Exclusivo: analista de cibersegurança detona farsa do “hacker de Araraquara”

Hoje chega o caixão. Amanhã, os pregos. “Caos soberano”, de fato!

Exclusivo: analista de cibersegurança detona farsa do “hacker de Araraquara” (1 de 2)

Por “Caos Soberano“, analista de cibersegurança e tecnologia, para o Duplo Expresso

Inicialmente como comentei com Romulus Maya neste tweet…

Já está dando raiva, vou acabar fazendo uma análise técnica detalhada desta M…Item a item de todas as versões, é muita inconsistência técnica, mau-caratismo, mentira pura e simples e adesismo a maioria burra de um lado e de outro.

— Caos soberano (@caosober) 27 July 2019

…. disse que esclareceria o caso do “Hacker de Araraquara” em um artigo. Porém, devido à multiplicidade de versões, por vezes contraditórias, e à narrativa que a meu ver é propositalmente tortuosa, e dada a necessidade de checagem de dados com fontes para não tornar a presente mais uma narrativa sem fundamentação, decidi dividir em duas partes. Abaixo, a primeira.

Não busco, com isso, criar uma “novelização” — ao estilo Intercept/ Greenwald –, porém, ao contrário da imprensa comercial e do “PIGuinho vermelho”, acredito que investigação, checagem e precisão são fundamentais.

Bem, para manter a narrativa organizada e fácil de ser entendida, utilizarei a seguinte estrutura:

— Qual a versão oficial;

— Quais as falhas nesta versão;

— Qual a possibilidade de uma ação conforme vem sendo descrita pela imprensa;

— Qual a linha do tempo dos eventos;

— Quais as narrativas alternativas;

— Quais as suas falhas;

— Algumas especulações baseadas em experiências anteriores e técnicas de invasão comprovadamente eficazes a respeito do que pode realmente ter ocorrido.

Por uma questão de método, assumo inicialmente como verdadeiras as declarações dos personagens citados e envolvidos e testarei as mesmas em relação aos dados publicamente documentados de forma que os resultados desse cotejo possam ser verificados livremente e independentemente por terceiros.

As declarações colhidas das fontes — as mesmas — serão citadas e utilizadas para nos ajudar a elaborar hipóteses alternativas.

A versão oficial:

Segundo o site BBC Brasil, em matéria publicada dia 24/07/2018, disponível em:

De acordo com o site:

“O delegado João Vianey Xavier Filho, coordenador geral de inteligência da PF, disse que procuradores da Operação Lava Jato já haviam relato terem recebido em abril ligações originadas pelo seu próprio número – mecanismo pelo qual os suspeitos teriam invadido seus telefones. A informação foi destacada por ele nesta tarde, em breve apresentação sobre o caso para jornalistas em Brasília, junto com o perito criminal federal Luiz Spricigo Júnior, diretor do Instituto Nacional de Criminalística.”

Guardem bem esta informação: procuradores da Operação Lava Jato já haviam relato terem recebido, em abril, ligações originadas pelo seu próprio número — mecanismo pelo qual os suspeitos teriam invadido seus telefones.

Ainda segundo o site:

“Segundo a polícia, os investigados usaram tecnologia VOIP (serviços de voz sobre IP), que permite a realização de ligações via computadores, telefones convencionais ou celulares de qualquer lugar do mundo.
O serviço utilizado no caso foi prestado pela microempresa BRVOZ, aponta a investigação. Por meio desse serviço, diz a decisão, ‘o cliente/usuário da BRVOZ utilizando a função ‘identificador de chamadas’ pode realizar ligações telefônicas simulando o número de qualquer terminal telefônico como origem das chamadas’.”

Guardem este detalhe: pode realizar ligações telefônicas simulando o número de qualquer terminal telefônico como origem das chamadas.

Ainda segundo o site:

“O invasor, então, teria realizado diversas ligações para o número de Sérgio Moro, com objetivo de manter a linha ocupada, para que a ligação contendo o código de ativação do serviço Telegram Web fosse direcionada para a caixa postal da vítima.”

Último detalhe chave:

“O uso dessa mesma tecnologia permite que sejam feitas ligações para a caixa postal, com o uso simulado da linha telefônica da vítima. Com isso, é possível ouvir a mensagem enviada pelo Telegram com o código para acesso no computador.”

Bem, a partir destas informações, vou colocar um gráfico seguido de um roteiro das ações para testar a veracidade das mesmas, lembrando que reproduzo aqui fielmente o roteiro declarado pela PF.

Cabe também salientar os métodos de ataque via caixas postais de voz descritos por Martin Vigo na Def Con 2018 (disponível aqui e também no seu site).

Aqui, um vídeo da apresentação:

 

Não falam da necessidade do chamado “Caller ID Spoofing”, que deu nome à operação.

Notar: a pesquisa do Israelense Ran Bar-Zik, apresentada nesta matéria do UOL também não se aplica ao caso brasileiro.

Assim sendo, vamos à análise.

Abaixo, gráfico do “ataque” — segundo descrito pela PF:

Eis roteiro seguindo as informações da PF:

1 – Hacker solicita o Código de ativação do Telegram usando o Nº da vítima;

2 – Telegram envia o código via SMS;

3 – Hacker mantêm o número de celular da vítima ocupado com múltiplas ligações utilizando o serviço de VoIP;

4 – Com a falha de autenticação via SMS , o Hacker solicita ativação por ligação de voz;

5 – Como o Telefone da vítima está ocupado, o código enviado por ligação de voz cai na caixa postal;

6 – O Hacker, simulando o número da vítima, obtém o número de ativação acessando a caixa de mensagens de voz, aproveitando-se do uso de senhas padrão (tipo “0000”);

7 – O Hacker, de posse do código, ativa o celular na conta do Telegram, sequestrando a conta para si.

