Mercados Dark Next Generation? Pense na Amazon ou no eBay por criminosos

A "evolução" desses mercados está tornando o cibercrime mais fácil do que nunca

Você está no mercado de dados roubados? Como sobre algumas ferramentas para ajudá-lo a roubar dados ou ganhar dinheiro roubando computadores de outras pessoas? Bem, você está com sorte. Agora é mais fácil do que nunca se engajar no cibercrime graças aos mercados escuros da “próxima geração”.

Um mercado negro é definido aqui como um site que permite a compra e venda de produtos ilegais, normalmente em um subconjunto da Internet que não aparece no Google ou Bing, mas ainda é bastante fácil de encontrar (mais sobre isso mais tarde) . Este artigo ilustra até que ponto esses mercados "evoluíram" nos últimos anos, tornando o crime cibernético mais fácil do que nunca.

Os criminosos cibernéticos aspirantes agora podem evitar o risco de fazer acordos com personagens obscuros em lugares obscuros do ciberespaço. Os mercados escuros de hoje vêm com classificações de estrelas, avaliações de clientes, garantias e avaliações de compradores. As ofertas de produtos estão listadas em fachadas digitais fáceis de navegar, o que torna fácil encontrar exatamente o que você está procurando; acho que Amazon ou eBay para criminosos.

Por que ir lá?

Espero que você não esteja no mercado de dados roubados ou outras ofertas digitais ilícitas, então por que estou lhe dizendo isso? Eu tenho vários motivos. Primeiro, uma parte importante do meu trabalho é garantir que as empresas, os consumidores e os governos entendam o quão sério o problema do cibercrime se tornou. Eu descobri que mostrar às pessoas os sites onde os dados roubados e as ferramentas criminais são compradas e vendidas realmente ajuda a passar a mensagem, particularmente quando vêem o quão “profissional” e “sério” essas páginas parecem. Aqui está um exemplo para que você possa ver o que quero dizer:

Os itens à venda incluem códigos maliciosos para crimes como roubo de informações e criptomoedas, registro ilícito de teclas digitadas e geração furtiva de cryptocurrency (cryptojacking). Você pode ver que produtos de ransomware e negação de serviço também estão em oferta.

Observe que os fornecedores são classificados e classificados, assim como os produtos. Os compradores pagam em criptomoedas difíceis de rastrear, como o Bitcoin. Os pagamentos geralmente são mantidos em custódia até que o comprador confirme que a transação é satisfatória. Você frequentemente vê os botões Ajuda, perguntas detalhadas e opções de suporte; às vezes há um bate-papo ao vivo. Aqui está outro mercado em que eu pesquisei por “lixões” ou coleções de dados de cartões de pagamento roubados que são empacotados para venda:

Note que existem quase 7.000 resultados e assim - como qualquer mercado digital completamente moderno - há muitas maneiras de restringir sua pesquisa a filtros. Por exemplo, você pode se limitar a lixões que são vendidos através de um sistema de depósito.

Observe também que, enquanto o mercado visto acima tem quase 60.000 listagens sob “Digital Goods”, ele tem ainda mais em “Drugs”. Alguns mercados escuros vendem drogas, enquanto outros trafegam em tudo, desde pílulas e maconha até cartões de pagamento roubados e pornografia, possivelmente com uma ordem lateral de armas de fogo.

Lojas especializadas na venda de dados de cartões de pagamento roubados evoluíram do que costumava ser chamado de fóruns de cardagem. Atualmente, os sites de cardagem não são mais backwaters baseados em texto da Internet. Alguns estão abertos e apresentam sites sofisticados e campanhas publicitárias agressivas, como esta da Carding Mafia.

Imagens de gangster são amplamente usadas nesses banners, assim como fotos de celebridades. Aqui estão mais alguns exemplos - você consegue identificar a personalidade da TV mencionada aqui, além do Presidente Trump?

Como você pode ver, esses mercados vendem mais do que apenas os principais cartões de crédito. Eles também vendem contas do eBay e do PayPal comprometidas e - embora não seja óbvio aqui - eles também oferecem contas da Amazon (as pessoas na empresa saberão que a SLILPP, vista no último anúncio, é especializada em contas da Amazon ).

