A atividade de cibercrime no setor de defesa e governo ganhou nova dimensão com a identificação do ator conhecido como ModernStealer, que tem feito alegações públicas na dark web sobre a venda de materiais militares, nucleares e aeroespaciais. A investigação, conduzida por analistas da StealthMole e divulgada pela Cyber Security News, revela que as postagens surgiram em fóruns da dark web e canais do Telegram, criando um cenário de risco significativo para equipes de segurança do setor público e de defesa.
É crucial destacar que, até o momento, a atividade não foi confirmada como uma campanha de malware ou prova de que todas as organizações nomeadas foram violadas. O que se observa é um ecossistema de mercado e mensagens onde vendedores podem exagerar, reciclar registros ou oferecer material que não roubaram. No entanto, a persistência dos identificadores operacionais e a sofisticação das alegações exigem atenção imediata dos CISOs e equipes de inteligência de ameaças.
O que é o ModernStealer
A investigação começou com uma postagem no DarkForums que anunciava um suposto documento sobre uma parceria de drones entre Turquia e Paquistão. O post citava a Baykar Teknoloji, o Parque Nacional de Ciência e Tecnologia Aeroespacial do Paquistão, transferência de tecnologia, treinamento, pesquisa conjunta, localização e aquisição. Embora o post não mostrasse quem obteve o documento, se era autêntico ou se houve violação, ele forneceu aos pesquisadores um ponto de partida útil: um identificador de contato que apareceu novamente em uma listagem do ModernStealer anunciando um suposto banco de dados da Autoridade de Regulação Nuclear do Paquistão.
As buscas encontraram cinco listagens do ModernStealer e oito listagens relacionadas ao governo. Os posts nomearam o NUST e o SUPARCO do Paquistão, o exército do Bangladesh e órgãos de defesa dos EUA. O relatório enfatiza que essas são alegações, não intrusões confirmadas. Essa cautela é importante porque corretores da dark web frequentemente reempacotam violações antigas ou misturadas como vazamentos novos, criando urgência falsa enquanto os defensores separam um incidente de um discurso de vendas.
Evidências e rastreamento
Um identificador de Session recorrente ampliou o panorama. Ele apareceu em 30 threads indexados, incluindo postagens do Zu1f1q4r anunciando aquisição militar do Paquistão, material do Bureau de Inteligência e documentos da Agência Federal de Investigação. O identificador compartilhado estabelece uma sobreposição operacional, mas não prova que o ModernStealer e o Zu1f1q4r são a mesma pessoa. Eles podem ser operadores separados compartilhando infraestrutura ou membros de grupo, então a atribuição deve permanecer medida e baseada em evidências.
A trilha também chegou a uma conta do Telegram identificada como Sassoon Don. Uma mensagem dessa conta usou o mesmo contato Session enquanto buscava documentos classificados sobre a Ucrânia e países da Ásia Central, e o ModernStealer listou a conta diretamente como uma opção de contato em postagens de documentos militares. O PriorOps usou o mesmo identificador do Telegram em um post que afirmava oferecer um banco de dados de pessoal do Exército de Libertação Popular.
Infraestrutura de comunicação e riscos
Isso mostra por que o uso do Telegram para acesso inicial e atividade subterrânea merece monitoramento junto com fóruns: os apelidos podem mudar, enquanto os contatos operacionais permanecem os mesmos. Pesquisadores também notaram um usuário diferente do Telegram que posteriormente adotou o nome ModernStealer e havia perguntado anteriormente sobre vazamentos de drones e projetos. No entanto, nenhum artefato persistente o conectou ao cluster mais forte do ModernStealer, Sassoon Don e Zu1f1q4r, deixando-o como uma pista não confirmada em vez de um alias provado.
A análise técnica dos artefatos revela o uso de identificadores persistentes que sobrevivem à troca de nomes de usuário. O uso de Session IDs e Tox IDs indica uma preferência por protocolos de comunicação descentralizados e resistentes à censura, o que dificulta a interrupção das operações pelo ator. A persistência desses identificadores em múltiplas plataformas (DarkForums, Breached, Telegram) sugere uma operação madura que entende a importância da continuidade operacional.
Alvos e reivindicações
As listagens podem criar pressão antes da verificação, forçando as organizações a avaliar amostras e decidir se uma alegação sinaliza comprometimento. Os alvos mencionados incluem:
- Paquistão: Autoridade de Regulação Nuclear, NUST, SUPARCO, Exército, Bureau de Inteligência, Agência Federal de Investigação.
