Crime Organizado (Ransomware as a Service)

Nota do capítulo "13 - Contra-Inteligência (CI)", pasta "05 - Ecossistema de Ameaças".
Mapeia o polo econômico do ecossistema de ameaças, com foco na cadeia de valor do Ransomware as a Service.
Complementa as notas de Estados e de APTs da mesma pasta e dialoga com Resposta a Incidentes e com Marcos Legais do capítulo.

1. Contexto e Posicionamento na Biblioteca

O crime cibernético organizado é o adversário mais frequente da maioria das organizações e, por isso, o baseline obrigatório de qualquer programa de CI. Diferente do Estado, que busca informação e vantagem, o grupo criminoso busca monetização previsível e escalável, e organizou-se para isso de forma industrial, com divisão de trabalho, especialização de papéis e serviços terceirizados que imitam um mercado legítimo. Esta nota explica essa economia, detalha a cadeia de valor do Ransomware as a Service (RaaS) e mostra onde a resposta de CI difere da resposta preparada para espionagem estatal.

O posicionamento da nota é o de contraste proposital com as duas anteriores da pasta. Enquanto o ator estatal evita ruído e aceita longos períodos de coleta, o afiliado de ransomware trabalha com cronômetro ligado, pois cada dia dentro do ambiente aumenta custo e risco sem aumentar a receita. Essa diferença de incentivo explica diferenças de comportamento, de telemetria detectável e de resposta, e é o eixo central para priorizar controles quando a organização não pode se preparar para tudo ao mesmo tempo.

2. A Economia do Crime Cibernético Organizado

A profissionalização do crime cibernético seguiu a lógica de qualquer mercado: especialização aumenta eficiência, e a terceirização reduz barreira de entrada. Hoje existem serviços de acesso inicial, de hospedagem bulletproof, de ofuscação, de envio de phishing, de desbloqueio de antivírus (crypter) e de lavagem de criptoativo, cada um com preço, reputação e canal de suporte. Um ator com pouca habilidade técnica consegue executar uma intrusão completa comprando os insumos, o que multiplica a base de atacantes capazes e explica o crescimento de campanhas em escala.

Esse mercado tem instituições próprias que a CI precisa conhecer para interpretar relatos. Fóruns e mercados controlam reputação de vendedores, há escrow para transações, programas de afiliação disputam afiliados talentosos com comissões e há propaganda ativa de marcas de ransomware em sites de vazamento. A ciência da computação forense chama de cybercrime-as-a-service essa camada de serviços, e o resultado prático é que a barreira entre ameaça sofisticada e ameaça comum diminuiu: técnicas antes exclusivas de grupos de alto nível circulam como produto.

Para o programa de CI, três consequências operacionais decorrem dessa economia. Primeira, o volume de adversários capazes cresceu, e a priorização por reputação do grupo é menos útil do que a priorização por técnicas em uso. Segunda, a cadeia de valor deixa rastro econômico observável, como endereços de carteira, anúncios de acesso e páginas de vazamento, que é coletável e correlacionável. Terceira, a resposta precisa considerar que o adversário reage a incentivos, e medidas que reduzem rentabilidade, como backup imutável e segmentação, mudam a decisão econômica do atacante.

A leitura econômica também orienta a ordem dos controles. Medidas que atacam o insumo mais barato da cadeia, como MFA resistente a phishing e rotação de credenciais vazadas, alteram o cálculo do broker e do afiliado ao mesmo tempo. Medidas que aumentam o tempo de operação, como segmentação e telemetria de identidade, reduzem o retorno esperado por hora do afiliado. Em ambos os casos a defesa não precisa ser perfeita, precisa apenas tornar a vítima menos lucrativa que o vizinho, e é essa marginalidade que a CI deve comunicar à diretoria.