Qual é o próximo Gen sobre os mercados de cibercrime de hoje?

Neste ponto, veteranos experientes da Internet podem estar reclamando que não há nada de novo sobre o tráfico on-line de dados de cartões de pagamento roubados e outros itens ilegais. E eles estariam certos, mas o que é diferente hoje - diferente o bastante para justificar o uso do termo Próxima geração, embora apenas cinicamente - é o grau em que os mercados escuros adotaram as mesmas tecnologias e técnicas de negócios on-line legítimos. e branding para a maquinaria de marketing, como campanhas publicitárias. Aqui está um exemplo de um site em que lojas de cartões disputam atenção - e esses anúncios estão sendo veiculados em aberto na Internet comum:

Na minha opinião, essa abordagem normalizada do cibercrime qualifica-se como “próxima geração” porque transformou uma atividade de nicho obscura em um modelo de negócios acessível. O que estamos vendo é um novo setor da indústria, que parece estar prosperando, apesar de ser fundamentalmente antiético e representar uma séria ameaça ao progresso humano.

Se as pessoas podem postar especiais de férias em ferramentas de crime e atividades criminosas, a céu aberto, com pouco medo de retribuição, então é hora de reconhecer que uma linha foi cruzada. Considere este site de cardagem que estava dando detalhes do cartão de crédito roubado - neste caso, um cartão Amex - em comemoração da sexta-feira negra.

A impressão que você tem é de que engajar-se no cibercrime é uma proposta de negócios legítima - embora um pouco nervosa; e em algumas partes do mundo é assim que é percebido. Francamente, até que os governos do mundo façam mais para resolver esta situação, há poucas razões para pensar que os esforços para reduzir o impacto negativo do cibercrime na sociedade terão sucesso.

Para ser claro, houve alguns esforços de aplicação da lei bem sucedidos no passado. Houve a picada realizada pelo FBI sob o nome de Operation Card Shop; começou em 2010 e resultou em 26 prisões. Os agentes criaram um fórum falso de cartões chamado CarderProfit para “identificar usuários que estavam comprando e vendendo contas de cartão de crédito roubadas e bens comprados com contas roubadas” ( Krebs on Security ). Então, em 2013, uma operação conjunta do FBI e da Receita Federal derrubou um infame mercado sombrio chamado “Rota da Seda”. Esse site estava vendendo drogas e armas, bem como dados de malware e cartões de pagamento; seu criador agora está cumprindo uma sentença perpétua na prisão .

Embora sentenças fortes possam dissuadir alguns possíveis criminosos, no momento muitos mais continuarão supondo que as chances de serem pegos cometendo crimes no ciberespaço são pequenas. A maneira de aumentar essas chances é processar muito mais perpetradores e trazer acusações mais rapidamente. Como os criminologistas que estudam crimes de “espaço de trabalho” como roubo dirão: a justiça rápida é um impedimento muito melhor do que sentenças duras.

Não vá lá

Comecei dizendo que tinha duas razões para mostrar às pessoas os mercados escuros. O primeiro foi o de aumentar a conscientização sobre a escala do problema do cibercrime. A segunda é poupar às pessoas o trabalho de entrar nesses mercados. Depois de um grande anúncio de violação de dados - como o da semana passada da Marriott - muitas pessoas ficarão imaginando: o que acontece com os dados roubados? A resposta curta é que, em muitos casos, acaba sendo vendida em mercados escuros. Algumas pessoas perguntam então como entrar nos mercados escuros para dar uma olhada por si mesmos.

Enquanto as instruções para chegar a mercados escuros são facilmente encontradas na internet normal, usando seu mecanismo de busca favorito, é mais seguro que alguém mostre a você imagens do que você vai encontrar lá, em vez de ir até lá sozinho. Como regra geral, quanto mais você se afasta dos sites tradicionais na Internet normal, maior o risco de que algo desagradável aconteça, variando de imagens perturbadoras a comprometimento com códigos maliciosos. Quando se trata de folhear sites que vendem produtos ilegais, você tem o risco adicional de ser vigiado por agentes policiais, para os quais a frase “Eu estava apenas procurando” pode não ter muito peso.

