0 
0 QUANDO OS TELEFONES e as redes de computadores caíram nos três hospitais do Ridgeview Medical Center em 24 de outubro de 2020, o grupo médico recorreu a um post no Facebook para alertar seus pacientes sobre a interrupção. Um corpo de bombeiros local disse que ambulâncias estavam sendo desviadas para outros hospitais; funcionários relataram que pacientes e funcionários estavam seguros. O tempo de inatividade nas instalações médicas de Minnesota não foi uma falha técnica; relatórios rapidamente ligaram a atividade a uma das mais notórias gangues de ransomware da Rússia.
Milhares de quilômetros de distância, apenas dois dias depois, membros do grupo de crimes cibernéticos Trickbot se vangloriaram privadamente sobre o que os hospitais e prestadores de cuidados de saúde fazem de fácil alvo. “Você vê, quão rápido, hospitais e centros respondem”, target, um membro-chave da gangue de malware ligada à Rússia, se gabou em mensagens a um de seus colegas. A troca está incluída em documentos não relatados anteriormente, vistos pela WIRED, que consistem em centenas de mensagens enviadas entre membros da Trickbot e detalham o funcionamento interno do notório grupo de hackers. “Respostas do resto, [levar] dias. E do cume imediatamente a resposta voou”, escreveu Target.
Como o Target digitou, os membros do Trickbot estavam no meio do lançamento de uma enorme onda de ataques de ransomware contra hospitais nos Estados Unidos. Seu objetivo: forçar os hospitais ocupados a responder à pandemia covid-19 crescente para pagar rapidamente resgates. A série de ataques provocou alertas urgentes de agências federais, incluindo a Agência de Segurança cibernética e infraestrutura e o Federal Bureau of Investigation. “Fodam-se clínicas nos EUA esta semana”, disse Target ao dar a instrução para começar a direcionar uma lista de 428 hospitais. “Vai haver pânico.”
Os documentos vistos pela WIRED incluem mensagens entre membros seniores da Trickbot, datadas do verão e outono de 2020, e expõem como o grupo planejava expandir suas operações de hackers. Eles colocam pseudônimos de membros-chave e mostram a atitude implacável dos membros da gangue criminosa.
As mensagens foram enviadas nos meses anteriores e pouco depois que o Comando Cibernético dos EUA interrompeu grande parte da infraestrutura da Trickbot e interrompeu temporariamente o trabalho do grupo. Desde então, o grupo ampliou suas operações e evoluiu seu malware, e continua a atingir empresas em todo o mundo. Embora o Serviço Federal de Segurança da Rússia tenha recentemente prendido membros da gangue de ransomware REvil — após esforços diplomáticos entre os presidentes Joe Biden e Vladimir Putin — o círculo interno de Trickbot foi até agora deixado relativamente ileso.
“Eles estão tentando infectar o maior número possível de pessoas.”
LIMOR KESSEM, IBM SECURITY
O grupo Trickbot evoluiu do trojan bancário Dyre no final de 2015, quando os membros de Dyre foram presos. A gangue cresceu seu trojan bancário original para se tornar um kit de ferramentas de hackers para todos os fins; módulos individuais, que operam como plugins, permitem que seus operadores implantem ransomware Ryuk e Conti, enquanto outras funções permitem o registro de chaves e a coleta de dados. “Não conheço nenhuma outra família de malware que tenha tantos módulos ou funcionalidades estendidas”, diz Vlad Pasca, analista sênior de malware da empresa de segurança Lifars, que descompilou o código da Trickbot. Essa sofisticação ajudou a gangue, também conhecida como Aranha Mago, a receber milhões de dólares das vítimas.
Uma equipe central de cerca de meia dúzia de criminosos está no centro das operações de Trickbot, de acordo com os documentos revisados pela WIRED e especialistas em segurança que acompanham o grupo. Cada membro tem suas próprias especialidades, como gerenciar equipes de codificadores ou liderar implantações de ransomware. À frente da organização está Stern. (Como todos os apelidos usados nesta história, o nome do mundo real, ou nomes, por trás das alças são desconhecidos. São, no entanto, as identidades que o grupo usa quando conversam entre si.)
“Ele é o chefe da Trickbot”, diz Alex Holden, que é CEO da empresa de segurança cibernética Hold Security e tem conhecimento do funcionamento da quadrilha. Stern age como um CEO do grupo Trickbot e se comunica com outros membros que estão em um nível semelhante. Eles também podem se reportar a outros desconhecidos, diz Holden. “Stern não entra tanto na parte técnica”, diz ele. “Ele quer relatórios. Ele quer mais comunicação. Ele quer tomar decisões de alto nível.
