Hackers apostam em ataques baratos e escaláveis em vez de técnicas sofisticadas

Grupos de cibercrime estão priorizando técnicas que possam ser repetidas em grande escala, em vez de ataques mais sofisticados ou personalizados. Quanto menor o custo por tentativa e mais previsível o resultado, mais fácil é ampliar a operação contra milhares de organizações.

Um dos principais exemplos é o ClickFix, técnica de engenharia social em que uma página maliciosa orienta o usuário a executar comandos no próprio sistema, normalmente sob o pretexto de validar que não é um robô ou corrigir algum problema. Segundo dados citados pela The Hacker News, o método respondeu por 47% dos ataques observados em notificações analisadas pela Microsoft no último ano.

A vantagem para os invasores é que o ClickFix não depende de vulnerabilidades, anexos maliciosos ou exploits específicos. Em muitos casos, basta convencer a vítima a copiar e executar um comando. Isso reduz a dependência de malware próprio e facilita a reutilização da mesma técnica em diferentes ambientes.

Essa mesma lógica aparece no uso de técnicas living off the land, nas quais os hackers exploram ferramentas legítimas já presentes nos sistemas, como mecanismos de script, utilitários administrativos, softwares de acesso remoto e ferramentas de compactação. Uma análise da Bitdefender sobre cerca de 700 mil incidentes indicou que 84% dos casos de alta severidade envolveram binários que já estavam instalados nas máquinas.

O modelo também ajuda a explicar o crescimento da exploração de vulnerabilidades em dispositivos expostos à internet. O relatório mais recente da Verizon citado no artigo aponta que a exploração de falhas chegou a 31% dos vetores de acesso inicial, contra 20% no período anterior. A estratégia é simples: identificar equipamentos vulneráveis, aguardar a publicação de um proof of concept funcional e automatizar a exploração em larga escala.

Nesse cenário, a exposição acaba se tornando mais importante do que o perfil específico da vítima. Em vez de desenvolver um ataque sob medida, os invasores podem simplesmente varrer a internet em busca de sistemas que ainda não receberam correções para falhas conhecidas e exploráveis remotamente.

O ransomware segue a mesma dinâmica. Dados citados no artigo mostram que esse tipo de ataque esteve relacionado a 48% dos vazamentos analisados pela Verizon, contra 44% anteriormente. Ao mesmo tempo, 69% das vítimas de ransomware não realizaram pagamentos e o valor mediano dos resgates pagos caiu de US$ 150 mil para US$ 139.875.

A consequência é um modelo em que os criminosos precisam aumentar o volume de ataques para compensar uma receita menor por vítima. Grupos de ransomware também reutilizam playbooks, ferramentas e procedimentos entre afiliados, reduzindo a necessidade de desenvolver novas técnicas para cada organização atacada.

Essa abordagem também coloca em perspectiva o uso de inteligência artificial em ataques cibernéticos. Embora modelos de IA possam ajudar na criação de ferramentas, desenvolvimento de técnicas ou aperfeiçoamento de campanhas de engenharia social, o uso de agentes autônomos para improvisar ataques contra cada vítima individualmente ainda pode representar um custo maior do que simplesmente executar procedimentos conhecidos.

Segundo a análise, a adoção mais provável da IA no curto prazo está no apoio ao desenvolvimento dos próprios playbooks: pesquisar técnicas, escrever ferramentas, criar scripts ou melhorar iscas. Depois disso, os criminosos podem continuar executando os ataques de maneira padronizada e determinística.

Para as empresas, essa característica dos ataques também cria oportunidades de defesa. Priorizar vulnerabilidades críticas em sistemas expostos à internet, restringir execução de scripts, limitar o uso de ferramentas administrativas, reduzir privilégios excessivos e monitorar combinações suspeitas de eventos pode interromper etapas fundamentais desses playbooks.

Outro ponto crítico é o monitoramento. Investigações conduzidas por equipes de resposta a incidentes e MDR da Bitdefender identificaram repetidamente organizações sem proteção adequada nos endpoints ou com ferramentas de detecção instaladas, mas sem equipes responsáveis por analisar os alertas e responder aos incidentes.