{"id":6571,"date":"2016-09-27T01:51:10","date_gmt":"2016-09-26T22:51:10","guid":{"rendered":"https:\/\/kasperskydaily.com\/brazil\/?p=6571"},"modified":"2019-11-22T07:30:35","modified_gmt":"2019-11-22T10:30:35","slug":"bye-bye-lurk","status":"publish","type":"post","link":"https:\/\/www.kaspersky.com.br\/blog\/bye-bye-lurk\/6571\/","title":{"rendered":"Como ajudamos a capturar uma gangue de ransomware"},"content":{"rendered":"<p>Talvez o maior problema com cibercriminosos \u00e9 que eles s\u00e3o extremamente dif\u00edceis de prender. Pense em ladr\u00f5es de banco do mundo concreto com armas e m\u00e1scaras \u2013 os ladr\u00f5es deixam impress\u00f5es digitais; suas vozes s\u00e3o gravadas por c\u00e2meras de seguran\u00e7a; a pol\u00edcia pode seguir seus carros com c\u00e2meras de tr\u00e2nsito e por a\u00ed vai. Tudo isso favorece a possibilidade dos investigadores encontrarem os culpados. Contudo, quando cibercriminosos executam um roubo, eles deixam\u2026 basicamente, nada. Nenhuma pista.<\/p>\n<p>Ainda assim, algumas vezes eles s\u00e3o pegos. Lembra-se do <a href=\"https:\/\/www.kaspersky.com.br\/blog\/o-quarteto-dos-crimes-bancarios\/1512\/\" target=\"_blank\" rel=\"noopener\">banking Trojan SpyEye<\/a>? Seus criadores foram capturados em 2011. Lembra do grupo Carberp, ativo entre 2010 e 2012? Atr\u00e1s das grades tamb\u00e9m. E o exploit Angler que <a href=\"https:\/\/threatpost.com\/nuclear-angler-exploit-kit-activity-has-disappeared\/118842\/\" target=\"_blank\" rel=\"noopener nofollow\">simplesmente sumiu<\/a> no final de junho? O Lurk malware parou seus ataques na mesma \u00e9poca, pois o grupo por tr\u00e1s da atividade criminosa tamb\u00e9m <a href=\"https:\/\/securelist.com\/analysis\/publications\/75944\/the-hunt-for-lurk\/\" target=\"_blank\" rel=\"noopener\">foi capturado<\/a>, com o aux\u00edlio de uma parceria entre as autoridades russas e a Kaspersky Lab.<\/p>\n<p>A hist\u00f3ria come\u00e7ou ainda em 2011, quando encontramos o Lurk pela primeira vez. O que nos chamou a aten\u00e7\u00e3o foi o fato que um banking Trojan qualquer foi classificado em nosso sistema como um trojan que poderia ser usado para muita coisa, mas n\u00e3o roubar dinheiro. Foi a\u00ed que analisamos mais de perto.<\/p>\n<p>A investiga\u00e7\u00e3o quase n\u00e3o deu em nada \u2013 o Trojan parecia inofensivo. Mas os ataques continuaram, e nossos analistas foram capazes de obter mais amostras para an\u00e1lise.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"pt\" dir=\"ltr\">Quer saber mais sobre <a href=\"https:\/\/twitter.com\/hashtag\/ransomware?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#ransomware<\/a>? | <a href=\"https:\/\/t.co\/L4HoYMAdXi\" target=\"_blank\" rel=\"noopener nofollow\">https:\/\/t.co\/L4HoYMAdXi<\/a> <a href=\"https:\/\/t.co\/auu6WbyVF8\" target=\"_blank\" rel=\"noopener nofollow\">pic.twitter.com\/auu6WbyVF8<\/a><\/p>\n<p>\u2014 Kaspersky Brasil (@Kasperskybrasil) <a href=\"https:\/\/twitter.com\/Kasperskybrasil\/status\/779427655598866433?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">September 23, 2016<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Durante esse tempo, aprendemos muito sobre o Lurk. Por exemplo, ele possu\u00eda estrutura modular: quando o Trojan detectava ter infectado um computador com um software de remote banking, ele baixava a ordem de pagamento maliciosa, respons\u00e1vel pelo roubo de dinheiro. Por isso, nosso sistema de nomea\u00e7\u00e3o n\u00e3o definiu o Lurk como um banking trojan \u2013 a ordem de pagamento ainda n\u00e3o estava l\u00e1.