DarkSide operava ransomware como uma franquia — comissões escalonadas, afiliados, um helpdesk (entrevista)

No programa Fresh Air da NPR, em junho de 2021, o repórter investigativo do New York Times Michael Schwirtz descreveu o que encontrou nas comunicações internas do DarkSide, a operação de ransomware de língua russa que atacou a Colonial Pipeline e arrecadou mais de US$ 90 milhões em aproximadamente seu primeiro ano desde o lançamento, em agosto de 2020. O bilhete de resgate que as vítimas viam começava com “Welcome to DarkSide” — formal, profissional, com ameaças sutis para que não mexessem nos próprios sistemas. Além de criptografar arquivos, o grupo roubava dados proprietários e ameaçava divulgá-los publicamente ou vendê-los a rivais e outros hackers.

O DarkSide era estruturado como uma franquia. Ele escrevia o ransomware, mas terceirizava as invasões propriamente ditas a afiliados — outros hackers que aderiam ao uso do malware mediante uma taxa em escala móvel vinculada ao valor do resgate. Um resgate inferior a US$ 500 mil deixava ao DarkSide cerca de 25%; em resgates acima de US$ 5 milhões, sua fatia caía para cerca de 10%, uma divisão descrita como bastante generosa. No pagamento de US$ 4,5 milhões da Colonial Pipeline, cerca de 10% foram para o DarkSide e o restante para o afiliado que penetrou nos sistemas. O grupo recrutava em fóruns da dark web, sendo um entre dezenas de grupos que competiam por afiliados qualificados.

Até a experiência da vítima foi transformada em produto. A maioria das vítimas não sabia usar Bitcoin, então o DarkSide mantinha um helpdesk — com chat, como a linha de suporte de um provedor de internet — para orientá-las no pagamento. O objetivo, disse Schwirtz, era tornar o pagamento o mais simples possível, para que as vítimas resolvessem o problema e seguissem em frente em vez de lutar para recuperar seus dados. Quando o DarkSide foi identificado como o atacante da Colonial Pipeline, ele saiu do ar.

Industrializar a extorsão: licenciar o ransomware a afiliados mediante comissão escalonada e oferecer às vítimas um helpdesk para que pagar pareça um suporte comum.

A divisão de papéis permitiu que os especialistas se especializassem: os autores do malware escalaram um único produto por dezenas de afiliados trabalhando sem parar para encontrar vítimas.

A comissão regressiva — uma fatia menor em resgates maiores — foi concebida para atrair e manter os hackers mais capazes.

Um helpdesk que facilita o pagamento remove o atrito; uma vítima confusa é um resgate não pago.

Roubar dados além de criptografá-los acrescentou um segundo canal de pressão pública, além da perda de acesso.

Os mercados criminosos se industrializam da mesma forma que o software legal — franquias, preços escalonados de SaaS, centrais de suporte — e mapear essa estrutura é como os investigadores entendem a ameaça.

Depois de ser identificado como o atacante da Colonial Pipeline — um ataque que interrompeu o fluxo de gasolina nos EUA —, o DarkSide saiu do ar. Schwirtz também reportou sobre o REvil, o grupo por trás do ataque à processadora de carne JBS, parte da mesma onda de ransomware que atingia empresas, hospitais, polícias e cidades.