O imaginário popular costuma associar grandes ataques cibernéticos a hackers utilizando ferramentas extremamente sofisticadas, vulnerabilidades inéditas e malwares desenvolvidos especificamente para uma determinada vítima.
Na prática, uma parcela crescente do cibercrime está seguindo uma estratégia diferente.
Grupos criminosos estão descobrindo que pode ser mais lucrativo utilizar técnicas simples, baratas e repetíveis contra milhares de organizações do que investir tempo e dinheiro na criação de ataques personalizados.
A mudança segue uma lógica semelhante à de qualquer operação em escala: quanto menor o custo de cada tentativa e mais previsível o resultado, maior pode ser o retorno quando a mesma técnica é aplicada milhares ou milhões de vezes.
ClickFix virou exemplo dessa nova estratégia
Uma das técnicas que melhor representa esse movimento é conhecida como ClickFix.
O ataque normalmente começa quando uma pessoa acessa uma página aparentemente legítima e encontra uma mensagem dizendo que precisa realizar alguma ação para continuar.
Pode ser uma falsa verificação CAPTCHA.
Pode aparecer um aviso de erro.
Ou ainda uma mensagem dizendo que existe algum problema no navegador ou computador.
A página então orienta a vítima a copiar determinado comando e executá-lo no próprio sistema.
O detalhe é justamente esse: quem executa o comando malicioso é o próprio usuário.
Dados citados pela publicação indicam que o ClickFix apareceu em 47% dos ataques observados nas notificações analisadas pela Microsoft no último ano.
Criminoso não precisa descobrir uma vulnerabilidade
Essa característica torna o ClickFix especialmente interessante para atacantes.
Não é necessário descobrir uma vulnerabilidade zero-day.
Não é preciso necessariamente enviar um arquivo executável por e-mail.
E o criminoso pode evitar desenvolver um malware extremamente sofisticado apenas para obter o primeiro acesso.
Ele precisa convencer a vítima a realizar uma ação.
A engenharia social substitui parte da complexidade técnica.
Depois que o comando é executado, outras ferramentas podem ser carregadas e o comprometimento continua.
Um ataque simples pode ser extremamente perigoso
“Simples”, nesse contexto, não significa inofensivo.
O primeiro estágio pode ser básico, mas serve apenas para abrir a porta.
Uma vez dentro da máquina, criminosos podem tentar roubar credenciais, instalar ferramentas de acesso remoto, coletar cookies de sessão, procurar informações corporativas e avançar para outros computadores da rede.
Dependendo dos privilégios obtidos, o incidente pode terminar em roubo de dados, espionagem, fraude financeira ou ransomware.
A sofisticação pode aparecer depois.
O que mudou é que os criminosos procuram tornar o acesso inicial extremamente barato e reproduzível.
Ferramentas do próprio Windows ajudam nos ataques
Outra tendência reforça essa estratégia.
Em vez de instalar dezenas de ferramentas desconhecidas, invasores utilizam recursos que já existem dentro dos computadores das vítimas.
É a técnica conhecida como living off the land.
PowerShell, interpretadores de comandos, utilitários administrativos e diferentes componentes legítimos podem ser utilizados durante uma invasão.
Softwares comerciais de acesso remoto também aparecem frequentemente nesse tipo de operação.
Uma análise da Bitdefender envolvendo aproximadamente 700 mil incidentes mostrou que 84% dos casos classificados como de alta severidade envolveram binários que já estavam presentes nas máquinas comprometidas.
Por que utilizar programas legítimos?
Existe uma vantagem importante.
Ferramentas legítimas precisam existir dentro das empresas.
Um administrador utilizando PowerShell não representa automaticamente um ataque.
Um software de acesso remoto pode ser utilizado diariamente pelo suporte técnico.
Uma ferramenta de compactação pode estar instalada em milhares de computadores.
Isso cria um problema para os sistemas de segurança.
Bloquear completamente essas aplicações pode impedir funcionários e administradores de realizarem suas próprias atividades.
Os criminosos exploram justamente essa ambiguidade.
Malware deixa de ser obrigatório em todas as etapas
Durante muito tempo, detectar malware foi uma das principais estratégias de proteção.
Antivírus procuravam arquivos conhecidos, assinaturas maliciosas e comportamentos relacionados a determinadas famílias de malware.
Essa abordagem continua importante.
Mas um atacante moderno pode executar grande parte da invasão utilizando ferramentas legítimas.
