# Traffers Teams > [!warning] Ecossistema Criminoso de Distribuição de Malware > Traffers Teams são equipes criminosas organizadas que distribuem infostealers em escala industrial como parte do modelo MaaS (Malware-as-a-Service). São o elo de distribuição do ecossistema de roubo de credenciais - recrutados em fóruns russos, equipados com builds, crypters e infraestrutura de SEO, e remunerados por volume de logs. Afetam usuários globais incluindo Brasil e LATAM. ## Visão Geral **Traffers Teams** (do russo "Traффер", trabalhador) são grupos criminosos organizados especializados na distribuição em massa de malware infostealer como parte do ecossistema de **Malware-as-a-Service (MaaS)**. Não são desenvolvedores de malware: são o braço de distribuição que conecta operadores de stealer a vítimas em escala global. O modelo de negócio é estruturado como uma empresa criminosa. Um **administrador** procura e compra licenças de infostealers como [[aurora-stealer|Aurora Stealer]], [[lumma-stealer|Lumma Stealer]], [[mars-stealer|Mars Stealer]] e [[s1240-redline-stealer|RedLine Stealer]]. O administrador então recruta **traffers** - trabalhadores individuais responsáveis por infectar o maior número possível de usuários - fornecendo builds de malware, serviços de crypter para evasão de antivírus, guias operacionais e infraestrutura de SEO. Os traffers são remunerados **por volume de logs** válidos entregues: tipicamente $0,75-$10,00 por instalação dependendo da geolocalização da vítima. A relevância para o Brasil é alta: pesquisas da BitSight (2024) documentam que o Brasil e a Argentina figuram entre os países com maior incidência de infecção por [[privateloader|PrivateLoader]], o loader operado pelo serviço ruzki - parceiro recorrente dos Traffers Teams. A prevalência de software pirata no Brasil é um vetor de distribuição primário explorado diretamente por estas equipes. As técnicas de distribuição incluem **SEO poisoning** (sites de software pirata que aparecem em buscas legítimas), **malvertising** via YouTube, Instagram e TikTok, **typosquatting** de CDNs legítimas, e **crack sites** - todos projetados para convencer usuários a baixar instaladores trojanizados. ## Estrutura Organizacional Os Traffers Teams operam com hierarquia clara e divisão de tarefas: ```mermaid graph TB A["👑 Admin do Time<br/>Compra licenças MaaS<br/>Vende logs - recruta traffers"] --> B["🔧 Suporte Técnico<br/>Crypter service<br/>Builds FUD - SEO tools"] A --> C["💼 Gerente de Contas<br/>Monitora performance<br/>Distribui pagamentos"] B --> D["👷 Traffer 1<br/>SEO poisoning<br/>Crack sites"] B --> E["👷 Traffer 2<br/>YouTube malvertising<br/>Social media posts"] B --> F["👷 Traffer N...<br/>Phishing campaigns<br/>Malvertising buys"] D --> G["📊 Log Collection<br/>Russian Market<br/>Telegram channels"] E --> G F --> G G --> H["💰 Monetização<br/>Credenciais vendidas<br/>IAB para ransomware"] ``` **Legenda:** [[lumma-stealer]] · [[aurora-stealer]] · [[privateloader]] ### Plataformas de recrutamento Os Traffers Teams recrutam abertamente em fóruns de língua russa: - **Lolz Guru** - maior fórum de recrutamento de traffers - **BHF (Black Hat Forum)** - anúncios de vagas com pagamento por log - **XSS** - fórum mais técnico, admins experientes - **Telegram** - gestão operacional, bots de estatísticas, pagamentos ## Cadeia de Distribuição - Da Infecção ao Lucro ```mermaid graph TB A["🦠 Desenvolvedor MaaS<br/>Vende licença mensal<br/>Aurora / Lumma / Mars"] --> B["👑 Admin Traffers Team<br/>Compra builds + crypter<br/>Gerencia time de traffers"] B --> C["🎯 Métodos de Distribuição<br/>SEO / YouTube / Cracksite<br/>Malvertising / Phishing"] C --> D["💻 Vítima Infectada<br/>Executa instalador falso<br/>Stealer captura dados"] D --> E["📦 Log Exfiltrado<br/>Telegram bot ou C2<br/>Credenciais + cookies + wallets"] E --> F["🏪 Russian Market<br/>Logs vendidos por unidade<br/>$1-$10 por log"] F --> G["🔑 Initial Access Broker<br/>Credenciais usadas para<br/>ransomware / BEC / fraude"] B -.