0 
0 No início desta semana, um pesquisador de segurança ucraniano vazou quase dois anos de registros de bate-papo interno da Conti, uma das gangues de ransomware mais acirrasas e implacáveis em operação hoje. A reportagem de terça-feira analisou como Conti lidou com suas próprias violações internas e ataques de empresas de segurança privada e governos. Na parte II desta série vamos explorar como é trabalhar para Conti, como descrito pelos próprios funcionários da Conti.
Os bate-papos do grupo Conti revelam muito sobre sua estrutura interna e hierarquia. Conti mantém muitas das mesmas unidades de negócios como uma empresa legítima, de pequeno a médio porte, incluindo um departamento de Recursos Humanos que é responsável por entrevistar constantemente potenciais novas contratações.
Outros departamentos da Conti com seus próprios orçamentos distintos, agendas de funcionários e liderança sênior incluem:
–Codificadores: Programadores contratados para escrever códigos maliciosos, integrar tecnologias diferentes –Testadores: Trabalhadores encarregados
de testar malware Conti contra ferramentas de segurança e ofuscará-lo
–Administradores: Trabalhadores encarregados de configurar, derrubar servidores, outra infraestrutura
de ataque –Engenheiros reversos: Aqueles que podem desmontar código de computador, estudá-lo, encontrar vulnerabilidades ou fraquezas
– Testes de penetração/hackers: Aqueles na linha de frente lutando contra equipes de segurança corporativas para roubar dados e plantar ransomware.
Conti parece ter contratado grande parte de suas operações de spam, ou pelo menos não houve menção de “Spammers” como funcionários diretos. Os líderes de Conti parecem ter estabelecido orçamentos rigorosos para cada uma de suas unidades organizacionais, embora ocasionalmente emprestassem fundos alocados para um departamento para atender às necessidades urgentes de fluxo de caixa de outra.
Muitas das conversas mais reveladoras sobre a estrutura de Conti estão entre “Mango” – um gerente de nível médio da Conti a quem muitos outros funcionários da Conti relatam todos os dias — e “Stern“, uma espécie de mestre de tarefas cantankerous que pode ser visto constantemente precisando da equipe para relatórios sobre seu trabalho.
Em julho de 2021, Mango disse a Stern que o grupo estava colocando anúncios em vários fóruns de crimes cibernéticos em língua russa para contratar mais trabalhadores. “O salário é de US$ 2 mil no anúncio, mas há muitos comentários de que estamos recrutando escravos da galera”, escreveu Mango. “É claro que contestamos isso e dizemos que aqueles que trabalham e trazem resultados podem ganhar mais, mas há exemplos de codificadores que trabalham normalmente e ganham $5-$10 mil de salário.”
Os chats da Conti mostram que a gangue manteve principalmente o controle sobre os bots de vítimas infectados com seus malwares através das plataformas trickbot e emotet crimeware-as-a-service, e que empregava dezenas de pessoas para testar, manter e expandir continuamente essa infraestrutura 24 horas por dia, 7 dias por semana.
Membros da Conti referiram-se a Emotet como “Booz” ou “Buza“, e é evidente ao ler esses registros de bate-papo que Buza tinha seu próprio estábulo de mais de 50 codificadores, e provavelmente muito da mesma estrutura organizacional que Conti.
De acordo com Mango, a partir de 18 de julho de 2021, a gangue Conti empregava 62 pessoas, a maioria codificadores de malware de baixo nível e testadores de software. No entanto, a lista de funcionários de Conti parece ter flutuado descontroladamente de um mês para o outro. Por exemplo, em várias ocasiões, a organização foi forçada a demitir muitos funcionários como precaução de segurança na esteira de suas próprias violações de segurança interna.
Em maio de 2021, Stern disse a Mango que queria que seus subalheiros contratassem mais 100 “codificadores” para trabalhar com o malware do grupo antes que a maior parte da gangue retornasse de suas férias de verão na Crimeia. A maioria desses novos contratados, diz Stern, se juntará às equipes de teste de penetração/hacking lideradas pelos líderes conti “Hof” e “Reverse“. Tanto Hof quanto Reverse parecem ter acesso direto à plataforma de crimeware Emotet.
Em 30 de julho de 2021, Mango informa que a folha de pagamento aumentou para 87 funcionários assalariados, com mais contratações a caminho. Mas tentar medir com precisão o tamanho da organização Conti é problemático, em parte porque especialistas em segurança cibernética há muito tempo sustentam que Conti é apenas uma remarcação de outra variedade de ransomware e programa de afiliados conhecido como Ryuk.
