Aranha Espalhada: O que seus ataques revelam sobre a postura da rede
Neste verão, a Scattered Spider voltou às manchetes com mais uma onda de prisões de alto nível. O que começou com bullying online, troca de SIM cards e roubo de identidade, evoluiu para extorsão, ransomware e ataques que prejudicaram grandes empresas como a MGM e a Marks & Spencer. O que torna esses danos ainda mais impressionantes é a sofisticação de suas táticas — e a idade daqueles ligados ao grupo, a maioria adolescentes ou jovens que mal chegaram aos 20 anos.
As prisões encerram um capítulo. Mas isso não muda o que fazia os ataques da Aranha Espalhada funcionarem. Por meio de engenharia social criativa, o grupo demonstrou a facilidade com que as pessoas podem ser manipuladas — e o quanto as redes de confiança podem conferir a uma identidade roubada. Uma ligação telefônica, um contato com o suporte técnico e uma conta de funcionário comprometida geralmente eram suficientes para obter acesso. A partir daí, a verdadeira questão era: até onde essa identidade poderia chegar? Essa é uma questão de postura de rede, e a resposta é determinada muito antes de um invasor sequer fazer a chamada.
Hackers que cresceram online
A aranha espalhada tem uma história de origem incomum. Pesquisadores da CrowdStrike atribuem partes de seu ecossistema ao "The Com", uma extensa comunidade online que surgiu dos círculos de Minecraft e Roblox. Alguns migraram dos jogos para o "griefing" — assediando outros jogadores e invadindo os sistemas uns dos outros com hackers.
A partir dali, o ecossistema foi ficando mais sombrio. O que começou como assédio online transformou-se num mercado onde as pessoas podiam pagar para que outras fossem assediadas. A CrowdStrike descreve isso como "violência como serviço", e incluía trotes policiais, ameaças de bomba e até intimidação presencial.
Outros se voltaram para o roubo de criptomoedas, onde suas habilidades em obter acesso roubado poderiam rapidamente se transformar em dinheiro roubado. Para acessar contas de criptomoedas, eles se tornaram especialistas em engenharia social, roubo de identidade, comprometimento de credenciais, burla da autenticação multifator (MFA) e troca de SIM. Essas mesmas habilidades se tornariam, mais tarde, essenciais para os ataques da Scattered Spider contra grandes empresas.
“São jovens agentes maliciosos que começaram na adolescência, sem necessariamente quererem ser criminosos”, disse Christer Swartz, diretor de soluções industriais da Illumio. “Eles simplesmente entraram nisso por acaso, porque podiam.”
Algumas dessas mesmas pessoas participaram posteriormente dos maiores ataques de ransomware dos últimos anos. Um suposto membro, um cidadão com dupla nacionalidade americana e estoniana conhecido como "Bouquet", publicou fotos no Snapchat mostrando seu dinheiro, relógios de luxo e um colar de diamantes com a inscrição "Hack the Planet". Posteriormente, o FBI rastreou um ID de dispositivo Windows que, segundo os promotores, pertence a Peter Stokes, de 19 anos. Stokes foi acusado de conspiração, invasão de computador e fraude.
Da troca de SIM à engenharia social
Em 2022, as habilidades de hacking da Scattered Spider passaram a ser direcionadas para empresas. Eles tinham como alvo empresas de telecomunicações e terceirizadas de processos de negócios com acesso a sistemas de operadoras de telefonia móvel. Uma troca de SIM bem-sucedida pode transferir o número de telefone da vítima para um dispositivo controlado pelo atacante, redirecionando todas as chamadas, mensagens de texto e autenticação multifator (MFA) via SMS da vítima.
Esse modelo de negócio não durou. As empresas de telecomunicações e os centros de atendimento telefônico reforçaram a segurança de seus sistemas e o acesso tornou-se mais difícil. A Scattered Spider então voltou-se para as empresas de videogames. O plano era roubar o código-fonte e extorquir o proprietário: pague-nos ou divulgaremos seu código em mercados clandestinos.
Uma das tentativas envolveu a extorsão de uma empresa de jogos para obter seu código-fonte roubado de um sistema anti-trapaça. A empresa de jogos não quis pagar, e os compradores clandestinos não estavam interessados no código. O plano fracassou. Em 2023, o grupo passou a usar ransomware. Era ali que estava o dinheiro.
Do suporte técnico ao núcleo da rede
A troca de SIM foi um passo importante na evolução do Scattered Spider. A partir disso, o grupo tornou-se hábil em se passar por funcionários e manipular os serviços de suporte de TI. A CrowdStrike identificou atacantes que pesquisaram as vítimas em detalhes. Eles usavam números de telefone com aparência local, imitavam sotaques e permaneciam nas ligações por 45 minutos ou mais. Em centenas de gravações de chamadas de vishing , os pesquisadores identificaram sete vozes recorrentes que usavam nomes e personas diferentes.
O ataque à MGM em 2023 mostrou até onde esse tipo de acesso pode chegar. A Scattered Spider usou engenharia social para entrar na rede e, em seguida, se infiltrou mais profundamente no ambiente. O ataque acabou por afetar máquinas caça-níqueis, caixas eletrônicos, chaves digitais de quartos e sistemas de pagamento. A MGM informou à SEC que o incidente reduziria os lucros do terceiro trimestre em cerca de US$ 100 milhões.
A violação da M&S apresentou o mesmo padrão, porém com uma profundidade ainda maior. Segundo relatos, os invasores se fizeram passar por funcionários e convenceram a equipe de suporte de TI a redefinir senhas, dando-lhes acesso à rede. A partir daí, eles conseguiram chegar ao Active Directory e roubaram o arquivo NTDS.dit. Ele armazena todas as informações do domínio, incluindo contas de usuário, associações a grupos, objetos de computador e hashes de senhas críticas.