- Turquia: Parceria de defesa com drones (Baykar Teknoloji).
- EUA: Órgãos de defesa.
- Outros: Ucrânia, países da Ásia Central, Exército de Libertação Popular (China).
A diversidade geográfica e setorial dos alvos indica que o ator não está focado em um único país, mas sim em explorar a demanda global por informações sensíveis de defesa. Isso amplia o escopo de risco para organizações internacionais que operam nessas regiões ou possuem contratos governamentais.
Implicações para organizações de defesa
Para as organizações afetadas, a resposta prática é validar antes de escalar. As equipes devem preservar logs, comparar amostras com seus registros, redefinir credenciais expostas quando as evidências apoiarem e evitar amplificar postagens não verificadas. Essa disciplina complementa as verificações de alegações de vazamento baseadas em evidências quando adversários usam visibilidade e incerteza como alavanca.
Organizações de defesa e governo devem revisar o acesso remoto, implementar autenticação multifator resistente a phishing, remover contas não utilizadas e monitorar logins incomuns. Essas medidas importam onde credenciais roubadas são comercializadas rapidamente, como mostrado em relatórios sobre malware infostealer de baixo custo que visa ambientes de alto valor.
Medidas de mitigação recomendadas
Diante das evidências, recomenda-se as seguintes ações imediatas para equipes de segurança:
- Monitoramento de Dark Web: Implementar varreduras contínuas em fóruns e canais do Telegram usando os identificadores de Session e Tox IDs conhecidos.
- Verificação de Credenciais: Comparar credenciais internas com bancos de dados de vazamentos conhecidos e forçar redefinição se houver correspondência.
- Hardening de Acesso Remoto: Revisar políticas de acesso remoto, especialmente para servidores críticos e dados classificados.
- Conscientização: Treinar equipes para identificar tentativas de engenharia social baseadas em alegações de vazamento.
- Inteligência de Ameaças: Integrar os IoCs fornecidos (Session IDs, User IDs) em plataformas de SIEM e Threat Intelligence.
Indicadores de Comprometimento (IoCs)
Os analistas identificaram os seguintes indicadores que devem ser monitorados em tempo real:
| Tipo | Indicador | Descrição |
|---|---|---|
| Session ID | 05214b...f6163 | Identificador de contato reutilizado em listagens ligadas ao ModernStealer. |
| Tox ID | 65BB...BC9D | Identificador de contato listado em postagens atribuídas ao Zu1f1q4r. |
| Telegram User ID | 7605334264 | Identificador imutável associado à conta Sassoon Don. |
| Telegram User ID | 1628612534 | Identificador para uma conta separada que usou o nome ModernStealer. |
| Defanged URL | https://darkforums.**/Thread****PK-TUR-PAK-DEFENSE-DRONE-DEAL | Listagem no DarkForums sobre suposto acordo de defesa de drones. |
Nota: Endereços IP e domínios são intencionalmente defanged (ex: [.]) para evitar resolução acidental. Re-fang apenas dentro de plataformas de threat intelligence controladas como MISP, VirusTotal ou SIEM.
O que os CISOs devem fazer agora
O ModernStealer ilustra o valor de seguir identificadores duráveis em vez de confiar em nomes de fórum. As evidências suportam links entre várias contas, mas não uma conclusão final sobre um único operador, e cada vazamento anunciado ainda requer verificação independente. A incerteza é uma arma do adversário; a disciplina de verificação é a defesa do CISO.
Organizações devem evitar o pânico, mas não a complacência. A simples existência de alegações na dark web não confirma um incidente, mas a probabilidade de credenciais vazadas sendo usadas para acesso inicial é alta. A prioridade deve ser a higiene de credenciais e a visibilidade de acesso remoto.
Perguntas frequentes
Isso confirma um ataque bem-sucedido? Não. Até o momento, são alegações de venda de dados. A verificação independente é necessária.
Devo bloquear os canais do Telegram? Sim, os User IDs e canais listados devem ser bloqueados em gateways de e-mail e proxies, se aplicável.
Como devo verificar se meus dados estão na lista? Utilize ferramentas de monitoramento de dark web e compare hashes de credenciais com os IoCs fornecidos.
Qual o impacto na LGPD? Se houver vazamento de dados de cidadãos brasileiros, a notificação à ANPD e aos titulares pode ser obrigatória, dependendo da natureza dos dados.