Denúncia: hacker brasileiro foragido atacava empresas com ransomware

O NCYBER (Núcleo Especial de Combate aos Crimes Cibernéticos) expediu um mandado de prisão no último mês para um operador de ransomware brasileiro que está foragido. O suposto cibercriminoso Matheus Martins Marques, de acordo com as autoridades, utilizava o LockBit para sequestrar digitalmente arquivos em ataques nacionais e internacionais.

Braço do MPDFT (Ministério Público do Distrito Federal e Territórios), o NCYBER acusa Marques de ser um dos operadores que infectou, por exemplo, o Banco BRB (Banco de Brasília).

Os criminosos exigiram o pagamento de 50 bitcoins

O TecMundo trouxe essa exclusiva do ataque no dia 06 de outubro de 2022, após uma fonte chamada “Crydat” afirmar que havia invadido o banco e que estaria pedindo cerca de 50 Bitcoins (BTC) para não vazarem o que foi acessado ao público - 50 BTC, na cotação atual da moeda, equivale a cerca de R$ 5,2 milhões.

Segundo a denúncia feita em abril pelo NCYBER, um dos acusados foi preso em janeiro deste ano no âmbito da operação Black Hat. A prisão ocorreu no estado de São Paulo. Na operação foram encontradas provas da participação de um segundo criminoso.

• Banco BRB sofre ataque de ransomware e acaba chantageado

"Após capturarem clandestinamente as informações dos clientes da instituição financeira, os denunciados passaram a extorquir os gestores do BRB, com a ameaça de divulgar os dados sigilosos na imprensa e na deepweb”, diz o Núcleo. “Para que as informações não fossem divulgadas, os criminosos exigiram o pagamento de 50 bitcoins. Na época, o montante em moeda digital foi cotado em R$5.273.772,22”.

Matheus Martins Marques

Mandado de prisão e explicação

Segundo fontes anônimas consultadas pelo TecMundo, Matheus Martins Marques estaria foragido desde então na cidade de Santos, litoral de São Paulo. Além disso, que o suposto cibercriminoso é funcionário remoto da empresa norte-americana BairesDev.

A denúncia realizada pelo MPDFT explica o que foi descoberto após investigação sobre o incidente cibernético no Banco BRB:

“Entre os dias 17/09/2022 e 13/10/2022, os denunciados, de forma consciente e voluntária, e, em comunhão de esforços, invadiram, por diversas vezes, dispositivo informático de uso alheio, conectado à rede de computadores, pertencente ao Banco de Brasília-BRB, com o fim de obter dados e informações sem autorização expressa ou tácita do usuário, e de instalar vulnerabilidades para obter vantagem ilícita”.

A denúncia também explica que, após a invasão, os denunciados implementaram um script malicioso que possibilitou a exfiltração de dados sigilosos dos clientes, resultando na obtenção de conteúdo de comunicações eletrônicas privadas e informações sigilosas. A brecha foi identificada durante exploração de uma vulnerabilidade do ambiente VDI (Virtual Desktop Infrastructure) utilizado pela instituição bancária BRB, identificada como VMWARE WORKSPACE ONE.

Coletaram aproximadamente 210 credenciais (login e senha)

“Conforme apurado, os denunciados, após acessar o ambiente do VDI do Banco de Brasília, coletaram aproximadamente 210 credenciais (login e senha) de funcionários do BRB que usavam tal plataforma para realizar seus serviços diários, e, de posse de tais credenciais, iniciaram a segunda fase do ataque cibernético voltada para o acesso direto aos dados do Banco de Brasília e a instalação do malware conhecido como Ransomware”, explica o NCYBER.

“Nada obstante, o acesso definitivo às contas de serviço dos funcionários do BRB na plataforma VDI dependia, além das credenciais obtidas dos funcionários por meio da exploração da CVE n° 2022-22954, também do cadastro, junto às contas de serviço a serem invadidas, de uma linha telefônica destinada ao recebimento de um token de acesso, a fim de atender à exigência de duplo fator de autenticação. A partir do recebimento do token de acesso enviado via mensagem de SMS para a nova linha telefônica cadastrada pelos acusados, qualquer uma das 210 contas de serviço utilizadas pelos funcionários do BRB no ambiente VDI poderia ser acessada/invadida”.

Com essas informações em mãos e o cruzamento de números telefônicos e contas em redes sociais, a investigação chegou aos nomes de Fábio Antônio Castro Sani e Matheus Martins Marques.

As autoridades afirmam que Fábio Sani foi o responsável pela parte técnica ligada à invasão, enquanto Matheus Marques coordenou a extorsão — além de possuir o arquivo executável do ransomware LockBit.

• Até o momento, o Banco BRB não havia confirmado a quantidade de arquivos sequestrados, mas a informação agora está disponível: 751 arquivos, totalizando 1.43 GB

MPDFT

Condenações

O NCYBER e o MPDFT, entre as denúncias realizadas, esperam que os acusados respondam a reparação de danos ao banco BRB (acrescido de correção monetária e juros moratórios desde a data do evento danoso) e reparação de danos morais coletivos no valor de R$ 500 mil.

Um ransomware age como um sequestrador do mundo virtual

O Banco de Brasília não efetuou qualquer tipo de pagamento, focando seus esforços na higienização de seus ativos computacionais e se preparando para uma eventual divulgação de dados acessados, nota a denúncia.

Foragido deste então, o suposto cibercriminoso teve seu mandado expedido com a seguinte declaração: “Nessa linha, entendo que a decretação da prisão preventiva é a única medida cautelar cabível para resguardar a ordem pública porquanto as demais providências menos gravosas são insuficientes para assegurar a eficácia do processo penal (...) Qualificado nos autos, com fundamento nos artigos 312 e 313 do Código de Processo Penal. Expeça-se mandado de prisão”.

Lockbit

Ransomware LockBit

O LockBit é uma família de malwares, conhecidos como ransomwares, desenvolvidos supostamente por atacantes da Rússia. No caso do ataque ao Banco de Brasília, ele foi utilizado como “ransomware as a service”: um cibercriminoso paga o aluguel do executável para realizar ataques.

Ainda existe uma segunda versão não confirmada: os supostos atacantes utilizaram uma versão antiga vazada do ransomware LockBit para realizar o sequestro digital.

Um ransomware age como um sequestrador do mundo virtual. Ele criptografa os arquivos presentes em um sistema (sequestra) e exige um pagamento em criptomoedas para liberação. Esse tipo de vírus ataca tanto pessoas físicas quanto jurídicas — mas, é inegável que empresas são o principal foco.

O Núcleo Especial de Combate aos Crimes Cibernéticos comenta que qualquer informação sobre o paradeiro de Matheus Martins Marques pode ser enviada para o número: +55 61 98626-1197, que é o disque denúncia da Polícia Civil do Distrito Federal.