Desmascarada quadrilha brasileira de malware que atua de longa data

Há mais de oito anos, nossos pesquisadores seguem no encalço de uma operação que tem como alvo os usuários de Internet no Brasil, roubando suas credenciais bancárias, realizando transações não autorizadas e fazendo saques das contas das vítimas. Segue um resumo da história.

O ISP white hat que mudou de lado

Nos idos de 2015, enquanto Mark Zuckerberg se ocupava em divulgar que o Facebook havia ultrapassado um bilhão de usuários, uma empresa da IBM, a SoftLayer, enfrentava um aumento desproporcional em sua presença nas listagens da Spamhaus.

A SoftLayer era vista como um provedor de serviços de internet (ISP) responsável. Contudo, mais para o fim daquele ano, eles chegaram ao perturbador (e deprimente) primeiro lugar na lista da Spamhaus dos Top 10 ISPs mais explorados.

Deixe-nos quantificar “aumento desproporcional”: naquela época, os ISPs responsáveis apareciam entre 20 e 200 listagens, e qualquer frequência que ultrapassasse essa métrica classificaria a rede como irresponsável. Seguindo o gráfico abaixo, você vai notar que a SoftLayer despontou em mais de 12.000 listagens, quando atingiu seu pico de entradas. Na época, isso pareceu inusitado para nossos pesquisadores. O que estava acontecendo com a SoftLayer? Por que esse ISP white hat de repente se tornara nocivo?

Gráfico 1. Número de IPs listados, incluindo adicionados e removidos — julho a outubro de 2015

Desvendando a sórdida atuação de uma quadrilha de malware direcionada

Os pesquisadores da Spamhaus investigaram, e ficou evidente que aquela proliferação de listagens era resultado da seguinte atividade:

• Os IPs da SoftLayer estavam sendo usados para enviar malspam (muitos malspams).
• Os e-mails usados nas campanhas de spam eram coletados de usuários em todo o mundo, mas…
• O alvo das campanhas era, especificamente, usuários brasileiros.
• As campanhas ludibriavam as vítimas no Brasil a baixar e instalar um malware.

Assim que nossos pesquisadores determinavam os nomes das empresas atribuídas aos intervalos de endereços IP explorados, eles eram recolocados em uso por uma empresa diferente. Contudo, não era uma empresa diferente — eram as mesmas pessoas, enviando o mesmo malware. Isso ocorria diariamente. Às vezes, esses nomes de empresas brasileiras falsas, mas totalmente plausíveis, mudavam várias vezes ao dia.

A SoftLayer respondeu prontamente aos relatórios da Spamhaus sobre usos indevidos, mas assim que o ISP remediava os endereços IP relatados, eles eram rapidamente reatribuídos ao mesmo operador malicioso. A situação logo começou a virar um jogo frenético de gato e rato.

O círculo vermelho no gráfico indica que, a princípio, a SoftLayer achou que havia controlado a situação, quando sua presença nas listagens começou a declinar, para então começar a subir de novo. Nesse ponto, a Spamhaus decidiu parar de remover as entradas até que a SoftLayer adotasse alguma medida para assegurar que aquele cenário não continuasse.

E que medida foi essa?

Bloquear a porta 25.

Há anos, a Spamhaus vem recomendando aos ISPs que desabilitem a porta 25 em seus roteadores e firewalls. Isso não impede que os softwares de correio eletrônico funcionem normalmente; porém, evita que conexões abusivas sejam estabelecidas pela rede dos ISPs. Leia mais nas Perguntas frequentes [[https://www.spamhaus.org/faq/section/Hacked…%20Here%27s%20help#537]

Alguns anos atrás, a Spamhaus trabalhou com a Amazon, que estava lutando contra o abuso de sua rede e resolveu o problema bloqueando a porta 25.

Assim que a SoftLayer tomou essa medida, sua presença nas listas despencou, como ilustra o gráfico acima. Como esse ISP se tornou, de repente, o canal de operações preferencial para hospedar malspams, não podemos afirmar com total certeza. Contudo, suspeitamos que isso aconteceu porque relaxaram nos processos de averiguação (na maioria dos casos, é esse o motivo que leva a registros fraudulentos). Talvez a SoftLayer estivesse apostando no crescimento rápido no mercado brasileiro.

Tudo bem quando termina bem?

Infelizmente, não nesse caso. Ainda que a SoftLayer não tenha passado por outras crises de listagem, a operação em questão se mantém viva e atuante e continua a infernizar os usuários brasileiros.

Mesmo que suas atividades apresentem altos e baixos — o que é geralmente o caso dos agentes mal-intencionados —, seu modus operandi se mantém constante, trabalhando com cavalos de troia bancários combinados com táticas de phishing para atingir os bancos brasileiros.

Modos de operar

Normalmente, a operação é enviada a partir de IPs dedicados usando domínios dedicados e descartáveis como nomes de host. Recentemente, observamos algumas campanhas que utilizam nomes de host em recursos DNS dinâmicos — tomemos como exemplo o DynDNS.

Esse malware opera com prudência para assegurar que o DNS reverso (rDNS) corresponda ao nome de host que utiliza para o envio. No caso dos recursos DynDNS, a resolução do DNS direto para o nome de host em si dura apenas o tempo necessário para o envio da campanha: assim que o envio acaba, acaba também a existência do nome de host. Isso dificulta ainda mais a identificação dos recursos antes que o envio comece, fazendo com que as defesas contra esses operadores sejam meramente reativas.

O impacto humano

Essa quadrilha de malware (como um todo) criou, com grande perícia, um conteúdo que parece legítimo, na forma de faturas, multas e até mesmo intimações de oficiais de justiça, no intuito de atiçar a curiosidade e a preocupação das vítimas com comunicados provocativos que as façam abrir o documento. Essas táticas tornam excepcionalmente difícil para as pessoas que não são peritas em cibernética diferenciarem esse conteúdo do conteúdo real.

Entretanto, o impacto financeiro do cavalo de troia bancário pode levar a vítima à ruína. Na pior das hipóteses, os cibercriminosos podem conseguir acesso completo à conta bancária da vítima e levar todo o seu dinheiro. Para a maioria dos bancos na Europa e nos Estados Unidos, se você for vítima de um cavalo de troia, a responsabilidade é sua, e o banco não lhe dará nenhum suporte.

Infelizmente, as atividades desse organismo de malware não dão sinais de enfraquecimento.