Atribuição de Ameaças e Rastreamento de Campanhas

A atribuição de ameaças tenta identificar quem realizou um ataque: um agente estatal específico, um grupo criminoso ou um coletivo hacktivista. A atribuição orienta decisões estratégicas (resposta política e aplicação da lei), mas uma atribuição com alto grau de confiança é difícil e frequentemente permanece como inteligência classificada.

As evidências de atribuição abrangem: indicadores técnicos (similaridade de código, infraestrutura compartilhada e ferramentas C2), padrões operacionais (alvos, momento e foco no setor), contexto estratégico (motivação geopolítica), inteligência humana (declarações de agentes e atividade em fóruns) e inteligência de sinais de agências governamentais.

A análise de sobreposição de código compara características de arquivos binários de software malicioso: similaridade no nível das funções por meio do BinDiff, constantes de texto exclusivas, idioma das mensagens de erro, artefatos do compilador e reutilização de código de ferramentas de criação compartilhadas. Os APTs reutilizam código entre campanhas, criando impressões digitais que podem ser associadas mesmo entre famílias diferentes de software malicioso.

Os invasores reutilizam a infraestrutura: o mesmo IP C2 hospedando várias campanhas, certificados SSL reutilizados em diferentes domínios, preferências de ASN e padrões de provedores de hospedagem. O DNS passivo correlaciona a infraestrutura ao longo do tempo — quando um domínio C2 de uma campanha resolve para um IP usado em outra, isso estabelece uma ligação entre elas.

Os grupos do MITRE ATT&CK documentam TTPs (táticas, técnicas e procedimentos) de agentes de ameaças conhecidos. Comparar os TTPs observados em um incidente com os perfis de grupos do ATT&CK identifica agentes candidatos. Nenhum TTP é exclusivo — a atribuição exige conjuntos de técnicas e ferramentas sobrepostas.

Agentes sofisticados plantam deliberadamente evidências falsas: cadeias de caracteres de código no idioma errado, infraestrutura sobreposta à de outros agentes conhecidos ou horários alinhados à atividade conhecida de outro grupo. Nunca atribua um ataque com base em um único indicador — as falsas bandeiras têm como alvo específico os métodos de atribuição baseados em um único indicador.

As convenções de nomenclatura dos fornecedores variam: a Mandiant usa números de APT (APT28), a Microsoft usa temas meteorológicos (Midnight Blizzard) e a CrowdStrike usa nomes de animais (Fancy Bear). O mesmo agente pode ter mais de 10 nomes. Os grupos do MITRE ATT&CK consolidam os aliases do mesmo agente nos relatórios dos fornecedores.

O Modelo Diamante descreve cada intrusão com quatro características: adversário, capacidade (software malicioso ou TTP), infraestrutura (IPs ou domínios C2) e vítima. As relações entre as características criam um grafo para rastrear campanhas. A investigação a partir de qualquer característica revela incidentes relacionados e a atividade do agente.

As campanhas de APT se estendem por meses ou anos. Rastreie as campanhas por meio de: padrões consistentes de alvos (o mesmo setor), evolução do software malicioso (novas versões da mesma família), padrões de rotação da infraestrutura e consistência dos TTPs. O mapeamento cronológico entre incidentes revela as fases da campanha e a evolução de seus objetivos.

Níveis de confiança da inteligência: Baixo (alguns indicadores fracos), Médio (vários indicadores técnicos corroborantes), Alto (evidências técnicas, operacionais e contextuais, confirmadas por pesquisadores independentes). A atribuição governamental pode incluir inteligência classificada que não aparece em relatórios públicos — elevando o nível de confiança declarado além do que a análise técnica isolada sustenta.

A atribuição pública influencia a política, a aplicação da lei e a resposta do setor. Uma atribuição prematura ou incorreta causa incidentes diplomáticos e direciona incorretamente os recursos de defesa. A atribuição responsável exige padrões rigorosos de evidência, reconhecimento da incerteza e atualização das conclusões quando surgem novas evidências.

Por que a reutilização da infraestrutura é valiosa para atribuir um ataque a um agente de ameaça?

A atribuição de ameaças combina a similaridade do código de software malicioso, a análise da reutilização da infraestrutura, o mapeamento de TTPs para grupos do ATT&CK e o Modelo Diamante para criar perfis de agentes baseados em evidências. Uma atribuição com alto grau de confiança exige vários fluxos independentes de evidências, conhecimento das operações de falsa bandeira e uma calibração adequada do nível de confiança.