Visto pela primeira vez em 2018, Ryuk era tão implacável e mercenário quanto Conti, e o FBI diz que no primeiro ano de sua operação Ryuk ganhou mais de US $ 61 milhões em pagamentos de resgate.
“Conti é uma versão direcionada de Ryuk, que vem de Trickbot e Emotet que estamos monitorando há algum tempo”, escreveram pesquisadores da Palo Alto Networks sobre Ryuk no ano passado. “Um foco pesado foi colocado nos sistemas hospitalares, provavelmente devido à necessidade de tempo de atividade, já que esses sistemas estavam sobrecarregados com o manuseio da pandemia COVID-19 em curso. Observamos pedidos iniciais de resgate de Ryuk que variam de US$ 600.000 a US$ 10 milhões em vários setores.”
Em 14 de maio de 2021, o Executivo de Serviços de Saúde da Irlanda (HSE) sofreu um grande ataque de ransomware nas mãos de Conti. O ataque interromperia os serviços em vários hospitais irlandeses, e resultou na paralisação quase completa das redes nacionais e locais do HSE, forçando o cancelamento de muitos ambulatórios e serviços de saúde. O HSE demorou até 21 de setembro de 2021 para restaurar totalmente todos os seus sistemas do ataque, a um custo estimado de mais de US$ 600 milhões.
Ainda não está claro lendo esses bate-papos quantos funcionários de Conti entenderam o quanto das operações da organização se sobrepuseram à de Ryuk. Lawrence Abrams, da Bleeping Computer, apontou para um bate-papo conti de outubro de 2020 no qual o representante da Emotet “Buza” posta um link para a análise de uma empresa de segurança sobre o retorno de Ryuk.
“Professor“, o apelido escolhido por um dos generais mais graduados de Conti, responde que, de fato, as ferramentas, técnicas e procedimentos de Ryuk são quase idênticos aos de Conti.
“adf.bat — este é o meu arquivo em lote”, escreve o professor, evidentemente surpreso por ter lido a análise e manchado seu próprio código sendo reutilizado em ataques de ransomware de alto perfil por Ryuk.
“Parece que [os] mesmos gerentes estavam executando tanto Ryuk quanto Conti, com uma migração lenta para Conti em junho de 2020”, escreveu Abrams no Twitter. “No entanto, com base em bate-papos, alguns afiliados não sabiam que Ryuk e Conti eram dirigidos pelas mesmas pessoas.”
ATRITO
Cada funcionário da Conti recebeu uma semana de trabalho específica de 5 dias, e os horários dos funcionários foram escalonados para que algum número de funcionários estivesse sempre à disposição 24 horas por dia, 7 dias por semana, para resolver problemas técnicos com a botnet, ou para responder às negociações de resgate iniciadas por uma organização vítima.
Como inúmeras outras organizações, a Conti fez sua folha de pagamento nos dias 1º e 15 de cada mês, ainda que sob a forma de depósitos de Bitcoin. A maioria dos empregados recebia de US$ 1.000 a US$ 2.000 mensais.
No entanto, muitos funcionários usaram a sala de bate-papo conti para desabafar sobre dias de trabalho a fio sem dormir ou pausas, enquanto os gerentes superiores ignoraram seus repetidos pedidos de folga.
De fato, os registros indicam que Conti lutou para manter um número constante de programadores, testadores e administradores diante de um trabalho em sua maioria cansativo e repetitivo que não pagava muito bem (particularmente em relação aos ganhos da liderança do grupo). Além disso, alguns dos principais membros do grupo estavam sendo abertamente abordados para trabalhar para organizações de ransomware concorrentes, e a moral geral do grupo parecia flutuar entre os dias de pagamento.
Talvez sem surpresas, a taxa de rotatividade, atrito e burnout era bastante alta para funcionários de baixo nível da Conti, o que significa que o grupo foi forçado a recrutar constantemente novos talentos.
“Nosso trabalho geralmente não é difícil, mas monótono, fazendo a mesma coisa todos os dias”, escreveu “Bentley“, o apelido escolhido pelo funcionário chave da Conti aparentemente encarregado de “criptografar” o malware do grupo — garantindo que ele não seja detectado por todos ou pelo menos a maioria dos produtos antivírus no mercado.
Bentley estava se dirigindo a um novo contratado conti – “Idgo” – contando-lhe sobre seus deveres diários.