A trajetória recente das marcas de ransomware confirma a leitura econômica e fornece contexto concreto para a CI. A operação coordenada por autoridades de múltiplos países contra o LockBit demonstrou que carteis dependem de reputação, e a exposição pública de falhas internas e da pressão policial reduziu a disposição de afiliados a permanecer. O colapso do ALPHV após o incidente de Change Healthcare revelou o risco de contraparte do modelo de afiliação, com disputa pública sobre o rateio de um resgate de dezenas de milhões de dólares. E o vazamento dos arquivos internos do Conti mostrou, em detalhe, a burocracia do modelo: salários, testes para candidatos, metas de cifragem e hierarquia administrativa indistinguíveis de uma empresa comum.

3. RaaS e os Papéis da Cadeia

O RaaS (Ransomware as a Service) é o modelo em que um grupo mantém o ransomware e a infraestrutura de extorsão como plataforma, e afiliados executam as intrusões usando essa plataforma em troca de comissão. O modelo separa quem desenvolve de quem ataca, exatamente como Software as a Service separa produto de canal de vendas. A tabela abaixo descreve os papéis típicos da cadeia, sua função e a forma de remuneração documentada em casos públicos.

Dois papéis merecem atenção adicional da CI. O broker de acesso inicial é o elo que mais aparece em telemetria corporativa, pois seu produto final é exatamente o que a organização deveria prevenir: credencial válida e acesso remoto. E o operador do site de vazamento é fonte de inteligência gratuita, pois a publicação de dados da vítima confirma comprometimento e às vezes expõe conteúdo da exfiltração, útil para investigação e para notificações legais.

A interação entre os papéis também produz inteligência. A competição entre brokers de acesso por visibilidade gera listagens públicas de acessos com setor, porte e país da vítima, observáveis por quem monitora fóruns com método. A disputa por afiliados talentosos leva carteis a publicar ofertas com comissões e suporte, e o tom da propaganda é indicador indireto do estágio do cartel, expansivo ou defensivo. Para a CI, essas dinâmicas transformam o submundo em fonte estruturada, e não em curiosidade, pois permitem antecipar qual ameaça cresce e qual está em decadência.

4. Modelos de Negócio: Afiliação, Extorsão Dupla e Leilão de Dados

O RaaS evoluiu para maximizar pressão sobre a vítima e reduzir a dependência de uma única alavanca de pagamento. A tabela abaixo resume os modelos em uso, a mecânica de cada um e a implicação direta para a resposta de CI e de resposta a incidentes.

A extorsão dupla mudou o eixo da defesa: quando a ameaça é publicação, a organização não pode comprar de volta a confidencialidade, e o pagamento não encerra o problema. É por isso que os controles que mais alteram o resultado econômico do atacante são os que bloqueiam exfiltração e os que limitam movimentação, e não apenas os que garantem restauração. Essa leitura econômica é o que a CI deve levar às decisões de investimento, traduzida em cenários de perda e não em jargão técnico.

A escolha entre afiliação e operação fechada também é econômica. Carteis com afiliação ampla maximizam escala e aceitam heterogeneidade de qualidade, enquanto operações fechadas maximizam controle e disciplina operacional, com menos risco de vazamento interno. A organização deve saber que a identidade do cartel prevê pouco sobre a qualidade do afiliado, e que a defesa precisa ser dimensionada para o afiliado mediano, e não para o mais habilidoso.

O leilão de dados fecha o ciclo perverso do modelo e merece atenção específica. Quando o resgate não é pago, o lote exfiltrado pode ser vendido em leilão com lances crescentes, e a soma arrecadada junto a compradores menores frequentemente supera o que uma única vítima pagaria, o que explica a disposição dos carteis em publicar mesmo sem pagamento. Para a organização, isso significa que nenhuma decisão recompra a confidencialidade em cenário de exfiltração confirmada, e que o monitoramento de leak sites e de mercados de dados deve continuar por meses após o encerramento do incidente.

5. Diferenças para Espionagem Estatal na Resposta de CI

Preparar a organização para ransomware e para espionagem estatal são exercícios diferentes, e confundi-los gera resposta errada nas duas frentes. A tabela abaixo contrasta as dimensões que mais mudam a conduta esperada da equipe de CI e do comitê de segurança.