O problema passa a ser menos “qual programa está sendo executado?” e mais “por que esse programa está realizando essa atividade?”.
PowerShell é legítimo.
PowerShell executando um comando ofuscado, baixando conteúdo de um servidor desconhecido e criando persistência em uma máquina que nunca executou esse comportamento pode representar outra situação.
O contexto se torna fundamental.
Vulnerabilidades conhecidas continuam extremamente lucrativas
Outro elemento dessa estratégia são falhas de segurança que já possuem correções disponíveis.
Pode parecer contraditório.
Se uma vulnerabilidade já foi divulgada e corrigida pelo fabricante, por que os hackers continuam interessados nela?
Porque milhares de organizações demoram para atualizar seus sistemas.
Dados do relatório da Verizon citados na análise indicam que a exploração de vulnerabilidades chegou a 31% dos vetores de acesso inicial, contra 20% no período anterior.
O crescimento é significativo.
Hackers podem simplesmente procurar máquinas desatualizadas
Depois que uma vulnerabilidade é divulgada, começa uma corrida.
O fabricante publica uma atualização.
Pesquisadores analisam a falha.
Detalhes técnicos aparecem.
Eventualmente surge uma prova de conceito demonstrando como explorar o problema.
Nesse momento, criminosos não precisam necessariamente procurar uma organização específica.
Eles podem criar sistemas automatizados para varrer grandes partes da internet procurando equipamentos vulneráveis.
Servidores, VPNs, firewalls, appliances corporativos, plataformas de e-mail e inúmeros outros equipamentos podem ser identificados automaticamente.
Encontrou uma versão vulnerável?
O ataque começa.
A vítima pode ser escolhida pela vulnerabilidade
Essa mudança é importante.
Em ataques direcionados tradicionais, o criminoso poderia pensar:
“Quero invadir a empresa X. Como faço?”
No modelo de escala, a pergunta pode ser outra:
“Quais empresas ainda possuem essa vulnerabilidade?”
A identidade da vítima torna-se secundária.
O criminoso procura exposição.
Se 50 mil equipamentos vulneráveis estiverem acessíveis pela internet, uma ferramenta automatizada pode tentar explorar todos eles.
Mesmo uma taxa de sucesso pequena pode produzir centenas de comprometimentos.
Ataque vira uma questão matemática
Imagine uma campanha sofisticada capaz de comprometer 50% dos alvos, mas que custa milhares de dólares e exige semanas de preparação para cada empresa.
Agora imagine uma técnica extremamente barata com apenas 1% de sucesso.
Se o segundo ataque puder ser enviado para um milhão de vítimas, 1% ainda representa 10 mil comprometimentos.
Essa matemática ajuda a explicar o comportamento dos criminosos.
Escala pode compensar baixa eficiência.
É a mesma lógica observada há anos em campanhas de spam e phishing.
A diferença é que agora ela aparece também em operações cibernéticas mais avançadas.
Ransomware também virou uma operação industrial
O ransomware acompanha essa transformação.
Segundo números citados pela análise, ransomware esteve relacionado a 48% dos vazamentos avaliados pela Verizon, acima dos 44% registrados anteriormente.
Ao mesmo tempo, existe um problema para os criminosos.
Mais vítimas estão recusando pagar.
Cerca de 69% das organizações atingidas por ransomware não realizaram pagamentos, enquanto o valor mediano dos resgates pagos caiu de US$ 150 mil para aproximadamente US$ 139,9 mil.
Se menos vítimas pagam e o pagamento médio diminui, grupos criminosos precisam encontrar novas maneiras de manter suas receitas.
Uma delas é aumentar o volume.
Ransomware funciona cada vez mais como franquia
O modelo de Ransomware-as-a-Service (RaaS) também contribuiu para essa industrialização.
Um grupo desenvolve a infraestrutura.
Afiliados executam os ataques.
Ferramentas são compartilhadas.
Procedimentos são documentados.
Playbooks indicam como realizar cada etapa.
A mesma sequência de ações pode ser reutilizada em dezenas de organizações.
Isso reduz a necessidade de criar uma operação completamente diferente para cada vítima.
O resultado é um cibercrime mais padronizado.
Playbooks são fundamentais para entender a mudança
Um playbook é basicamente um roteiro operacional.
O criminoso pode definir uma sequência semelhante a:
obter acesso inicial → executar reconhecimento → roubar credenciais → identificar Active Directory → aumentar privilégios → desativar ferramentas de segurança → movimentar-se lateralmente → roubar dados → executar ransomware.
