER-2025-041-PHISH-FIN e conduzida, com confianca moderada,
por um grupo de fraude financeira que atua na America do Sul. A base do
julgamento e a convergencia de tres dimensoes independentes: nameserver
dedicado usado por campanhas anteriores contra bancos da regiao (marco de
2023 e setembro de 2024), template de phishing v3.2 com identificadores
identicos e janela de envio em dias uteis no fuso local, padrao mantido
entre as tres ondas.

Alternativa considerada: afiliado novo de programa de ransomware usando
kit comprado de terceiro. A alternativa foi rebaixada porque nenhuma das
vitimas conhecidas apresentou componente de implantacao de ransomware e
porque a infraestrutura de envio tem continuidade material com atividade
anterior atribuida ao grupo, em dois periodos distintos.

Nao se atribui, nesta etapa, patrocinio estatal ou vinculo organizacional
formal (nivel politico). O nivel permanece fechado por insuficiencia de
evidencia, e sua reabertura exige artefato novo de peso, como reuso de
build unico ou de infraestrutura exclusiva do grupo.

Fontes: DNS passivo comercial (confiabilidade B, credibilidade 2), logs
proprios de gateway de e-mail (confiabilidade A, credibilidade 1) e coleta
da pagina de phishing em sandbox (confiabilidade A, credibilidade 2).

A leitura do exemplo mostra os três elementos que o revisor deve exigir em qualquer seção de atribuição. O julgamento declara nível e confiança em uma frase única e verificável; as alternativas aparecem com o motivo do rebaixamento, o que transforma a conclusão em cadeia auditável; e o nível não atribuído é declarado explicitamente, o que impede que o leitor extrapole para onde a evidência não vai. Fontes com nota de confiabilidade fecham o quadro e conectam o julgamento à política de avaliação de fontes do capítulo 02.

8. Erros Comuns e Pontos de Atenção

• Igualar código a identidade: reuso de builds, kits e exploits é onipresente no mercado, e a presença de recurso conhecido sustenta no máximo hipótese, nunca conclusão.
• Atribuir por TTP comum: técnicas frequentes, como phishing e uso de ferramenta de acesso remoto legítimo, têm taxa base alta em dezenas de grupos e não são assinatura.
• Ocultar a alternativa rejeitada: julgamento sem hipóteses competitivas documentadas não é auditável, e o leitor não consegue distinguir análise de preferência do analista.
• Confundir confiança com severidade: atividade de confiança alta pode ser de baixo impacto, e atividade de confiança baixa pode ser crítica; as escalas são independentes e devem ser lidas separadamente.
• Saltar do nível técnico ao político sem cadeia: o elo entre artefato e patrocinador precisa de evidência própria, e a extrapolação direta é o erro que mais gera retratação pública.
• Usar confiança sem critério publicado: níveis sem definição operacional escrita variam de significado entre analistas e entre relatórios, destruindo a comparabilidade.
• Atribuir sob pressão de prazo: julgamento feito para fechar o relatório do dia ignora alternativas e costuma ser o primeiro a cair na próxima revisão.
• Tratar atribuição como definitiva: atores mudam de ferramenta, vendem acesso e imitam rivais, e toda atribuição é proposição sujeita a revisão com evidência nova.
• Adotar nomeação de terceiro sem refazer a análise: importar atribuição de fornecedor sem avaliar a fonte é herdar viés alheio, e a fonte é avaliada pelo padrão do capítulo 02 antes de virar referência interna.
• Deixar hipótese viva fora do registro: alternativa considerada em conversa e não documentada desaparece na revisão, e a planilha de ACH é o lugar dela.

9. Integração com o Restante da Biblioteca

Esta nota fecha o ciclo que começa no clustering: o cluster fornece o contorno técnico, e a atribuição adiciona o julgamento calibrado sobre quem opera, sempre com os níveis separados. No capítulo 02, a nota de avaliação de fontes fornece as notas de confiabilidade e credibilidade que sustentam a confiança declarada, e a nota de compartilhamento define os limites de TLP sob os quais julgamentos de atribuição podem circular. No capítulo 04, o Diamond Model organiza os vértices que diferenciam o que é observável, como infraestrutura e vítima, do que é inferido, como adversário, que é exatamente a fronteira entre evidência e inferência desta nota.

No lado operacional da seção 15, o CTI.6 mapeia TTPs do cluster sem depender de nome de ator, o CTI.7 consome a seção de atribuição calibrada no relatório e o CTI.10 de contra-inteligência trata a própria atribuição como superfície de engano, lembrando que o adversário também estuda como a organização atribui. A síntese desta nota é o freio profissional: atribuir é o julgamento de maior risco da análise, e o valor da função de CTI cresce quando a organização aprende a confiar mais em relatos que declaram limites do que em relatos que parecem não ter dúvida.