A principal notícia de segurança cibernética nos Estados Unidos em agosto envolve o vazamento de 2,7 bilhões de números de previdência social, recorde semelhante ao CPF. O grupo cibercriminoso que reivindicou o ataque é USDoDconhecido por também hackear diversas empresas ao redor do mundo. Agora, uma investigação aponta para o possível líder do grupo: ele o nome dele é Luan e ele seria brasileiro.
Um relatório completo da CrowdStrike recebido por TecMundo revela que o provável líder do grupo USDoD é um homem de 33 anos chamado Luan BG que mora em Minas Gerais, Brasil.
Todas as informações relacionadas ao cibercriminoso já foram entregues às autoridades. Entre eles foi possível identificar registro fiscal, endereços de e-mail, domínios registrados, endereços IP, contas de mídia social, número de telefone e cidade. Informações mais precisas não foram reveladas ao TecMundo para não expor completamente a identidade do invasor.
“Expor a identidade de indivíduos num relatório de inteligência apresenta riscos. Apesar do seu envolvimento em atividades cibernéticas maliciosas, aspectos da vida privada destes indivíduos — como familiares, fotos pessoais e outras informações pessoais — merecem ser protegidos, a menos que sejam relevantes para a investigação”, aponta CrowdStrike.
Imagem de perfil nas antigas redes sociais de Luan
O cibercriminoso do USDoD
O grupo USDoD surgiu nos últimos meses com denúncias de ataques a diversas empresas e institutos.
Usuário do fórum cibercriminoso Breach Forums, o grupo é conhecido por vazar bancos de dados e informações de funcionários e clientes de empresas como: companhia aérea Airbus, Agência de Proteção Ambiental dos EUA, programa FBI InfraGard, sucateamento do LinkedIn e agência de classificação de segurança TransUnion credit.
Além disso, o grupo afirmou que também teria acesso a dados relativos às empresas norte-americanas de equipamento militar Lockheed Martin e Raytheon.
O último ataque, que foi o mais divulgado, envolveu a empresa Jericho Inc (National Data Public), dos Estados Unidos. O incidente resultou no roubo de 2,9 bilhões de registros.
Totalizando 277 GB de dados, o pacote com as informações estava à venda por US$ 3,5 milhões, o equivalente a R$ 19,7 milhões pelo câmbio da época. Continha nomes completos, histórico de endereços de pelo menos três décadas e detalhes de pais, irmãos e outros parentes de pessoas inseridas na plataforma.
O USDoD também divulgou a ideia de ter atacado o CrowdStrike e vazado dados confidenciais — na verdade, foram coletadas informações que já foram entregues ao público e aos clientes da empresa.
Circulam rumores de que os ataques realizados pelo grupo cibercriminoso USDoD usariam software malicioso conhecido como ransomware. Neste caso, ransomware de outro grupo prolífico, RansomMed.
Github do ator
Líder identificado
A investigação da CrowdStrike aponta que o líder do USDoD, Luan BG, tem um histórico de hackativismo de longa data, começando em 2017 até 2022, quando provavelmente iniciou operações cibercriminosas mais complexas.
Aqui é necessária uma explicação rápida: o hacktivismo não significa necessariamente que haja crime envolvido. Pode envolver simplesmente a manutenção de contas nas redes sociais com manifestos políticos, por exemplo.
O que fez a ligação, neste caso, entre o hackativismo e o cibercrime praticado por Luan foi o ator utilizar as mesmas descrições em perfis nas redes sociais.
“A CrowdStrike Intelligence tem rastreado o USDoD desde o final de 2022, quando o ator afirmou pela primeira vez ter acessado dados de uma parceria público-privada de compartilhamento de inteligência dos EUA. Desde então, a CrowdStrike Intelligence reportou atividades do USDoD mais 12 vezes”, afirma a empresa.
O caminho de identificação trouxe dados que escalaram a identidade do líder:
- Entre 2017 e 2022, Luan usa apenas um e-mail (“luanbgs22@”) para criar contas em diferentes fóruns
- O mesmo e-mail foi usado para fazer edições nas páginas do GitHub com ferramentas de código aberto para ataques cibernéticos
- Os mesmos domínios registrados por e-mail para promover projetos de ferramentas de ataque cibernético
- O mesmo e-mail estava associado a diversas contas pessoais de Luan
- Desde 2017, o mesmo e-mail registrava o nome “NatSec” no Medium para criar uma publicação sobre malware
- Devido a e-mails e publicações no Medium, foi possível chegar ao Instagram de Luan, que continha a frase “Eu Protejo a colmeia. Quando o sistema está desequilibrado, eu corrijo”
- A mesma frase e e-mail foram associados à conta do Twitter @equationcorp
Em diversas publicações em fóruns e redes sociais, Luan BG também foi vinculado a diversos apelidos utilizados, além de “NatSec”: NetSec, LLTV, LBG91 e Labs22.
