Hacking Team pagou R$ 143 mil em zero-day exploit de hacker russo

Depois do vazamento de mais de 400 GB de informações sobre a empresa italiana de tecnologia da informação Hacking Team, trocas de email entre os grandes da companhia e um suposto hacker russo mostram uma transação gorda envolvendo vulnerabilidades de zero-day do Adobe Flash Player e a soma de US$ 45 mil, cerca de R$ 143 mil.

A conversa entre as duas partes estava entre os dados vazados recentemente que expuseram a empresa italiana no WikiLeaks. Nela, podemos ver como acontece uma transação entre um hacker independente e a empresa que busca incessantemente falhas em sistemas, softwares e hardwares, especialmente do tipo zero-day, aquelas brechas que são descobertas antes que o desenvolvedor possa tomar uma providência.

Contatos de negócios

Tudo começou em 13 de outubro de 2013, quando um hacker russo identificado apenas pelo endereço de email “tovis@ bk.ru” ofereceu à empresa uma série de zero-day exploits para vulnerabilidades no Flash Player, no Silverlight, no Java e no Safari. A mensagem, que dá mais detalhes sobre seu “produto”, não tardou a ser respondida pelo próprio CEO da Hacking Team, o italiano David Vincenzetti.

O hacker ofereceu à empresa uma série de zero-day exploits para vulnerabilidades no Flash Player, no Silverlight, no Java e no Safari.

Afirmando estar interessado, Vincenzetti pediu mais detalhes sobre a possível transação. O russo explicou cada um dos seis exploits que estava oferecendo, todos descobertos por ele mesmo, mas apenas um interessou à companhia italiana: o referente ao Adobe Media Player. Nessa mesma mensagem, o negociante finalmente se identificou como Vitaly Toropov, um hacker com certa fama nesse mercado.

Pagamento em parcelas

Finalmente, os valores foram todos acertados, com pagamentos em parcelas mensais de US$ 20 mil, US$ 15 mil e US$ 10 mil (R$ 63 mil, R$ 47 mil e R$ 31 mil, respectivamente), com a opção de serem cancelados caso a vulnerabilidade ganhasse um patch feito pela Adobe. Tudo foi devidamente combinado através de mensagens criptografadas entre as duas partes e o exploit foi recebido pela Hacking Team em 29 de outubro de 2013.

Tudo foi devidamente combinado através de mensagens criptografadas entre as duas partes e o exploit foi recebido pela Hacking Team em 29 de outubro de 2013.

No dia seguinte, Toropov recebeu um feedback positivo da empresa italiana, que liberou o pagamento combinado para o russo. O hacker respondeu imediatamente oferecendo uma espécie de “plano de fidelidade”, com descontos de US$ 5 mil e US$ 10 mil (R$ 16 mil e R$ 31 mil) nas próximas compras, além de outros exploits para o Safari do iOS 7 e do OS X, e para o Silverlight.

Outros emails mostram que a Hacking Team vinha trabalhando com inúmeros outros hackers e diversos produtos oferecidos além de zero-day exploits nesse mercado que, apesar de não ser ilegal em diversos lugares, é consideravelmente polêmico e sempre dá o que falar.