Muitos ataques hoje não passam por um computador físico: passam pela conta de administrador, pelo console da nuvem e pela esteira de publicação do código. A perícia reconstrói esse caminho depois do fato, com registros que essas plataformas guardam por pouco tempo.
Nos incidentes recentes, o centro do ataque quase nunca é uma máquina. É uma identidade. O atacante obtém uma conta, sobe de privilégio, cria recursos na nuvem e altera um pipeline, a esteira automática que testa e publica o código. Os vestígios ficam nos registros de autenticação, de auditoria e de atividade das plataformas.
Este núcleo não faz contenção nem recuperação do ambiente. O trabalho é pericial e começa depois do fato. Responde como o atacante entrou, com qual conta, em que minuto, o que fez, o que levou e desde quando estava lá. O resultado é um laudo ou parecer para a seguradora, para a ANPD, para o provedor de nuvem ou para o processo.
A pressa aqui é outra. Os registros nativos dessas plataformas têm retenção curta, que varia conforme o plano contratado. Preservar esses registros, com hash e cadeia de custódia, é o primeiro ato da perícia.
Quem controla a identidade controla o resto. A pergunta central é como o atacante virou administrador, e em que minuto.
Reutilização de credenciais roubadas (Pass-the-Hash), abuso da delegação Kerberos (o mecanismo que deixa um serviço agir em nome do usuário), tentativa de copiar as senhas de todo o domínio (DCSync). Também política de grupo alterada para executar comandos do invasor e cópia da base de credenciais por snapshot do servidor. Cada técnica deixa eventos próprios nos controladores de domínio.
Registros de entrada e de auditoria, métodos de autenticação cadastrados, permissões dadas a aplicativos, regras de caixa postal criadas pelo invasor e administradores removidos. É onde aparecem a tomada do tenant (o ambiente da empresa na nuvem da Microsoft) e a fraude por e-mail corporativo.
Quando o domínio local se sincroniza com a nuvem, o ataque atravessa os dois. A perícia põe eventos de origens diferentes na mesma linha do tempo, no mesmo fuso. A ordem dos fatos decide por onde o ataque começou.
A redefinição de senha validada só por SMS pode virar porta de entrada, ainda mais em conta com privilégio permanente de administrador. A perícia mostra quem redefiniu, por qual canal e o que fez em seguida.
"Tínhamos MFA" é a frase mais ouvida depois da invasão de uma conta. O segundo fator reduz o risco, mas não encerra a discussão. O contorno da autenticação multifator é hoje uma das demandas mais frequentes desta área.
Os registros costumam mostrar qual foi o caminho: dispositivo, endereço, navegador, sessão reaproveitada sem novo login, método novo cadastrado minutos antes. E a resposta muda a discussão de responsabilidade. Falha de configuração, descuido do usuário, falha de fornecedor e participação interna levam a desfechos diferentes na seguradora, na ANPD e na Justiça do Trabalho.
Perícia em AWS, Microsoft Azure e Google Cloud, em clusters Kubernetes (a plataforma que executa e coordena contêineres, os pacotes em que as aplicações rodam hoje) e em repositórios e pipelines de código, o que a área de tecnologia chama de DevOps. A coleta usa acesso somente leitura. Quando o provedor informa o hash do dado, a cópia é conferida contra ele.
Falha na aplicação que leva ao serviço de metadados da instância (o endereço interno onde a máquina virtual guarda suas credenciais temporárias), roubo dessas credenciais e criação de tarefas maliciosas. O vetor se prova cruzando os registros de atividade da nuvem com o log da aplicação, com precisão de segundos.
Aquisição dos nós e dos volumes, registros de auditoria do cluster e comandos executados. O exame mostra o que rodou, com qual conta de serviço e por onde os dados saíram.
Chaves de acesso esquecidas no código, pipeline alterado para executar comandos do invasor e ferramentas legítimas de acesso remoto usadas como disfarce. O histórico de versões mostra quem mudou o quê, e quando.
Às vezes o invasor não quer os dados. Quer a capacidade de processamento da vítima. Ele cria máquinas virtuais para minerar criptomoeda, processar vídeo, quebrar senhas ou disparar ataques de negação de serviço (DDoS) contra terceiros. A empresa descobre o ataque pela fatura.
A perícia mostra quais recursos foram criados, quando, em que regiões, por qual identidade e a partir de onde. Separa o uso legítimo do uso do invasor e delimita o período do abuso. O laudo sustenta a contestação da cobrança junto ao provedor. Em caso de DDoS, pode documentar também que a empresa foi usada no ataque, e não é a sua autora.
Uma empresa recebeu do provedor de nuvem uma cobrança adicional que não reconhecia. Na conta havia máquinas virtuais criadas sem autorização, minerando criptomoeda.
A perícia reconstruiu, a partir dos registros da conta, a criação dessas máquinas e as separou do uso legítimo da empresa.
O trabalho pericial apoiou a contestação da cobrança junto ao provedor. A cobrança adicional foi cancelada.
Um ataque atingiu o domínio local e a nuvem de uma organização. A pergunta era por onde ele tinha começado.
A perícia correlacionou milhões de eventos de dois controladores de domínio, agrupados por tipo de evento, com os registros da nuvem, numa única linha do tempo.
O domínio local foi comprometido quase meia hora antes da nuvem. Esse foi o ponto de partida da apuração.
Uma empresa paga um fornecedor numa conta bancária trocada por e-mail. A caixa do diretor financeiro tinha MFA ativo, e a seguradora pergunta como a conta foi tomada.
Nesse cenário, a perícia examinaria os registros de entrada e de auditoria do Microsoft 365. Poderia achar um token de sessão reaproveitado em outro país, sem nova autenticação, e uma regra de caixa postal criada minutos depois para esconder as respostas do fornecedor verdadeiro.
O laudo mostraria a técnica, o momento da tomada da conta e o que o invasor leu e enviou. É a base para a discussão de cobertura e para a ação contra quem recebeu o dinheiro.
Consulte também
Autoria Digital e Quebra de Sigilo Telemático → Antiforense e Evidência Destruída → Perícia em LGPD, ANPD e Vazamento de Dados → Perícia em Fraude Financeira e Meios de Pagamento → Investigação Corporativa e Compliance → Forense Computacional e Investigação Digital → Seguros e Sinistros Cibernéticos →
Antes de decidir, vale ver o que já passou por este laboratório: casos descritos sem identificar as partes, no formato desafio, método e resultado.
O canal de controle do invasor estava gravado em contratos inteligentes. A perícia decodificou o que ele havia apagado e entregou às autoridades os caminhos de identificação.
Ver o caso Prova negativaA perícia oficial havia concluído pela participação. O reexame demonstrou que os vínculos eram falsos positivos, e a pessoa acusada foi inocentada.
Ver o caso