<\/p>\n<p>Tamb\u00e9m descobrimos que o Lurk evitava deixar qualquer rastro no disco r\u00edgido, trabalhando apenas na mem\u00f3ria RAM do computador infectado. Isso o tornou ainda mais dif\u00edcil de rastrear. Os criadores do Lurk tamb\u00e9m usavam criptografia aqui e ali para favorecer a oculta\u00e7\u00e3o. Seus <a href=\"https:\/\/en.m.wikipedia.org\/wiki\/Command_and_control_(malware)\" target=\"_blank\" rel=\"noopener nofollow\">servidores de comando e controle<\/a> eram hospedados em dom\u00ednios registrados com dados de registro falsos. O software, tanto o pr\u00f3prio Lurk quanto as ordens de pagamento maliciosas, mudavam constantemente, sendo moldados especificamente de um banco para o outro.<\/p>\n<p>Os criadores do Lurk foram cuidadosos -deve existir um time de profissionais por tr\u00e1s de um malware com tal complexidade. Ainda assim, profissionais n\u00e3o passam de pessoas, e\u00a0cometem erros. Esses enganos\u00a0nos forneceram as informa\u00e7\u00f5es que permitiram achar os autores.<\/p>\n<p>No fim, o Lurk foi criado e era mantido por um grupo de 15 pessoas,embora na \u00e9poca em que as atividades foram cessadas, esse n\u00famero havia crescido para 40. Eles tinham dois projetos: o malware em si e a botnet usada para sua distribui\u00e7\u00e3o. Cada projeto possu\u00eda sua pr\u00f3pria equipe.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"pt\" dir=\"ltr\">Proteja sua empresa contra <a href=\"https:\/\/twitter.com\/hashtag\/ransomware?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#ransomware<\/a> com nossa ferramenta gratuita | <a href=\"https:\/\/t.co\/rHPTzQgmtk\" target=\"_blank\" rel=\"noopener nofollow\">https:\/\/t.co\/rHPTzQgmtk<\/a> <a href=\"https:\/\/t.co\/ENSBaHD5qk\" target=\"_blank\" rel=\"noopener nofollow\">pic.twitter.com\/ENSBaHD5qk<\/a><\/p>\n<p>\u2014 Kaspersky Brasil (@Kasperskybrasil) <a href=\"https:\/\/twitter.com\/Kasperskybrasil\/status\/766018089381203968?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">August 17, 2016<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Um grupo de programadores desenvolveram o Lurk, e um grupo de testers verificava sua performance em ambientes diferentes. J\u00e1 com a botnet trabalhavam administradores, operadores, um gerente de fluxo de caixa, entre outros. Mulas coletavam dinheiro de ATMs, e um gerente coletava o dinheiro deles.<\/p>\n<p>A maioria dos envolvidos eram trabalhadores assalariados. Para atra\u00ed-los o Lurk postava an\u00fancios de vagas de emprego em sites de emprego, prometendo trabalho a dist\u00e2ncia com sal\u00e1rio atrativo. Durante a entrevista de emprego, o recrutador questionava se o candidato possu\u00eda um senso de moral forte. Os que respondiam que sim, n\u00e3o conseguiam o emprego.<\/p>\n<p>Desenvolver o Lurk e manter a botnet requeria n\u00e3o s\u00f3 muita gente, mas tamb\u00e9m infraestrutura cara que inclu\u00eda servidores\u00a0VPNs e outras ferramentas. Depois de alguns anos em atividade, a equipe do Lurk parecia o corpo de funcion\u00e1rios de uma empresa de TI de m\u00e9dio porte.\u00a0 E como em muitas empresas, foi tomada a decis\u00e3o de diversificar suas atividades.<\/p>\n<p><img decoding=\"async\" class=\"alignnone size-large\" src=\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/94\/2016\/09\/06135604\/lurk-structure.png\" alt=\"\" width=\"2000\" height=\"2000\"><\/p>\n<p>O cibercriminosos por tr\u00e1s do Lurk tamb\u00e9m s\u00e3o os respons\u00e1veis pela cria\u00e7\u00e3o do Angler, ou XXX \u2013 um dos exploit kits mais sofisticados at\u00e9 hoje. No in\u00edcio, seu objetivo era levar o Lurk \u00e0s v\u00edtimas, contudo, os criadores decidiram vender o Angler para terceiros. O status dos criminosos por tr\u00e1s do Lurk foi elevado no mundo do cibercrime russo devido ao seu sucesso e invencibilidade aparente, o que resultou em uma melhoria nas vendas do Angler no mercado negro.