(Não tenho o menor desejo de parecer elitista, mas, a menos que você tenha uma boa compreensão da segurança operacional e conheça tecnologias como tunelamento e VPNs, visitar qualquer lugar que esteja trafegando em dados ou malware roubados é apenas uma má ideia .)

Mercados escuros como infraestrutura de cibercrime

Como mencionei anteriormente, enquanto os mercados escuros de hoje são decididamente mais acessíveis e evoluídos do que as iterações anteriores, a atividade subjacente que eles representam tem acontecido durante a maior parte deste século de uma forma ou de outra. Um dos melhores estudos sobre o fenômeno é o relatório detalhado de 80 páginas que a RAND publicou em 2014: Mercados de Ferramentas de Cibercrime e Dados Roubados: Hackers 'Bazaar , de Lillian Ablon, Martin C. Libicki e Andrea A. Golay. Veja como eles representam a estrutura dos mercados de cibercrime:

Costumo usar esse diagrama para ilustrar como essa atividade “organizada” se tornou e, como consequência da falta de progresso em sua interrupção, como “estabelecida”.

Realizar a maioria das funções que você vê neste diagrama requer acesso a recursos de computação. Por isso, terminarei este artigo com um exemplo do que poderíamos chamar de “infraestrutura de crime cibernético” - ou seja, servidores roubados. Na captura de tela a seguir, você pode ver um dos lugares que os criminosos usam quando precisam de um computador descartável e descartável. Suponha que sua operação de cibercrime precise de um servidor para hospedar alguns dados roubados que você está vendendo. Que tal uma máquina rodando o Windows Server 2012 RS, uma com uma conexão rápida à internet. Aqui você pode ver alguns exemplos listados “à venda” em um mercado escuro:

O que você está comprando aqui é o acesso remoto a um sistema que pertence a outra pessoa, em outras palavras, acesso não autorizado, muito provavelmente obtido ilegalmente. Como você pode ver, o site permite que você seja muito específico em suas pesquisas, dependendo do que você precisa. Nesse caso, o cliente em potencial está procurando acesso administrativo às máquinas com um endereço de Internet fixo (IP).

Os operadores deste mercado se isentam de qualquer responsabilidade pelo que você faz com suas compras; no entanto, é claro que o mercado é preenchido por vendedores que hackearam as credenciais de acesso remoto dos sistemas de suas vítimas. Como o site aponta em suas páginas de ajuda, essas máquinas podem ser úteis ao criar contas em bancos, lojas, sistemas de pagamento e assim por diante. Eles também podem ser usados ​​para enviar spam e configurar páginas de destino para seus e-mails de phishing. E, claro, “RDP com IP direto pode ser usado como um servidor VPN ou proxy de meias” para ajudar a esconder suas faixas (onde RDP significa Remote Desktop Protocol).

Se eles forem configurados adequadamente, os sistemas roubados podem ser usados ​​para executar programas de quebra de senha e programas de mineração de criptomoeda. O quê mais? Bem, você poderia simplesmente roubar qualquer informação útil que você encontrar na máquina para a qual você adquiriu o acesso, ou criptografá-la usando ransomware. Na verdade, as máquinas comprometidas que executam o RDP se tornaram um vetor de ataque sério para os fornecedores de ransomware (eu exploro esse problema e algumas soluções, no Ransomware e na empresa: um novo white paper ).

A linha de fundo

Neste artigo, analisamos apenas algumas fatias do negócio próspero que é o cibercrime hoje. Ausentes drásticas melhorias na forma como o mundo aborda as causas profundas da atividade criminosa no ciberespaço, é provável que continue inabalável por algum tempo, minando efetivamente os benefícios da tecnologia digital. Isso significa que nossos esforços para proteger sistemas e dados contra o abuso criminal também devem continuar. Boas práticas de segurança, incluindo a higiene cibernética, devem se tornar universais. Os fornecedores de segurança devem continuar melhorando suas soluções. E devemos trabalhar no sentido de fazer as melhorias drásticas acima mencionadas acontecerem.