->|"Paga por log"| C ``` **Legenda:** [[s1240-redline-stealer]] · [[mystic-stealer]] · [[predator-stealer]] ## Métodos de Distribuição Preferidos | Método | Descrição | Stealer associado | |--------|-----------|-------------------| | SEO poisoning | Sites de crack que aparecem em top de busca Google | [[aurora-stealer]], [[mars-stealer]] | | YouTube crack ads | Vídeos com links maliciosos na descrição | [[lumma-stealer]], [[s1240-redline-stealer]] | | Malvertising | Anúncios falsos em Google Ads / Meta | [[mystic-stealer]], [[arkei]] | | Phishing email | Attachments com instaladores trojanizados | [[predator-stealer]] | | Discord / Telegram | Links em servidores de gaming e warez | Builds customizados | ## TTPs Mapeados ao MITRE ATT&CK | Tática | Técnica | ID | Uso | |--------|---------|-----|-----| | Resource Development | Stage Capabilities | [[t1608-stage-capabilities\|T1608]] | Hospedagem de builds em VK.com, Discord CDN | | Resource Development | Upload Malware | [[t1608-001-upload-malware\|T1608.001]] | Deploy de payloads em plataformas legítimas | | Resource Development | Acquire Infrastructure | [[t1583-acquire-infrastructure\|T1583]] | Domínios SEO-optimized para distribuição | | Initial Access | Drive-by Compromise | [[t1189-drive-by-compromise\|T1189]] | Usuário baixa "crack" e executa o payload | | Execution | Malicious File | [[t1204-002-malicious-file\|T1204.002]] | Instaladores trojanizados fingindo ser software legítimo | | Defense Evasion | Command Obfuscation | [[t1027-010-command-obfuscation\|T1027.010]] | Crypters para evasão de AV/EDR | ## Relevância para o Brasil e LATAM > [!latam] Alto Impacto para Brasil e América Latina > Brasil e Argentina figuram entre os países com maior taxa de infecção por loaders operados pelos Traffers Teams (BitSight 2024). A alta prevalência de software pirata no Brasil é o principal vetor explorado - sites de crack com SEO otimizado aparecem nos primeiros resultados do Google para pesquisas de software gratuito. Credenciais brasileiras roubadas por infostealers são vendidas no Russian Market e Genesis Market, sendo usadas para acesso inicial em redes corporativas brasileiras. Setores em risco no Brasil: - **Varejo e e-commerce**: credenciais de funcionários para sistemas de gestão - **Financeiro**: cookies de sessão de internet banking e plataformas de investimento - **Educação**: credenciais de plataformas universitárias (alto volume, baixo risco percebido) - **PMEs**: credenciais de e-mail corporativo usadas como ponto de entrada para BEC ## Detecção e Defesa ### Indicadores comportamentais - Execução de arquivos `.exe` baixados de domínios com palavras-chave: "crack", "free", "download", "keygen", "activator" - Processos de browser acessando diretórios de outros browsers (comportamento de stealer) - Exfiltração de dados para endpoints Telegram (`api.telegram.org`) fora do contexto de uso legítimo - Criação de arquivos ZIP temporários em `%APPDATA%` antes de comunicação C2 - Processos mascarados como instaladores legítimos com behavior de keylogging ### Mitigações prioritárias - Bloquear downloads de domínios de crack/warez via DNS filtering (categorias "Hacking/Cracking") - Implementar controle de aplicativos para bloquear execução de binários não assinados em endpoints corporativos - Treinar usuários sobre riscos de software pirata - principal vetor desta ameaça - Monitorar comúnicações anômalas com `api.telegram.org` em ambientes corporativos - Revisar credential stores comprometidas em plataformas como HaveIBeenPwned e serviços de monitoramento dark web ## Referências - [SEKOIA - BlueFox Stealer: designed for traffers teams (2022)](https://blog.sekoia.io/bluefox-information-stealer-traffer-maas/) - [SpyCloud Labs - Behind the Scenes of a Successful Malware Traffer Team (2023)](https://spycloud.com/blog/behind-the-scenes-of-a-successful-malware-traffer-team/) - [ASD ACSC - The Silent Heist: Cybercriminals Use Info Stealer Malware (2024)](https://www.cyber.gov.au/about-us/view-all-content/alerts-and-advisories/silent-heist-cybercriminals-use-information-stealer-malware-compromise-corporate-networks) - [Virus Bulletin 2023 - Infostealers: investigate the cybercrime threat in its ecosystem](https://www.virusbulletin.com/uploads/pdf/conference/vb2023/papers/Infostealers-investigate-the-cybercrime-threat-in-its-ecosystem.pdf) - [BitSight - Hunting PrivateLoader (2024)](https://www.bitsight.com/blog/hunting-privateloader-malware-behind-installskey-ppi-service) - [S2W - Inside the Traffer Economy (2025)](https://securityonline.info/inside-the-traffer-economy-how-a-thriving-cybercrime-ecosystem-professionalized-data-theft/) **Atores relacionados:** [[privateloader|PrivateLoader (ruzki)]] · [[ta2726|TA2726 (TDS Operator)]] **Malware distribuído:** [[aurora-stealer|Aurora Stealer]] · [[lumma-stealer|Lumma Stealer]] · [[mars-stealer|Mars Stealer]] · [[s1240-redline-stealer|RedLine Stealer]] · [[mystic-stealer|Mystic Stealer]] · [[arkei|Arkei]] · [[predator-stealer|Predator Stealer]]