Analisando Inteligência de Sites de Vazamento de Ransomware

Visão Geral

Grupos de ransomware que operam sob modelos de dupla extorsão mantêm sites de vazamento de dados (DLS) em serviços ocultos do Tor, onde publicam nomes de vítimas, amostras de dados roubados e contagens regressivas para pressionar pelo pagamento. No primeiro semestre de 2025, 96 grupos únicos de ransomware estavam ativos, listando aproximadamente 535 vítimas por mês. Monitorar esses sites fornece inteligência sobre grupos de ameaças ativos, setores visados, padrões geográficos e famílias emergentes de ransomware. Esta habilidade abrange a coleta segura de inteligência de DLS, extração de dados estruturados, rastreamento de tendências de atividade de grupo e produção de avaliações de risco específicas do setor.

Quando Usar

• Ao investigar incidentes de segurança que exigem a análise de inteligência de sites de vazamento de ransomware.
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio.
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise.
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas.

Pré-requisitos

• Python 3.9+ com requests, beautifulsoup4, pandas, matplotlib bibliotecas.
• Proxy Tor (SOCKS5) para acessar sites .onion ou feeds comerciais de monitoramento de DLS.
• Compreensão do modelo de negócios de dupla extorsão de ransomware.
• Familiaridade com as principais famílias de ransomware (Qilin, Akira, LockBit, BlackCat, Clop).
• Acesso a feeds de rastreamento de ransomware (Ransomwatch, RansomLook, DarkFeed).

Conceitos Chave

Modelo de Dupla Extorsão

Grupos modernos de ransomware criptografam os dados da vítima E os exfiltram antes da criptografia. Sites de vazamento servem como pressão pública: as vítimas são listadas com uma contagem regressiva, amostras parciais de dados e árvores de arquivos. Se o resgate não for pago, os dados completos são publicados. Alguns grupos passaram para a tripla extorsão, adicionando ameaças de DDoS ou contatando diretamente os clientes das vítimas.

Valor da Inteligência de DLS

Sites de vazamento fornecem: identificação da vítima (nome da empresa, setor, país), linha do tempo do ataque (quando listado, prazo, dados publicados), estimativas de volume de dados, avaliação da capacidade do grupo (setores visados, frequência de ataques, ritmo operacional) e análise de tendências (novos grupos emergindo, grupos mudando de nome, desativações por forças policiais).

Práticas Seguras de Coleta

Nunca acesse diretamente sites de DLS em um ambiente de produção. Use serviços de monitoramento desenvolvidos para esse fim (Ransomwatch, DarkFeed, KELA, Flashpoint), VMs de pesquisa isoladas com Tor, plataformas comerciais de inteligência de ameaças ou conjuntos de dados mantidos pela comunidade. Toda análise deve ser conduzida em ambientes isolados com autorização adequada.

Fluxo de Trabalho

Etapa 1: Ingerir Dados de Sites de Vazamento de Ransomware de Feeds Públicos

import requests
import json
import pandas as pd
from datetime import datetime, timedelta
from collections import Counter

class RansomwareIntelCollector:
    """Coleta inteligência de DLS de ransomware de fontes públicas de rastreamento."""

    RANSOMWATCH_API = "https://raw.githubusercontent.com/joshhighet/ransomwatch/main/posts.json"
    RANSOMWATCH_GROUPS = "https://raw.githubusercontent.com/joshhighet/ransomwatch/main/groups.json"

    def __init__(self):
        self.posts = []
        self.groups = []

    def fetch_ransomwatch_data(self):
        """Busca posts de vítimas de ransomware do ransomwatch."""
        resp = requests.get(self.RANSOMWATCH_API, timeout=30)
        if resp.status_code == 200:
            self.posts = resp.json()
            print(f"[+] {len(self.posts)} posts de vítimas carregados do ransomwatch")
        else:
            print(f"[-] Falha ao buscar posts: {resp.status_code}")

        resp = requests.get(self.RANSOMWATCH_GROUPS, timeout=30)
        if resp.status_code == 200:
            self.groups = resp.json()
            print(f"[+] {len(self.groups)} perfis de grupos de ransomware carregados")

        return self.posts

    def get_recent_victims(self, days=30):
        """Obtém vítimas postadas nos últimos N dias."""
        cutoff = datetime.now() - timedelta(days=days)
        recent = []
        for post in self.posts:
            try:
                discovered = datetime.fromisoformat(
                    post.get("discovered", "").replace("Z", "+00:00")
                )
                if discovered.replace(tzinfo=None) >= cutoff:
                    recent.append(post)
            except (ValueError, TypeError):
                continue
        print(f"[+] {len(recent)} vítimas nos últimos {days} dias")
        return recent

    def get_group_activity(self, group_name):
        """Obtém todos os posts de um grupo de ransomware específico."""

…