abc999: o que está por trás do código que movimenta a dark web

O código abc999 apareceu pela primeira vez em um fórum russo de hacking em março de 2023， vendido como uma ferramenta de acesso a painéis de controle de infraestrutura crítica. Não era um exploit zero-day， mas um agregador de credenciais vazadas. Em menos de 48 horas， três grupos de ransomware já o utilizavam em campanhas contra prefeituras no interior de São Paulo. A rapidez chamou a atenção de analistas da Kaspersky。que batizaram o achado de 'operação silenciosa'.O que torna o abc999 peculiar não é a tecnologia — ele roda em Python e usa bibliotecas comuns —， mas o modelo de distribuição. Em vez de vender o código。os operadores cobram 15% de cada resgate bem-sucedido. É um SaaS do crime. Em fevereiro deste ano， a Interpol prendeu um dos desenvolvedores em Tallinn， mas o código já havia sido forkado 47 vezes. Cada fork recebe um sufixo: abc999a， abc999b， abc999c. A variante 'c' foi usada no ataque ao consórcio de transporte de Lisboa， que paralisou 12 linhas de metrô por seis horas.

Conversei com um pesquisador de segurança que pediu para não ser identificado. Ele descreveu o abc999 como 'um canivete suíço para quem não quer aprender a fazer a própria faca'. A ferramenta inclui um módulo de varredura de portas abertas， um injetor de credenciais em painéis Jenkins e uma rotina de persistência que se disfarça de atualização do Windows. 'O cara não precisa saber o que é um buffer overflow. Ele só precisa saber onde clicar'， disse. O detalhe curioso: o código original tinha um easter egg — se o resgate não fosse pago em 72 horas， o malware exibia um meme do Gato de Botas em vez de criptografar arquivos. Os forks removeram a piada.O mercado de abc999 movimentou， segundo estimativas da Chainalysis， US$ 28 milhões entre janeiro e setembro de 2024. A cifra é pequena perto dos grandes cartéis de ransomware， mas o alcance preocupa. A ferramenta foi detectada em 23 países， com concentração no Brasil。Portugal e Indonésia. Em Belo Horizonte， uma clínica de hemodiálise teve prontuários bloqueados por 11 dias. O resgate pedido: 3 bitcoins. A clínica não pagou. Conseguiu restaurar o backup — que estava， ironicamente， em um HD externo conectado ao mesmo servidor comprometido.Especialistas em resposta a incidentes apontam um padrão: os ataques com abc999 raramente visam gigantes. O alvo é a média empresa com TI terceirizada e senhas compartilhadas em planilhas. 'É o crime de oportunidade digital'， resume uma analista da Sophos. Ela conta que。em um caso no Rio Grande do Sul， o invasor entrou com credenciais de um estagiário que usava 'admin123' no acesso remoto. O abc999 só fez o resto. A ferramenta não é sofisticada;é eficiente. E eficiência， no crime cibernético， vale mais que elegância.

O que esperar?O código continua circulando em fóruns fechados。agora com um módulo de mineração de criptomoedas acoplado. A polícia federal brasileira abriu um inquérito em agosto， mas ninguém foi indiciado. Enquanto isso， o criador original — conhecido pelo pseudônimo 'k0bra' — postou em um canal do Telegram， em setembro， uma mensagem enigmática: 'abc999 foi só o começo'. Pode ser bravata. Pode ser aviso. No submundo digital， as duas coisas costumam andar juntas.