Especialista conta experiência em negociação com gangues de ransomware

Apesar das indicações de autoridades para que não se pague resgates a gangues de ransomware, as corporações fazem isso o tempo todo, enviando milhões todos os anos em Bitcoin para recuperar dados que foram criptografados em ataques. Assim, agentes federais acabam ajudando as vítimas a encontrar negociadores de resgate virtuais experientes, como é o caso de Art Ehuan, especialista em gestão de risco cibernético e investigações na área, com uma carreira que abrangeu o FBI, a Força Aérea dos EUA, a Cisco, entre outros.

Atualmente, Ehuan atua no The Crypsis Group, empresa especializada em resposta a incidentes, gestão de risco e perícia, tendo contato com várias negociações com as gangues de ransomware. O The Red Tape Chronicles entrevistou Ehuan sobre sua experiencia nessas negociações. Ele explicou que as vítimas normalmente querem recompor seus computadores e suas vidas o mais rápido possível, o que geralmente significa acionar a gangue envolvida, chegar a um acordo, fazer um pagamento e confiar na promessa de um criminoso.

Segundo ele, existem gangues que têm a reputação de cumprir essas promessas, pois caso não cumpram, as empresas parariam de fazer pagamentos. Na entrevista, Ehuan conta que quando o malware é implantado, são fornecidas informações sobre como entrar em contato com os autores do crime para pagar a taxa cobrada e, assim, receber chave para descriptografar os dados. Assim, a Crypsis, bem como outras empresas semelhantes, discutem com o cliente e o advogado para decidir se eles pagarão e quanto estão dispostos a pagar. Uma vez autorizado, o contato é feito com a gangue na dark web para discutir a retomada dos dados. 

Ehuan diz ainda que há um bom sucesso na negociação de valores inferiores ao que foi inicialmente solicitado para o resgate e, uma vez que a taxa é acordada e o pagamento feito, na maioria das vezes por bitcoin, os criminosos enviam o descriptografador, que é testado em um ambiente isolado para se certificar de que faz o que deve fazer e não potencialmente introduz outro malware no ambiente. Depois de avaliado, ele é fornecido ao cliente para descriptografia de seus dados. Os criminosos também enviam provas de que os arquivos estão sendo excluídos, e às vezes isso leva vários dias.

A entrevista completa, em inglês, pode ser lida aqui.