A diferença de notificação é decisiva para o Brasil: incidentes de ransomware com dados pessoais exfiltrados disparam deveres de comunicação a titulares e à ANPD conforme a LGPD, além de obrigações setoriais como as do Banco Central para o sistema financeiro. Já uma suspeita de espionagem estatal frequentemente não tem gatilho de notificação equivalente, mas exige decisões sensíveis de disclosure e coordenação discreta, tema da nota de Responsabilidade Executiva. O programa precisa manter os dois playbooks separados, com critérios de classificação claros na triagem inicial.

A diferença de resposta aparece de forma mais nítida nas primeiras 72 horas de cada caso. No ransomware, o relógio manda: conter, preservar evidência, acionar seguro e jurídico, notificar reguladores e preparar comunicação com velocidade máxima, porque cada hora de indisponibilidade é prejuízo direto. Na espionagem, a pressa é inimiga: uma contenção ruidosa queima a investigação, revela a detecção ao adversário e desperdiça a oportunidade de mapear o alcance da coleta. Playbooks separados, com critérios objetivos de classificação na triagem, são a salvaguarda operacional contra a resposta trocada.

6. Exemplo Prático: Cadeia de um Afiliado de Ransomware

O fluxo abaixo reconstrói uma cadeia típica de afiliado, com papel por fase e o sinal de telemetria que a organização deveria capturar em cada ponto. Ele serve para validar cobertura de detecção e para treinar a triagem inicial de incidentes.

Fase 1. Broker de acesso inicial
  - Credencial de VPN comprada de infostealer, vendida ao afiliado.
  - Sinal: autenticação bem-sucedida de endereço residencial novo com
    agente de usuário incomum para o perfil do usuário.

Fase 2. Preparação do afiliado
  - Reconhecimento de AD e implantação de loader e Beacon em host de
    trabalho comum.
  - Sinal: processo pai ofimático abrindo PowerShell ofuscado e conexão
    a infraestrutura recém-registrada.

Fase 3. Movimento lateral e escalada
  - Uso de ferramentas de administração legítimas e dump de credenciais.
  - Sinal: dump de LSASS via comsvcs.dll, montagem de compartilhamentos
    administrativos e criação de conta de serviço inédita.

Fase 4. Exfiltração
  - Empacotamento e upload de dados sensíveis para nuvem de uso público.
  - Sinal: volume anômalo de upload por processo raro e destino novo em
    domínio de armazenamento externo.

Fase 5. Implantação e extorsão
  - Cifragem em massa, alteração de papel de parede e nota de resgate.
  - Sinal: criação de processos de cifragem simultâneos em múltiplos
    hosts e apagamento de shadow copies via vssadmin.
  - Publicação no site de vazamento com prazo de 5 dias e amostra de
    dados como prova.

Cada fase da cadeia é uma oportunidade de interrupção independente, e o desenho de detecção deve cobrir pelo menos três delas para tolerar falhas pontuais. O exercício mais produtivo com este fluxo é mapear, fase por fase, qual telemetria a organização já coleta, qual detecção existe e qual lacuna seria fechada primeiro, alimentando o ciclo de melhoria do grupo MAP do Framework CTH.

A consulta abaixo exemplifica a cobertura da fase 5, com detecção de apagamento de shadow copies, uma das ações mais confiáveis para disparar contenção imediata.

DeviceProcessEvents
| where Timestamp > ago(7d)
| where ProcessCommandLine has_any("vssadmin.exe", "wbadmin.exe", "bcdedit.exe")
        and ProcessCommandLine has_any("delete shadows", "delete catalog", "recoveryenabled no")
| project Timestamp, DeviceName, AccountName, ProcessCommandLine
| order by Timestamp desc

O padrão acima tem baixa prevalência legítima em ambiente corporativo com backup gerenciado, e qualquer ocorrência merece triagem prioritária. Variações do mesmo gabarito cobrem as fases 1 e 4, como autenticação em VPN de ASN inédito e upload anômalo para armazenamento externo. O objetivo prático é garantir que ao menos três fases da cadeia tenham telemetria e regra, para que a interrupção não dependa de acerto único.