Em 20 de agosto de 2020, os registros de bate-papo — fornecidos por uma fonte de segurança cibernética com conhecimento do grupo — mostram o target briefing Stern sobre como o grupo se expandiria nas próximas semanas. “Haverá 6 escritórios com certeza e 50 a 80 pessoas até o final de setembro”, disse Target em uma de uma enxurrada de 19 mensagens. Acredita-se que esses escritórios estejam sediados na segunda maior cidade da Rússia, São Petersburgo. Kimberly Goody, diretora de análise de crimes cibernéticos da empresa de segurança Mandiant, diz que o grupo “muito provavelmente” tem uma presença significativa lá. Estimativas atuais dizem que trickbot tem entre 100 e 400 membros, tornando-se um dos maiores grupos de crimes cibernéticos existentes.
Mensagens entre Target e Stern mostram que em meados de 2020 o grupo estava gastando dinheiro em três áreas principais. Dois escritórios — um principal e um novo para treinamento — estavam sendo usados para as despesas e expansão dos operadores atuais. “Escritórios de hackers”, onde mais de 20 pessoas trabalhavam, seriam usados para entrevistas, equipamentos, servidores e contratações, disse Target. E, finalmente, haveria um escritório para programadores e seus equipamentos. “Um bom líder de equipe já foi contratado, e ele ajudará a reunir a equipe”, continuou Target. “Tenho certeza que tudo vai valer a pena, então não estou nervoso.”
Ao longo das conversas vistas pela WIRED, o grupo faz várias referências a “gerentes seniores” que trabalham como parte da Trickbot e sua estrutura empresarial. “Geralmente há uma equipe central de desenvolvedores”, explica Goody. “Há um gerente que supervisiona o trabalho de desenvolvimento, e eles têm codificadores que trabalham sob eles em projetos específicos.” Os membros do grupo são encorajados a propor ideias, como novos scripts ou malware, em que os desenvolvedores poderiam trabalhar, diz Goody, e geralmente os trabalhadores de nível inferior não falam com seus colegas seniores. A maioria das conversas internas do grupo, de acordo com várias fontes — incluindo documentos judiciais dos EUA — acontecem através de mensagens instantâneas nos servidores Jabber.
Um membro de gangue que passa pelo apelido Professor supervisiona grande parte do trabalho de implantação de ransomware, diz Goody. “O professor, que acreditamos também atende pelo nome Alter, parece ser um player relativamente significativo em termos de gerenciar essas operações específicas de implantação de ransomware”, diz Goody, “além de solicitar o desenvolvimento de ferramentas específicas que ajudem a habilitá-las”. Ela acrescenta que o Professor foi ligado às operações de ransomware Conti no último ano e “parece liderar várias subessoas ou tem vários líderes de equipe” que se reportam a eles.
Essa não seria a única relação de trabalho que a equipe de Trickbot tem com festas externas. Nas conversas vistas pela WIRED, a Target diz que o grupo “aprenderá a colaborar” com aqueles por trás do ransomware Ryuk, indicando que as duas organizações estão em grande parte separadas. E embora o grupo Trickbot não tenha sido ligado a operações de hackers dirigidas pelo Estado russo — como as atividades de Sandworm — os principais membros da gangue fazem referência às atividades apoiadas pelo Kremlin. Stern mencionou a criação de um escritório “para temas governamentais” em julho de 2020. Em resposta, o professor disse que o grupo de hackers Cozy Bear está “trabalhando seu caminho para baixo da lista” de potenciais alvos Covid-19.
Em um conjunto de conversas internas, target responde perguntas de um membro do grupo que está preocupado em ser pego. A pessoa está preocupada que os colegas possam expor suas localizações, através do vazamento de seus endereços IP, quando não usam uma VPN para mascarar seu paradeiro. O Target diz que a exposição ao endereço IP não deve ser um problema: “Aqui é garantido que ninguém vai tocar em você e você provavelmente não vai voar em algum lugar de qualquer maneira.”
Antes das prisões do REvil, o Kremlin e as autoridades russas passaram anos permitindo que grupos de ransomware que se acredita estarem sediados no país operassem com relativa impunidade. “Parece haver uma separação muito deliberada e não-ataques de quaisquer interesses russos por Trickbot, Ryuk, Emotet e Conti porque eles não querem confronto com o governo”, diz Holden. No entanto, nem todos os membros do Trickbot estão na Rússia. As conversas entre o grupo visto pela WIRED revelam que pelo menos dois membros parecem estar sediados na Bielorrússia — durante o verão de 2020, quando a Bielorrússia fechou a internet Stern disse que um membro, um codificador chamado Hof, não estaria online até que “o problema da internet na Bielorrússia seja resolvido”.