<\/p>\n<p>O Angler se tornou bem popular entre cibercriminosos. Por exemplo, ele foi usado para distribuir os ransomwares <a href=\"https:\/\/www.kaspersky.com.br\/blog\/cryptxxx-ransomware\/6204\/\" target=\"_blank\" rel=\"noopener\">CryptXXX<\/a> e <a href=\"https:\/\/www.kaspersky.com.br\/blog\/jogadores-sao-alvo-do-novo-teslacrypt-ransomware\/4991\/\" target=\"_blank\" rel=\"noopener\">TeslaCrypt<\/a>.<\/p>\n<p>Entretanto, no momento que come\u00e7aram a vender o Angler, os dias do grupo j\u00e1 estavam contados. A pol\u00edcia russa, em parceria com a KasperskyLab, havia coletado evid\u00eancias suficientes para prender os suspeitos. Em junho de 2016, a atividade do Lurk parou, e logo o Angler teve o mesmo destino. Os cibercriminosos estavam certos at\u00e9 o final de que n\u00e3o seriam pegos, por conta das diversas precau\u00e7\u00f5es que tomaram.<\/p>\n<p>Essas precau\u00e7\u00f5es foram suficientes por um tempo, mas at\u00e9 cibercriminosos espertos s\u00e3o humanos. Cedo ou tarde, eles escorregam e cometem erros que possibilitam que um bom time de investigadores os encontre. Normalmente, leva tempo e muito esfor\u00e7o, mas \u00e9 assim que se faz justi\u00e7a no mundo virtual.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Talvez o maior problema com cibercriminosos \u00e9 que eles s\u00e3o extremamente dif\u00edceis de prender. Pense em ladr\u00f5es de banco do mundo concreto com armas e m\u00e1scaras \u2013 os ladr\u00f5es deixam<\/p>\n","protected":false},"author":696,"featured_media":6572,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[1260,14,45],"tags":[1036,83,393],"class_list":{"0":"post-6571","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-threats","8":"category-news","9":"category-special-projects","10":"tag-lurke","11":"tag-ransomware","12":"tag-wirelurker"},"hreflang":[{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/bye-bye-lurk\/6571\/"},{"hreflang":"en-us","url":"https:\/\/usa.kaspersky.com\/blog\/bye-bye-lurk\/7583\/"},{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/bye-bye-lurk\/7601\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/bye-bye-lurk\/9006\/"},{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/bye-bye-lurk\/8869\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/bye-bye-lurk\/12924\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/bye-bye-lurk\/12862\/"},{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/bye-bye-lurk\/6018\/"},{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/bye-bye-lurk\/8554\/"},{"hreflang":"ja","url":"https:\/\/blog.kaspersky.co.jp\/bye-bye-lurk\/12393\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/bye-bye-lurk\/12924\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/bye-bye-lurk\/12862\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/bye-bye-lurk\/12862\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.com.br\/blog\/tag\/lurke\/","name":"Lurke"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/6571","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/users\/696"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/comments?post=6571"}],"version-history":[{"count":2,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/6571\/revisions"}],"predecessor-version":[{"id":13134,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/6571\/revisions\/13134"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/media\/6572"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/media?parent=6571"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/categories?post=6571"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/tags?post=6571"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}