7. Inteligência Aplicada ao Ecossistema RaaS

O ecossistema RaaS deixa rastro público observável, e a CI corporativa pode consumir esse rastro de forma estruturada dentro dos limites legais. A tabela abaixo resume as fontes usuais, o que cada uma observa e o uso típico no programa. A coleta precisa respeitar os termos de acesso, evitar interação com infraestrutura criminosa e seguir as regras de divulgação TLP, conforme as notas de Ética e de Marcos Legais do capítulo.

Dois produtos mensuráveis decorrem dessa vigilância. O primeiro é o cadastro vivo de carteis e afiliados relevantes para o setor da organização, com técnicas em uso e linhagem observada, que alimenta o TIP e as hipóteses de caça. O segundo é o índice de exposição de credenciais do domínio, medido mensalmente, que transforma o insumo mais barato da cadeia de ataque em métrica gerenciável e comunicável à diretoria.

A rotina recomendada é mensal e barata: revisar novos anúncios nos mercados monitorados, atualizar o cadastro de carteis com novidades de relatos públicos e reportar variações ao comitê. O erro a evitar é transformar essa vigilância em projeto permanente de alto custo, pois a informação do ecossistema RaaS tem meia-vida curta e valor decrescente com o tempo de processamento. Produtos curtos, frequentes e acionáveis vencem dossiês anuais enciclopédicos.

8. Erros Comuns e Pontos de Atenção

• Atribuir campanha pela assinatura do ransomware: a mesma marca tem dezenas de afiliados independentes, e a assinatura diz pouco sobre o operador; registre a fase de acesso e as TTPs do afiliado como chave analítica.
• Tratar backup como solução completa: com extorsão dupla e venda de dados, restauração não elimina dano regulatório e reputacional; o controle diferencial é bloqueio de exfiltração e segmentação.
• Ignorar o mercado de acessos: senhas roubadas por infostealers são o insumo mais barato da cadeia, e a organização precisa monitorar vazamentos de credenciais próprios com rotação obrigatória.
• Negociar sem estrutura: negociação conduzida por quem não tem mandato, registro e apoio jurídico piora o resultado e cria exposição legal; o papel do CI na extorsão é informar, não decidir.
• Acreditar que pagamento encerra o caso: dados podem ser vendidos mesmo após pagamento, e o acesso pode ter sido revendido; pós-incidente exige revalidação de identidades e monitoramento prolongado.
• Misturar playbooks de estatal e de ransomware: velocidade de contenção que salva um caso de ransomware pode expor uma investigação de espionagem; a triagem deve classificar o adversário antes de acionar o playbook.
• Encarar a queda de uma marca como fim da ameaça: afiliados migram para outras plataformas em dias, levando consigo acessos e técnica; a vigilância deve acompanhar o ecossistema, e não a marca.
• Tratar o leak site como fonte sem método: consultar sites de vazamento sem registro, TLP e base legal transforma vigilância em exposição; defina procedimento, responsável e evidência antes de começar.

9. Integração com o Restante da Biblioteca

Esta nota completa o contraste do ecossistema iniciado nas notas de Estados e de APTs, e três cruzamentos são inevitáveis. Com a resposta a incidentes do capítulo 13 do Framework CTH e com a nota de Redução de Dwell Time, a cadeia do afiliado define onde a detecção precisa existir para encurtar a janela. Com a nota de Dark Web e Fóruns do capítulo 02, o monitoramento de leak sites e de mercados de acesso vira fonte regular de inteligência aplicável. Com a nota de Attribution do capítulo 05, o caso do RaaS reforça que confiança de atribuição deve ser baixa por padrão quando o adversário é fungível por design.

Na dimensão de governança, a extorsão tripla transforma a resposta em crise multidisciplinar, e as notas de Responsabilidade Executiva e de Oversight da pasta "07 - Liderança e Governança" definem quem decide comunicação, pagamento e notificação com registro auditável. Na dimensão técnica, o fluxo da seção 6 alimenta hunts das notas de movimento lateral, de exfiltração e de persistência do capítulo 08, fechando o ciclo entre ecossistema de ameaças, telemetria e execução defensiva.