CrowdStrike afirma que, pelo fato de Luan BG não ter muito conhecimento técnico dentro do hackativismo no início de seu trabalho, a identificação foi mais fácil, principalmente a coleta de fotos de perfil e e-mails.
Instagram USDoD
A vaidade do crime cibernético
A vaidade é uma característica comum entre os cibercriminosos que realizam ataques contra grandes empresas. Entre 2021 e 2022, outro grupo ficou conhecido no mundo: os Lapso.
A Lapsus obteve dados sensíveis de empresas e instituições como Samsung, Claro, Ministério da Saúde, Rockstar, NVIDIA, JBS e muitas outras. A abordagem criminosa ia desde a obtenção de acesso privilegiado aos sistemas até a chantagem para a não divulgação do que foi acessado.
Não foi muito difícil: entrevistei o líder do Lapsus em janeiro de 2022. A vaidade por suas ações está exposta na matéria “O cibercrime e o espetáculo do reconhecimento: uma entrevista com o Lapsus”.
O USDoD não seguiu um caminho diferente. O líder do grupo cibercriminoso concedeu uma entrevista ao site DataBreaches.net em 2023, o que também acabou ajudando na sua identificação.
Na entrevista, o USDoD afirma ter cerca de 30 anos e dupla cidadania: Brasil e Portugal. Além disso, hoje a sua residência seria a Espanha.
“O USDoD afirma que começou em 1999, após ingressar em uma comunidade brasileira de jogos”, escreve DataBreachs. “Ele tinha 11 anos na época e diz que conseguiu usar habilidades sociais para ajudar a derrubar um pedófilo. Ele também afirma que um moderador daquela comunidade, que também era desenvolvedor do software r3x, o colocou sob sua proteção e o incentivou e ajudou a desenvolver habilidades. Ele diz que também ficou muito impressionado com Kevin Mitnick.”
O blog da plataforma brasileira Vydar, em julho deste ano, também apontou a nacionalidade do USDoD após investigação.
Em sua reportagem sobre Luan BG, a CrowdStrike afirmou que, apesar de alegar a nacionalidade brasileira, o USDoD sempre indicou que ele mora em diversos países europeus. Ainda assim, provavelmente percebendo que estaria a dar demasiada informação, declarou em 2023 no X (antigo Twitter) que “todos os aspectos da minha informação pública são desinformação” e afirmou que, de facto, tinha cidadania norte-americana.
Não apenas e-mails e contas em fóruns de vazamento e carding, a atividade de Luan BG na internet também foi rastreada devido ao seu endereço IP.
Em julho de 2024, o fórum cibercriminoso BreachForums sofreu um vazamento e chegou a expor o IP de seus usuários. Com esse material em mãos, a CrowdStrike descobriu que Luan enviava mensagens de endereços IPv4 dinâmicos e de vários endereços IPv6 pertencentes a um ISP brasileiro com GeoIP na cidade de Minas Gerais.
“De acordo com fontes sensíveis da CrowdStrike, os registros financeiros também vincularam o USDoD ao Brasil recentemente, em meados de 2024, quando um indivíduo responsável pela conta @equationcorp no Twitter fez pagamentos online com cartão de crédito de uma instituição financeira brasileira”, diz a empresa.
Logotipo da CrowdStrike
Os próximos passos
Como referimos anteriormente, a CrowdStrike já entregou todas as informações recolhidas às autoridades responsáveis.
A empresa observa que o USDoD continua seu trabalho para obter dados confidenciais de empresas e instituições e posteriormente vendê-los — ou chantagear a vítima para que não divulgue/venda.
“A CrowdStrike Intelligence avalia que é improvável que a publicação de informações sobre a verdadeira identidade do USDoD mude o foco do ator no curto prazo, pois ele provavelmente negará a informação ou, em última análise, alegará que intencionalmente levou os pesquisadores a vincular ‘erronemente’ sua identidade a Luan BG”, declara a empresa.
Os pesquisadores da CrowdStrike observam que há um desejo contínuo de que Luan seja reconhecido nas comunidades hacktivistas e cibercriminosas, então é provável que ele não pare tão cedo.
O que é ransomware
Quer entender o que é esse ransomware que notamos aqui? Acompanhe abaixo:
empréstimo consignado descontado em folha de pagamento
zap empréstimo
simular empréstimo fgts bradesco
empréstimo auxílio brasil 2023
limite para empréstimo consignado
nova margem consignavel
empréstimo em belo horizonte