Bem, vamos seguir esse fluxograma de operação checando o mesmo com as informações disponíveis nos sites das operadoras, com a forma de funcionamento das redes de celular e utilizar lógica simples.

Passos 1 e 2

• Perfeitamente possíveis, realmente: se você fizer essa operação, o Telegram vai enviar o código de autenticação por SMS para a vítima.

Passo 3

• Sim, é possível utilizar uma rede VoIP para bombardear o número de telefone da vítima (Flooding) com múltiplas chamadas. Porém, criamos 2 riscos:
  Segundo o especialista em segurança Martin Vigo esta técnica é longe do ideal.
• 1º – A vítima terá sua atenção voltada para o celular e poderá ver o código de ativação – não solicitado – chegando por SMS;
• 2º – Vendo o código a vítima poderá ativar a autenticação em 2 etapas.
  Segundo declarações de algumas das supostas vítimas, essas teriam recebido ligações do seu próprio número.

Passo 4

• Perfeitamente possível.

Passo 5

• Perfeitamente possível.

Passo 6

• Este passo – crucial! – não é executável da forma descrita. As operadoras de telefonia celular brasileiras atualmente se utilizam de números de serviço para o acesso à caixa postal, para acesso ao serviço a partir de outros números é necessário a utilização de senha previamente cadastrada através do site ou de um número de serviço, não permitindo a execução da forma mencionada. A única exceção é a Nextel, que usa 9999 como senha padrão.

O que são números de serviço:

Números de serviço são números que não possuem roteamento externo à rede da operadora e são utilizados para serviços específicos só fornecidos para os clientes da mesma.

Só são possíveis de serem acessados por um aparelho cadastrado na rede da operadora, não são válidos se acessados a partir de outras redes.

Funciona assim: se você discar por exemplo *555 (código da caixa postal do operadora Vivo) em um telefone móvel da operadora Oi, você será saudado com a mensagem de voz : “Este número que você ligou não recebe chamadas ou não existe”.

Não importa se você utilize uma linha VOIP para simular um número que pertence àquela operadora: a rede não sabe como encaminhar aquela chamada e portanto retornará erro.

Os números de serviço para a caixa postal das principais operadoras são:

*100 Oi

*100 TIM

*555 Vivo

*400 Claro

A versão “discar para o próprio número seguida de #” não funciona!

Dúvidas? Testem nos seus próprios aparelhos!

Cabe ressaltar que as providências apresentadas por Martim Vigo como forma de as operadoras mitigarem esse tipo de ataque já tinham sido implementadas no Brasil! O que também se depreende, aliás, da leitura do artigo do El País do último sábado, em que o especialista em ciber-segurança (e ex-hacker) Daniel Lofrano Nascimento afirma exatamente a mesma coisa:

FIM da Parte 1

*

*

*

P.S.: Na segunda parte deste artigo vou apresentar:

– Qual a possibilidade de uma ação conforme vem sendo descrita pela imprensa;
– Qual a timeline dos eventos;
– Quais as narrativas alternativas;
– Quais as suas falhas;
– Algumas especulações baseadas em experiências anteriores e técnicas de invasão comprovadamente eficazes a respeito do que pode realmente ter ocorrido.

*

*

*

Mais sobre o tema em:

Casa caiu: PF admite que mentiu sobre “arara-hacker” – Duplo Expresso de Domingo 28/jul/2019

Game-over: técnicos destroem a farsa de Moro com o seu “Arara-hacker”

*

*

*

Extras:

Luis Nassif e Fernando Horta escalados para entrar em campo: fogo de encontro

*

Álibi — canalha — para a “prisão”-ostentação de Glenn Greenwald: mãe, paciente terminal, e os filhos adotivos

Greenwald – e Deep State – plantam álibi de que ele é “odiado pelos EUA” para justificar por que Glenn não evita a armação da sua “prisão” indo para os EUA: “não consegue visto para os filhos”.
Para plantar o álibi, recorrem à indefectível agro-jornalista Monica Bergamo.
Vimos apontando no DE a esquisitice de Glenn não evitar, com a viagem, a mais que cantada em verso e prosa “prisão”-ostentação em armação.
Eis a resposta do esquema ao DE.
Patético.
*
Link nos comentários.
*
Comentário de Piero Leirner: “total limited hangout. A galera (esquerda) vai ler linearmente como “os EUA são contra GG, GG é ok”, e (bolsominions) “EUA é amigo”. Fiquei com uma ponta de dúvida aqui se o próprio Moro tem noção disso. Atores desempenham melhor seus papéis se não souberem o enredo alheio – aí são mais espontâneos.”

 

O cara, literalmente, passa por cima da mãe.

E dos filhos!

*

Atualização: Bergamo volta para contar – há pouco – que os vistos serão concedidos, sim. Espectadora do D.E.? rs
Bem, em sendo assim, Glenn não tem desculpa para privar seus filhos – e mãe terminal – dele, submetendo a si a uma “prisão”-ostentação, não é mesmo? #VaiComDeusGlenn!