Crime-as-a-service: agora qualquer pessoa pode cometer cibercrimes

Imagine, só por um minuto, que em um belo dia você decide chutar o balde e se envolver com o crime cibernético. Se estivéssemos no começo do século, sua trajetória não seria nada fácil: primeiramente, você teria que se aprofundar em um grande volume de conhecimento técnico para aprender a identificar vulnerabilidades em sistemas online, projetar exploits, programar malwares e criar sozinho um e-mail de phishing que parecesse convincente o suficiente para enganar internautas desavisados.

Para a infelicidade dos executivos de segurança, entrar para o universo da malandragem virtual ficou muito mais fácil nos últimos anos. Hoje em dia, um aspirante a cibercriminoso não precisa passar por esse processo que descrevemos — basta que ele entre em um fórum ou comunidade dedicada a tal assunto e alugue um “kit pronto” para atacar os alvos que quiser. Pode parecer bizarro, mas já estamos vislumbrando aquilo que muitos chamam de crime-as-a-service ou CaaS, que pode ser traduzido como crime-como-serviço.

Qualquer semelhança com o conceito de software-como-serviço (software-as-a-service ou SaaS) não é mera coincidência. Agora altamente organizados, os grupos de criminosos criaram sindicatos inteiros e desenvolveram ferramentas e plataformas que podem ser emprestadas para qualquer pessoa que deseje atacar um alvo ou elaborar uma campanha sem ter que desenvolver algo do zero. Você utiliza os scripts maliciosos, os templates e a infraestrutura pronta e compartilha parte dos lucros com os “peixes grandes” de maneira simples.

Quem quer malware? Pode escolher!

Chega a ser desnecessário apontar o quanto o aumento do CaaS é perigoso para a comunidade de segurança. Ele basicamente torna o ingresso ao mundo do cibercrime muito mais fácil, aumentando rapidamente o número de atores maliciosos que podem lhe causar prejuízos. Dentro desse setor em crescimento, temos, em destaque os ransomwares-como-serviço (ransomware-as-a-service ou RaaS), que costumam ser os mais lucrativos que você encontrará nas profundezas da web.

Esse mercado clandestino já é tão popular que as gangues organizadas literalmente publicam anúncios em fóruns recrutando novos membros para utilizar suas cepas à vontade, desde que o lucro obtido com o resgate seja devidamente repassado para a “diretoria”. Podemos citar uma série de ransomwares famosos que operam nesse modelo, como o Philadelphia, REvil, Circus Spider, Netwalker e assim por diante. O melhor de tudo — para o aspirante a criminoso, claro — é que não é necessário qualquer investimento inicial.

Obviamente, os scripts de sequestro digital são um ótimo exemplo de CaaS, mas não é o único. Também já é fácil encontrar e-mails de phishing prontos, servidores de controle e comando (C&C) disponíveis para uso livre, páginas falsas de lojas virtuais famosas e até mesmo botnets inteiras — caso seu objetivo seja organizar um ataque distribuído de negação de serviço (DDoS). O CaaS pode ser compreendido como um dos principais fatores para o recente aumento no número da atividade cibercriminosa no mundo.

Automatizando roubos

A esta altura do campeonato, você já deve estar pensando: afinal, o que os desenvolvedores de tais ferramentas e mantenedores de tais infraestruturas ganham com isso? Bom, muita coisa. Primeiramente, eles deixam de se envolver com a “linha de frente” do cibercrime, mantendo-se ocultos e se arriscando menos ao realizar ataques cibernéticos. Ao mesmo tempo, porém, eles continuam lucrando de forma automatizada. Ou seja: menos exposição e mais dinheiro entrando na conta.

No fim, o CaaS continua com o mesmo objetivo do cibercrime em geral: gerar lucro da forma mais simples, rápida e prática possível. É por isso que, agora, é mais importante do que nunca investir em bons hábitos de cibersegurança.

Produção: Equipe de Conteúdo da Perallis Security