“Basicamente, isso envolve o lançamento de arquivos e a verificação deles de acordo com o algoritmo”, explica Bentley ao Idgo. “Enquete comunicação com o codificador para receber arquivos e enviar relatórios para ele. Também comunicação com o criptor para enviar o conjunto testado para a cripta. Em seguida, testando a cripta. Se os jambs aparecerem nesta fase, então enviando relatórios para o criptor e trabalhando com ele. E, como resultado – a emissão da cripta acabada para o parceiro.”
Bentley alertou que esse teste de seu malware deve ser repetido aproximadamente a cada quatro horas para garantir que qualquer novo recurso de detecção de malware adicionado ao Windows Defender — o serviço de segurança e antivírus incorporado no Windows — não interfira em seu código.
“Aproximadamente a cada 4 horas, uma nova atualização dos bancos de dados do Defender é liberada”, disse Bentley ao Idgo. “Você precisa trabalhar por 8 horas antes de 20-21 hora de Moscou. E o avanço na carreira é possível.” Idgo concorda, observando que ele começou a trabalhar para Conti um ano antes, como um testador de código.
OBSERVAÇÕES
Os registros mostram que a gangue Conti é extremamente boa em encontrar rapidamente muitas potenciais novas vítimas de ransomware, e os registros incluem numerosos debates internos dentro da liderança de Conti sobre quanto certas empresas vítimas devem ser forçadas a pagar. Eles também mostram com precisão aterrorizante como um grande grupo de crimes cibernéticos organizado pode girar de um único PC comprometido para possuir completamente uma empresa da Fortune 500.
Como uma máquina de matar “grande jogo” bem equipada, Conti é talvez incomparável entre grupos de ransomware. Mas os registros internos de bate-papo mostram que esse grupo está precisando seriamente de algumas ferramentas de gerenciamento e rastreamento de fluxo de trabalho. Isso porque, uma e outra vez, a gangue Conti perdeu o controle sobre inúmeros bots – todas as fontes potenciais de receita de resgate que ajudarão a pagar os salários dos funcionários por meses – por causa de um simples descuido ou erro.
Apimentados ao longo dos chats Conti vazados – cerca de várias vezes por semana – estão implorando a vários funcionários encarregados de manter os ativos digitais em expansão e em constante mudança que suportam a operação de ransomware do grupo. Essas mensagens invariavelmente se relacionam com faturas vencidas para vários servidores virtuais, registros de domínio e outros recursos baseados em nuvem.
Em 1º de março de 2021, um funcionário de baixo nível da Conti chamado “Carter” diz que o fundo bitcoin usado para pagar assinaturas de VPN, licenças de produtos antivírus, novos servidores e registros de domínio é curto $ 1.240 em Bitcoin.
“Olá, estamos sem bitcoins, quatro novos servidores, três assinaturas de vpn e 22 renovações estão fora”, escreveu Carter em 24 de novembro de 2021. “Duas semanas antes das renovações por US$ 960 em bitcoin 0,017. Por favor, envie alguns bitcoins para esta carteira, obrigado.”
“Esqueci de pagar pelo domínio da âncora e, como resultado, ao tentar renová-lo foi abusado e nós /provavelmente/ fodemos os bots”, escreveu Carter a Stern em 23 de setembro de 2020.
Como parte da pesquisa para esta série, o KrebsOnSecurity passou muitas horas lendo cada dia dos registros de bate-papo de Conti que remontam a setembro de 2020. Eu gostaria de ter muitas dessas horas de volta: Grande parte das conversas são alucinantemente chat e conversa de loja. Mas, no geral, saí com a impressão de que Conti é uma organização cibernética altamente eficaz – se também notavelmente ineficiente – .
Parte da natureza desorganizada de Conti é provavelmente endêmica na indústria de crimes cibernéticos, que é naturalmente composta por criminosos que provavelmente estão acostumados a um estilo de vida menos regimentado. Mas não se engane: à medida que coletivos de ransomware como a Conti continuam a aumentar os pagamentos das organizações vítimas, haverá uma pressão crescente sobre esses grupos para reforçar suas operações e trabalhar de forma mais eficiente, profissional e lucrativa.
“Temos todas as oportunidades e condições, só precisamos ser mais profissionais”, escreveu Mango Stern em 27 de agosto de 2021. “E temos constantemente um ou outro: ou escrevemos bobagens em bate-papos, ou não respondemos pacientes [vítimas] por meio dia. Naturalmente, nossos afiliados estão nervosos depois disso.”
Fique ligado para a Parte III desta série, que analisará como Conti garantiu acesso ao armamento cibernético necessário para subverter a segurança de seus alvos, bem como como os líderes da equipe abordaram negociações de resgate com suas vítimas.
FONTE: KREBS ON SECURITY