Brasil já tem grupos de cibercrime com capacidade comparável à de APTs
O cibercrime financeiro no Brasil está se tornando mais sofisticado e organizado. Um relatório estratégico da DANRESA sobre as ameaças observadas em setembro aponta que grupos locais já demonstram capacidades antes associadas a APTs – sigla para ameaças persistentes avançadas, operações conduzidas com planejamento, recursos e objetivos definidos.
A análise destaca três tendências no período: invasões a plataformas de administração de segurança, exploração acelerada de vulnerabilidades e profissionalização de criminosos especializados em fraudes financeiras. O documento foi encaminhado ao CISO Advisor em 7 de outubro.
Consoles de gestão viram alvo prioritário
Um dos principais alertas diz respeito ao comprometimento do chamado plano de controle das redes. Esse conjunto inclui ferramentas como gerenciadores de firewall, sistemas de identidade e plataformas usadas para organizar a infraestrutura de tecnologia.
Esses recursos, antes vistos sobretudo como instrumentos de proteção e administração, passaram a ocupar uma posição central nas estratégias dos invasores. Acesso remoto e gestão centralizada aparecem entre os vetores mais relevantes porque permitem alcançar componentes críticos de diferentes partes do ambiente.
Segundo os casos analisados, a invasão desses sistemas não serve apenas para desativar ou contornar mecanismos de defesa. Os criminosos também podem usar os painéis administrativos para mapear a rede, identificar serviços importantes e preparar novas etapas do ataque.
Daniel Porta, CISO da DANRESA, observa que a disputa deixou de se concentrar somente nas bordas da rede. Quando um console administrativo é comprometido, uma ferramenta criada para proteger a organização pode fornecer aos invasores informações estratégicas e meios para ampliar a intrusão.
Volume de falhas pressiona equipes de segurança
A quantidade de vulnerabilidades divulgadas também elevou o nível de risco. De acordo com dados do MSRC considerados no relatório, a Microsoft lançou seu maior ciclo de correções até então, contemplando 974 falhas.
O episódio evidencia um desequilíbrio entre a rapidez com que vulnerabilidades são identificadas e exploradas e o tempo necessário para que as empresas avaliem, testem e instalem correções. Esse intervalo pode se tornar uma janela de oportunidade para ataques.
A automação amplia o problema. Em apenas cinco dias, ferramentas automatizadas fizeram crescer cem vezes o número de endereços IP que buscavam explorar falhas em plataformas de sites. Ao mesmo tempo, a CISA definiu um prazo emergencial de 72 horas para a correção de vulnerabilidades que já estavam sendo exploradas ativamente.
Grupos brasileiros sofisticam fraudes financeiras
No cenário nacional, a DANRESA identificou um grupo de origem brasileira com foco no roubo de criptoativos e na automação de fraudes envolvendo pagamentos instantâneos, como o Pix. Entre os recursos atribuídos ao cluster estão backdoors desenvolvidos em Go, uso de serviços de nuvem corporativa e implantes em clusters Kubernetes.
Essa combinação mostra que as operações criminosas podem ir além de golpes pontuais contra usuários. A presença em ambientes de nuvem e infraestrutura de contêineres indica capacidade de buscar acesso a sistemas empresariais, manter presença e explorar recursos tecnológicos para apoiar diferentes fases da operação.
Porta afirma que o crime financeiro doméstico passou a incorporar técnicas de invasão e exploração de ambientes em nuvem. Para bancos, fintechs e empresas que custodiam ativos digitais, isso representa uma mudança importante: ferramentas tradicionais de detecção de fraude podem não ser suficientes quando o ataque também envolve comprometimento de infraestrutura.
Como reduzir o risco
A DANRESA recomenda que consoles de gerenciamento críticos sejam tratados como ativos de máxima criticidade. Na prática, isso significa limitar quem pode acessá-los, reduzir sua exposição à internet e separá-los de redes usadas no dia a dia. O isolamento de rede ajuda a impedir que uma conta ou dispositivo comprometido se transforme em uma porta de entrada para toda a infraestrutura.
A autenticação multifator deve ser aplicada de forma rigorosa, principalmente para acessos administrativos e remotos. Também é importante revisar privilégios regularmente: contas com permissões excessivas aumentam o impacto de uma invasão e podem facilitar a alteração de configurações de segurança.
Outro cuidado é manter um inventário atualizado de sistemas, serviços em nuvem, aplicações e dependências. Sem saber quais ativos estão em uso e quem responde por eles, a organização pode deixar expostos equipamentos ou plataformas sem correção. A priorização deve considerar não apenas a gravidade técnica da falha, mas também sua exploração ativa e a importância do sistema afetado.
Quando uma plataforma de administração ficou exposta antes da aplicação de correções, instalar a atualização não encerra necessariamente o risco. A recomendação é investigar o ambiente para procurar sinais de acesso indevido, alterações de configuração, criação de contas, movimentações laterais e uso de credenciais. A análise forense pode ajudar a determinar se houve invasão e quais medidas adicionais são necessárias.
Por fim, bancos, fintechs e empresas que lidam com criptoativos precisam combinar controles contra fraude com monitoramento de infraestrutura. A observação de acessos administrativos, atividades em nuvem e movimentações incomuns entre sistemas permite identificar comportamentos suspeitos que mecanismos focados apenas em transações podem deixar passar. O avanço dos grupos brasileiros torna essencial integrar prevenção, resposta a incidentes e revisão contínua das defesas.