As ferramentas podem mudar.
Mas a sequência permanece relativamente previsível.
Quanto mais padronizado o processo, mais fácil automatizá-lo.
IA entra nessa equação de maneira diferente do imaginado
A inteligência artificial adiciona uma nova dimensão ao problema.
Existe muita discussão sobre agentes de IA capazes de executar ataques autonomamente.
Isso certamente representa uma preocupação crescente.
Mas existe uma questão econômica.
Se um criminoso já possui uma técnica barata, confiável e escalável, pode não existir motivo para utilizar um agente sofisticado para improvisar uma estratégia diferente contra cada vítima.
A IA pode ser mais útil antes do ataque, ajudando a aperfeiçoar o playbook.
IA pode funcionar como multiplicador de produtividade
Um criminoso pode utilizar modelos para ajudar a:
criar scripts;
modificar ferramentas;
pesquisar vulnerabilidades;
automatizar tarefas repetitivas;
escrever mensagens de phishing;
traduzir campanhas;
criar páginas falsas;
analisar documentação técnica;
adaptar códigos existentes.
Depois disso, a operação pode continuar utilizando procedimentos padronizados.
Ou seja, o principal impacto imediato da IA no cibercrime talvez não seja criar um “super-hacker autônomo”.
Pode ser simplesmente tornar hackers humanos muito mais produtivos.
Um criminoso pode atingir mais vítimas
Esse é um ponto particularmente relevante.
Se uma tarefa que anteriormente levava quatro horas pode ser realizada em 30 minutos com auxílio de IA, o mesmo operador consegue executar muito mais atividades.
Isso reduz custos.
Também diminui a barreira técnica para determinadas operações.
Criminosos menos experientes podem utilizar modelos para compreender códigos, corrigir scripts e adaptar ferramentas existentes.
O resultado potencial é uma expansão da quantidade de pessoas capazes de executar ataques razoavelmente sofisticados.
Ataques baratos também podem ser automatizados
A automação já é uma característica fundamental do cibercrime.
Bots procuram servidores vulneráveis continuamente.
Credenciais vazadas são testadas automaticamente.
Domínios são registrados em escala.
E-mails de phishing são enviados aos milhões.
Vulnerabilidades são procuradas por scanners.
Quando um exploit público aparece, ele pode ser integrado rapidamente a sistemas automatizados.
Inteligência artificial pode acelerar algumas dessas etapas, mas a lógica econômica continua a mesma:
automatizar tudo aquilo que puder ser repetido.
Isso muda a maneira como empresas precisam pensar em segurança
Existe uma consequência importante para os defensores.
Uma empresa pequena pode imaginar que não será atacada porque não possui dados extremamente valiosos.
Mas ataques em escala não funcionam dessa maneira.
O criminoso pode nem saber quem é a organização antes de atacá-la.
Um scanner identifica um servidor vulnerável.
O exploit funciona.
Só depois o atacante descobre quem está por trás daquele endereço.
Isso significa que empresas não precisam ser famosas ou estratégicas para virar alvo.
Precisam apenas estar vulneráveis.
Pequenas empresas podem estar especialmente expostas
Grandes organizações normalmente possuem equipes dedicadas de segurança, SOCs, ferramentas de EDR, inteligência de ameaças e processos estruturados de atualização.
Pequenas e médias empresas frequentemente possuem menos recursos.
Um servidor esquecido pode permanecer meses sem atualização.
Uma ferramenta de acesso remoto pode ficar exposta.
Uma conta administrativa pode continuar sem autenticação multifator.
Essas condições são exatamente o que operações automatizadas procuram.
Atualizações tornam-se ainda mais importantes
A expansão da exploração automatizada aumenta a importância do gerenciamento de vulnerabilidades.
Mas não basta instalar todas as atualizações aleatoriamente.
Organizações precisam priorizar.
Uma vulnerabilidade crítica em um servidor interno isolado pode representar risco menor do que uma falha de alta severidade em uma VPN diretamente exposta à internet e já explorada por criminosos.
Por isso, o contexto importa.
As empresas precisam saber:
quais sistemas estão expostos;
quais vulnerabilidades possuem;
quais já estão sendo exploradas;
qual é o impacto de um comprometimento.
Essa priorização pode reduzir significativamente a superfície disponível para ataques em escala.
Restringir scripts também pode interromper ataques
Outra medida importante envolve PowerShell e outros mecanismos de scripting.
Simplesmente bloqueá-los completamente pode ser inviável.
