OFAC dá um golpe histórico sancionando Operation Zero por vender exploits zero day

O Gabinete de Controle de Activos Estrangeiros do Departamento do Tesouro dos Estados Unidos (OFAC) deu um golpe que combina espionagem econômica, cibercrime e riscos internos: sancionou uma empresa russa conhecida como Matrix LLC (que opera sob o nome comercial Operation Zero), juntamente com seu proprietário e vários associados por comprar e revender ferramentas de hacking roubadas que originalmente haviam sido desenvolvidas para uso exclusivo de agências governamentais aliadas. Estas medidas apoiam-se numa lei concebida para perseguir o roubo de propriedade intelectual por atores estrangeiros, o que marca um precedente em como Washington pretende travar o tráfico de exploits comerciais e militares.

De acordo com o comunicado oficial do Departamento do Tesouro, a Operation Zero recompensou quem forneceu código capaz de aproveitar vulnerabilidades em software de uso em massa, chegando mesmo a pagar por ferramentas proprietárias que não deveriam sair de um contratista americano. O próprio Departamento de Estado publicou informações relacionadas com a designação e a acção coordenada, sublinhando a dimensão diplomática e de segurança por trás da sanção. Mais detalhes podem ser consultados no comunicado do Tesouro aqui e na nota do Departamento de Estado aqui.

A operação não foi um simples intercâmbio anônimo na web profunda: por trás houve a intervenção de um ex-empregado com acesso privilegiado a programas secretos. Um ex-gerente de uma unidade de cibersegurança pertencente a um grande contratante de defesa dos EUA aceitou e vendeu várias vulnerabilidades tipo “zero-day” e ferramentas de exploração por pagamentos em criptomoedas. Esse indivíduo foi processado e condenado, fato que, segundo as autoridades, confirma a rota pela qual essas capacidades técnicas passaram do ambiente protegido de um fornecedor militar às mãos de um bróker que as comercializa.

Por que isso importa? Um “zero-day” é uma vulnerabilidade que não foi divulgada nem adesivo; sua posse significa capacidade para comprometer sistemas sem que o proprietário saiba como se defender. As empresas e as agências confiam que aqueles que desenvolvem estas capacidades dentro de programas governamentais as custodiem e não as comercializem no mercado clandestino. Quando essas ferramentas são filtradas, multiplicam-se as possibilidades de abuso: desde espionagem sobre alvos sensíveis até ataques que podem afetar infra-estruturas críticas.

Operation Zero publicou publicamente ofertas econômicas para quem consiga exploits que afetem software popular, incluindo sistemas operacionais e aplicativos de mensagens criptografadas. Em suas próprias páginas mostra uma oferta por “recompensas” e assegura que trabalha com clientes russos, tanto privados como oficiais; no entanto, sanções e pesquisas apontam para que parte desse mercado incluiu material roubado de um contratista americano. Você pode ver a oferta de recompensas no site da empresa aqui e sua lista de clientes aqui.

A ação do Tesouro apoiou-se na recém criada ferramenta legal orientada para proteger a propriedade intelectual americana contra atores estrangeiros. É a primeira vez que esta legislação específica é utilizada, sugerindo que os reguladores americanos estão dispostos a usar recursos regulatórios e financeiros para punir cadeias comerciais opacas de ciberexploits. As sanções implicam o congelamento de qualquer ativo sob jurisdição norte-americana e a exposição de terceiros a sanções secundárias se mantiverem relações comerciais com os designados.

Além de Operation Zero, os anúncios apontam empresas de tela e outras entidades que operavam como intermediárias nos Emirados Árabes Unidos e na Ásia Central, bem como indivíduos com conexões prévias a grupos de ciberdelinquência conhecidos. No âmbito do malware e das bandas criminosas, há antecedentes de atores como Trickbot que foram documentados por pesquisadores e grandes empresas tecnológicas; a Microsoft, por exemplo, tem narrado esforços para interromper essas redes em campanhas públicas de mitigação. Para aprofundar a forma como essas redes funcionam e as ações contra elas, é útil rever análises prévias de atores como Trickbot publicados por empresas de segurança e tecnologia, como o relatório da Microsoft sobre interrupções dessas redes aqui.

Este caso combina vários vectores de risco que devem preocupar os responsáveis pela segurança: a ameaça interna, o mercado negro de vulnerabilidades e a economia da criptomoeda como meio de pagamento. Um dos grandes desafios para a cibersegurança moderna é que os incentivos econômicos podem levar profissionais com acesso privilegiado a vender informações sensíveis. Por isso, padrões de controle de acesso, monitoramento de atividade privilegiada e auditorias contínuas são tão relevantes quanto a proteção técnica dos sistemas.

A sanção não é apenas um castigo simbólico; pretende aumentar o custo para quem participe nesse negócio e dissuadir intermediários e compradores de se tornarem canais secundários. No entanto, a eficácia dependerá da coordenação internacional: os ativos congelados e as barreiras financeiras são uma parte, mas cortar a procura requer colaboração entre governos, empresas tecnológicas e fornecedores de segurança para reduzir mercados opacos e melhorar a rastreabilidade de aquisições em criptomoedas.

Para as empresas de defesa e os empreiteiros, a lição é clara: além de proteger o código e as ferramentas, as políticas internas devem ser reforçadas, a rotatividade de credenciais, a segmentação de acesso a projetos sensíveis e a educação sobre riscos éticos e legais para o pessoal. Para o resto do setor tecnológico, convém entender que quando uma vulnerabilidade se comercializa fora de canais de divulgação responsável, o risco se estende a todos os usuários do software afetado.

Que uma política pública – neste caso, a lei utilizada pelo OFAC – se active pela primeira vez contra um bróker de exploits reflete uma mudança: os governos começam a tratar a venda e transferência de capacidades cibernéticas como uma questão de segurança nacional e de propriedade intelectual, não apenas como um problema técnico. Resta ver se isso obrigará os compradores a se moverem ainda mais à margem ou se conseguirá reduzir a oferta legítima de exploits em mercados clandestinos.

Em qualquer caso, o episódio serve como lembrete de que a cibersegurança é uma mistura de tecnologia, pessoas e leis. Proteger ativos críticos exige medidas em três frentes: controles técnicos, cultura organizacional que prevaleça o abuso interno e quadros legais e diplomáticos que penalizem aqueles que lucram com capacidades concebidas para proteger, não para prejudicar. Para ler o comunicado do Departamento de Estado sobre a designação, consultar a ligação oficial aqui, e o detalhe da ação do Tesouro está disponível aqui. Para contexto sobre o contratante envolvido, a página corporativa de L3Harris pode ser visitado em seu site oficial.