Ransomware as a Service: como funciona e quem é quem nessa cadeia de ataques

Estamos passando por um momento único de evolução digital na qual o acesso à informação está a cada dia mais fácil. Essa facilidade traz consigo novas ameaças, como por exemplo, o amplo contato aos mercados ilegais, tanto na superfície quanto na "Deep Web" e "Dark Web".

Percebemos um aumento significativo pela busca de serviços ilegais de acordo com os incidentes que temos enfrentado no dia a dia. Cada vez mais pessoas, sem conhecimento ou capacidade técnica avançada, cometem fraudes ou outros ataques cibernéticos graças ao que chamamos de "Ransomware as a Service".

O Ransomware as a Service, ou como serviço, pode ser definido como a contratação de um serviço para a utilização de malwares já desenvolvidos de forma que atacantes, mesmo sem qualquer experiência, possam realizar ataques de forma sofisticada.

Para entender como acontece, é preciso conhecer os atores. Vamos defini-los abaixo;

- Autores: são os desenvolvedores responsáveis pela criação do malware.

- Fornecedores: fazem a divulgação e vendas no mercado ilegal. Nem sempre o fornecedor é o próprio autor.

- Distribuidores: responsáveis pela compra e pela infecção dos dispositivos.

- Vítimas: as que sofrem com as infecções por ransomware e podem perder seus dados ou pagar o resgate (ou ambos).

De forma resumida, o autor vende o malware ou uma assinatura deste serviço para um distribuidor através de um fornecedor e, com isso, a vítima sofre o ataque. Nos casos em que a vítima paga o resgate, o valor é dividido entre autor, fornecedor e distribuidor.

Se levarmos em consideração a cadeia completa, ainda tem o administrador/moderador do mercado o qual este produto ou serviço ilegal é comercializado, que atua de forma indireta para que a transação ocorra.

Vale ressaltar também a procura ativa por distribuidores que fazem parte de grandes empresas. Nesses casos, são conhecidos como Insiders, funcionários ou terceiros que estão dispostos a serem facilitadores desse ataque, tornando a ameaça ainda mais destrutiva, uma vez que este possui credenciais válidas e pode executar o ataque de dentro da organização.

Por fim, a facilidade e o aumento quantitativo deste tipo de ataque têm feito com que as organizações tragam o assunto para o centro da atenção de qualquer companhia, prevendo uma forma de atuação e proteção mais proativa, contratação de ferramentas e serviços adequados para garantir, assim, a continuidade dos seus negócios. Não é à toa que a segurança passou de custo para medida obrigatória de sobrevivência no mercado digital.

*Daniel Lima é diretor de SOC da NTT Ltd. no Brasil