Mas organizações podem restringir sua utilização, monitorar comandos suspeitos e impedir que usuários comuns executem determinadas atividades.
O mesmo vale para softwares de acesso remoto.
Se uma organização utiliza oficialmente apenas uma ferramenta, a execução inesperada de outros programas semelhantes pode gerar um alerta.
Essas políticas reduzem justamente a flexibilidade explorada por técnicas living off the land.
Privilégios excessivos ampliam o problema
Um usuário comprometido não deveria automaticamente permitir acesso a toda a empresa.
É aqui que conceitos como privilégio mínimo e segmentação tornam-se importantes.
Se um funcionário possui apenas os acessos necessários para realizar seu trabalho, o criminoso terá que superar outras barreiras.
Caso contrário, uma única credencial roubada pode abrir caminho para servidores, arquivos e aplicações críticas.
Ataques escaláveis dependem de caminhos previsíveis.
Quanto mais barreiras internas existem, mais caro fica completar o ataque.
Ter ferramenta de segurança instalada não basta
A análise também chama atenção para um problema recorrente.
Equipes de resposta a incidentes encontraram organizações que possuíam ferramentas de segurança instaladas, mas não tinham equipes adequadas acompanhando os alertas e respondendo aos incidentes.
Isso cria uma falsa sensação de proteção.
Um EDR pode identificar comportamento suspeito.
Um SIEM pode gerar um alerta.
Um firewall pode registrar conexões anormais.
Mas alguém precisa analisar essas informações.
Segurança não é apenas instalar software.
É transformar sinais em decisões.
O hacker moderno também pensa em custo
Essa transformação mostra um lado pouco discutido da cibersegurança.
Cibercriminosos também fazem cálculos econômicos.
Quanto custa comprometer uma organização?
Quanto tempo demora?
Quantas pessoas são necessárias?
Qual é a probabilidade de sucesso?
Quanto dinheiro pode ser obtido?
Existe uma forma mais barata?
Quanto mais profissionalizado se torna o cibercrime, mais essas perguntas influenciam as estratégias adotadas.
E ataques altamente sofisticados nem sempre oferecem a melhor resposta.
O ataque mais perigoso pode ser aquele que funciona
Um zero-day desconhecido em um software amplamente utilizado é extremamente valioso.
Mas desenvolver ou comprar esse tipo de vulnerabilidade pode ser caro.
Enquanto isso, milhares de servidores podem continuar executando versões vulneráveis de softwares cuja correção está disponível há meses.
Para um criminoso interessado principalmente em dinheiro, não existe necessariamente vantagem em escolher a opção mais sofisticada.
Existe vantagem em escolher a opção mais lucrativa.
Essa distinção ajuda a entender a evolução atual do cibercrime.
Defesa precisa tornar o ataque caro novamente
Existe também uma conclusão positiva para empresas.
Se o modelo criminoso depende de ataques baratos e repetíveis, uma organização não precisa necessariamente criar uma defesa perfeita.
Ela precisa quebrar o playbook.
Autenticação multifator pode interromper uma etapa.
Segmentação pode interromper outra.
EDR pode detectar uma terceira.
Gerenciamento de vulnerabilidades pode eliminar a porta de entrada.
Privilégio mínimo pode impedir movimentação lateral.
Monitoramento pode identificar comportamento anormal antes que o ataque chegue ao objetivo final.
Cada barreira adiciona custo e complexidade para o criminoso.
E isso ataca justamente a vantagem econômica desse modelo.
Cibercrime entra definitivamente na era da escala
A principal mudança não está necessariamente nas ferramentas utilizadas pelos hackers.
Está no modelo operacional.
Ataques estão sendo tratados cada vez mais como processos reproduzíveis, automatizados e escaláveis.
ClickFix, exploração de vulnerabilidades conhecidas, living off the land, ransomware como serviço e automação são diferentes manifestações da mesma estratégia.
Para empresas, isso significa abandonar uma ideia perigosa: “ninguém teria motivo para atacar nossa organização.”
Em operações automatizadas, o hacker pode não ter escolhido a empresa.
Um scanner encontrou uma vulnerabilidade.
Uma campanha de phishing chegou a um funcionário.
Uma credencial vazada funcionou.
Um comando do ClickFix foi executado.
E somente depois disso o criminoso descobre o valor da vítima que acabou de comprometer.
Na nova economia do cibercrime, portanto, não é necessário ser um alvo importante para sofrer um ataque. Basta ser um alvo fácil.