Os atacantes utilizaram o DragonForce, um serviço de ransomware. Isso fornece aos afiliados as ferramentas para criptografar sistemas e extorquir as vítimas. Esse acesso tornou-se uma interrupção generalizada. A M&S parou de aceitar encomendas online de roupas e artigos para casa durante quase sete semanas.
Aranha Espalhada: Uma cronologia de táticas em constante mudança
- 2022 — Troca de SIM em larga escala
O Scattered Spider sequestrou números de telefone em provedores de telecomunicações e call centers, o que lhe permitiu interceptar códigos de autenticação multifator (MFA). - Agosto de 2023 — O balcão de atendimento se torna a porta de entrada.
A engenharia social contra um fornecedor de TI terceirizado permitiu que os invasores entrassem na Caesars Entertainment. Segundo informações, a empresa pagou cerca de 15 milhões de dólares. - Setembro de 2023 — Uma identidade, todo o andar
A mesma abordagem adotada pela MGM Resorts chegou às máquinas caça-níqueis, caixas eletrônicos e chaves dos quartos. A MGM informou à SEC que esperava um impacto negativo de US$ 100 milhões nos lucros do terceiro trimestre. - 2024 — A migração para a nuvem e o SaaS
Credenciais roubadas substituíram o malware. Os atacantes extraíram dados de aplicativos comerciais online e exigiram pagamento, muitas vezes sem o uso de ransomware. - Abril de 2025 — Ransomware como o fim
Na Marks & Spencer, a engenharia social do suporte técnico chegou ao Active Directory, e a DragonForce fez o resto. A M&S afirmou que espera que o ataque reduza o lucro operacional em cerca de 300 milhões de libras antes das medidas de mitigação. - Meados de 2025 — O manual se torna portátil
Os setores de seguros e aviação vieram em seguida. O ponto de entrada permaneceu o mesmo: uma ligação para o serviço de suporte.
Cada novo modelo de negócio os tornava mais perigosos.
As táticas da Aranha Espalhada estavam em constante mudança, mas cada mudança adicionava novas habilidades. A engenharia social levou à concessão de identidades. A violação de identidade abriu caminho para o acesso à nuvem, SaaS e infraestrutura crítica. O ransomware tornou-se uma forma de monetizar o acesso deles.
A IA pode estar tornando essa adaptação ainda mais rápida. Pesquisadores da CrowdStrike afirmam ter visto o Scattered Spider implantar scripts com indícios de geração de LLM (Language-Level Management). A IA poderia ajudar o grupo a trabalhar mais rapidamente em sistemas desconhecidos.
As prisões recentes podem desestabilizar os responsáveis por alguns desses ataques. Mas a estratégia permanece a mesma.
Encontre os caminhos que não deveriam existir.
A postura da rede é importante. Os defensores precisam saber quais sistemas podem se comunicar e quais realmente deveriam. Um dispositivo de usuário pode tecnicamente ser capaz de acessar o Active Directory, um banco de dados ou um hipervisor. Isso não significa que precise ser assim.
“A distinção importante é entre o que pode comunicar e o que deveria comunicar”, disse Swartz.
Esses caminhos desnecessários são o que os atacantes podem transformar em movimento lateral. A visibilidade os expõe. Algumas levam a lugares que importam mais do que outras.
Swartz aponta para o Active Directory e os hipervisores. “Os hipervisores são provavelmente tão importantes quanto o Active Directory”, disse ele. “Se você comprometer essa base, poderá causar danos enormes.”
O Active Directory, os hipervisores, os principais sistemas DNS e os backups devem ser rigorosamente controlados. Somente os usuários e as cargas de trabalho que realmente precisam de acesso devem conseguir obtê-lo. A segmentação completa o restante.
Contenha primeiro, investigue depois.
O ataque Scattered Spider demonstrou a rapidez com que uma intrusão pode se transformar em ransomware. Isso significa que a contenção não pode depender inteiramente de uma pessoa que veja um alerta e decida o que fazer em seguida.
“É preciso eliminar o fator humano do processo o máximo possível”, disse Swartz.
As equipes devem elaborar políticas de quarentena e automatizar o isolamento para ameaças de alta probabilidade. Se uma carga de trabalho começar a apresentar comportamento perigoso, isole-a primeiro. Investigue assim que a propagação for interrompida.
Swartz compara isso a acionar um alarme de incêndio: você pode não saber exatamente o que causou a fumaça ainda, mas não espera para apagar o fogo.
Teste até onde um atacante consegue ir.
A lição final é testar a rede do ponto de vista do atacante.
Suponha que uma identidade já tenha sido comprometida. Em seguida, pergunte até onde ele pode se mover. Ele consegue acessar o Active Directory? VMware? Cópias de segurança? Bancos de dados sensíveis? Será que os defensores conseguem perceber esse movimento e impedi-lo sem prejudicar o resto da empresa?
“Suponha que alguém possa assumir uma identidade; observe o tamanho do estrago que essa pessoa pode causar”, disse Swartz. “Pense como o atacante.” Invada seu próprio ambiente e encontre esses caminhos antes que outra pessoa o faça.”
As pessoas e as táticas podem mudar. O que altera o resultado é a resposta para a pergunta: até onde pode chegar uma identidade roubada?
Pronto para dar o próximo passo? Veja como a Illumio Insights usa a Detecção e Resposta na Nuvem com Inteligência Artificial para descobrir movimentação lateral, tráfego de risco, ameaças impulsionadas por IA e lacunas de conformidade. Analise a pontuação da sua postura de rede e priorize o que segmentar em seguida.
.webp)