Essas trocas provavelmente compreendem apenas um pequeno elemento das interações do grupo. Alguns detalhes do funcionamento interno da TrickBot também foram revelados em junho e outubro de 2021, quando o Departamento de Justiça dos EUA não sela e não redigido acusações contra dois supostos membros do Trickbot, Alla Witte e Vladimir Dunaev. A acusação, que também abrange outros membros anônimos do grupo Trickbot, se concentra no hackeamento e lavagem de dinheiro do grupo, mas também fornece trechos de conversas. Goody diz que alguns canais privados de comunicação podem conter dezenas de membros do grupo.
Codificadores e desenvolvedores recrutados pela Trickbot são atraídos por postagens de emprego em fóruns da dark web, mas também em sites freelancers em língua russa abertos, diz a acusação do DOJ. Embora muitos dos anúncios de emprego estejam escondidos à vista de todos, eles não dizem explicitamente que candidatos bem-sucedidos trabalharão para um dos grupos cibernéticos mais cruéis do mundo. Um anúncio de trabalho que a acusação aponta para chamadas para alguém que é um engenheiro reverso experiente e conhece a linguagem de codificação C++. O anúncio, que já expirou há muito tempo, diz que o trabalho foi focado em navegadores da Web no Windows, envolveu trabalhar remotamente e tinha um orçamento de US $ 7.000. Uma posição de longo prazo seria potencialmente possível se o trabalho fosse concluído com sucesso, diz o anúncio.
Holden diz que a Trickbot usa várias camadas durante seu processo de contratação, em um esforço para eliminar aqueles sem as habilidades técnicas necessárias, e também empresas de cibersegurança que tentam reunir inteligência. Qualquer pessoa que se inscreva para o trabalho tem que passar por uma triagem inicial antes de passar para testes de habilidades difíceis, diz ele. “As questões são muito complexas tecnologicamente”, explica. Goody acrescenta que os testadores de penetração que trabalham para o grupo podem receber US$ 1.500 por mês, mais uma parte dos resgates que são pagos.
Durante o processo de recrutamento, diz Holden, é “reconhecido” que estes não são papéis cotidianos. Holden diz ter visto anúncios que dizem a potenciais recrutas que trabalharão para uma startup envolvida em recompensas por bugs, e que a maior parte de seu financiamento vem do exterior. “A maioria entende que isso é blackhat e pedindo o alvo comercial”, dizem as conversas de Trickbot dentro da acusação do DOJ, referindo-se a atividades criminosas de hackers. Precisamos parar de nos comunicar com.
Os dois supostos membros do Trickbot nomeados pelo DOJ — Witte e Dunaev — foram presos pela polícia fora da Rússia. Witte, um letão de 55 anos que morava no Suriname, foi preso em junho de 2021 enquanto viajava para Miami e é acusado de 19 acusações que vão de roubo de identidade a fraude bancária. Ela é acusada de ser um dos desenvolvedores de malware da Trickbot e supostamente se expôs depois de hospedar o malware de Trickbot em seu nome de domínio pessoal. Dunaev, 38, foi extraditado da República da Coreia para Ohio em outubro de 2021 e também é acusado de desenvolver o malware de Trickbot.
Apesar das prisões e da repressão mais ampla de ransomware na Rússia, o grupo Trickbot não se escondeu. No final do ano passado, o grupo impulsionou suas operações, diz Limor Kessem, conselheiro executivo de segurança da IBM Security. “Eles estão tentando infectar o maior número possível de pessoas contraindo a infecção”, diz ela. Desde o início de 2022, a equipe de segurança da IBM tem visto a Trickbot aumentar seus esforços para escapar das proteções de segurança e ocultar sua atividade. O FBI também ligou formalmente o uso do ransomware Diavol ao Trickbot no início do ano. “Trickbot não parece estar mirando muito especificamente; Acho que o que eles têm são numerosos afiliados trabalhando com eles, e quem traz mais dinheiro é bem-vindo para ficar”, diz Limor.
Holden também diz ter visto evidências de que Trickbot está aumentando suas operações. “No ano passado, eles investiram mais de US$ 20 milhões em sua infraestrutura e crescimento de sua organização”, explica ele, citando mensagens internas que viu. Esse dinheiro, diz ele, está sendo gasto em tudo que Trickbot faz. “Pessoal, tecnologia, comunicações, desenvolvimento, extorsão” estão recebendo investimento extra, diz ele. A mudança aponta para um futuro onde , após a derrubada do REvil , o grupo Trickbot pode se tornar a principal gangue de crimes cibernéticos ligados à Rússia. “Você expande na esperança de recuperar esse dinheiro em espadas”, diz Holden. “Não é como se eles estivessem planejando fechar a loja. Não é como se eles estivessem planejando reduzir o tamanho ou correr e se esconder.”
FONTE: WIRED