# T1681 - Search Threat Vendor Data ## Descrição Adversários monitoram e consomem ativamente relatórios de inteligência de ameaças produzidos por fornecedores de segurança, CERTs, grupos de pesquisa independentes e a comunidade de CTI - com o objetivo de identificar quando suas próprias operações foram detectadas, documentadas ou atribuídas públicamente. Esta técnica representa uma inversão sofisticada da dinâmica de inteligência: os mesmos relatórios de threat intelligence que organizações defensoras usam para melhorar sua postura de segurança são consumidos pelos próprios adversários documentados neles. O objetivo é operacional - detectar comprometimento do próprio sigilo, identificar quais indicadores de comprometimento (IoCs) foram expostos, e adaptar infraestrutura e TTPs antes que o dano à operação se torne irreversível. A prática está bem documentada empiricamente: adversários foram observados substituindo indicadores atômicos (hashes de malware, endereços IP de C2, domínios) mencionados em blog posts de vendors em menos de uma semana após a públicação. O [[g1048-unc3886|UNC3886]], grupo com nexo à China especializado em comprometimento de dispositivos de rede e appliances de segurança de ponta, e o [[g1052-contagious-interview|Contagious Interview]] (nexo à Coreia do Norte) demonstraram padrões consistentes de monitoramento de públicações de threat intel para proteger suas operações. Esta técnica é distinta de [[t1597-001-threat-intel-vendors|T1597.001 - Threat Intel Vendors]], que descreve adversários buscando dados de vendors de CTI para encontrar **informações sobre vítimas**. T1681 descreve adversários buscando informações sobre **suas próprias atividades** - para contra-inteligência e evasão operacional. ## Como Funciona **1. Monitoramento de públicações de vendors de segurança** Adversários monitoram os blogs de pesquisa dos principais fornecedores de segurança - Mandiant, CrowdStrike, Microsoft MSTIC, Unit 42 (Palo Alto), Talos (Cisco), Recorded Future, Group-IB, Kaspersky - para identificar públicações que documentem seus TTPs, ferramentas, infraestrutura ou campanhas. Alertas por e-mail, RSS feeds e monitoramento de redes sociais (Twitter/X) são usados para receber notificações em tempo real sobre novas públicações. **2. Análise de relatórios de atribuição** Quando uma públicação menciona o grupo ou campanha de um adversário, ele analisa detalhadamente quais indicadores foram expostos: hashes de amostras de malware, endereços IP de servidores de C2, domínios usados em phishing ou C2, certificados TLS, padrões de tráfego de rede, e assinaturas comportamentais. Cada IoC exposto é potencialmente um item a ser descartado ou substituído. **3. Busca por nome de domínio e infraestrutura própria** Adversários pesquisam seus próprios domínios, endereços IP e hashes de malware em bases de dados públicas de threat intel - VirusTotal, OTX AlienVault, Abuse.ch, ThreatFox - para determinar o nível de visibilidade que defensores têm sobre sua infraestrutura. Um domínio de C2 com baixa detecção no VirusTotal pode continuar operacional; um com 40+ detecções provavelmente será bloqueado em breve. **4. Monitoramento de feeds estruturados de IoCs** Feeds de IoCs como MalwareBazaar, URLhaus, MISP compartilhado, e ThreatFox públicam indicadores de comprometimento com informações de contexto. Adversários monitoram esses feeds em busca de seus próprios indicadores - a presença de um hash ou IP em um feed público é sinal de que a infraestrutura foi queimada. **5. Engajamento com a comunidade de pesquisa** Em casos extremos, adversários criam personas falsas na comunidade de segurança (pseudônimos no Twitter, GitHub, fóruns de pesquisa) para ter acesso antecipado a pesquisas em andamento, ou para enganar pesquisadores a revelarem indicadores adicionais antes da públicação. > [!warning] Paradoxo da Publicação > A públicação de IoCs por vendors de segurança cria um dilema: IoCs públicados alertam defensores, mas também alertam adversários. Algumas organizações de CTI optam por **compartilhamento privado** via ISAC ou MISP fechado antes da públicação pública, reduzindo a jánela de oportunidade para que adversários utilizem T1681 efetivamente. ## Attack Flow ```mermaid graph TB A[Operação em andamento] --> B[Adversário monitora publicações de CTI] B --> C{Publicação relevante detectada?} C --> D[Não - continuar operação] C --> E[Sim - analisar relatório] E --> F[Identificar IoCs expostos] F --> G{Tipo de comprometimento} G --> H[Domínios / IPs de C2 expostos] G --> I[Hashes de malware publicados] G --> J[TTPs e padrões comportamentais descritos] H --> K[Rotacionar infraestrutura de C2] I --> L[Recompilar / ofuscar malware] J --> M[Modificar TTPs para evasão] K --> N[Operação continua com nova infraestrutura] L --> N M --> N N --> O[Verificar se novos IoCs aparecem em feeds] ``` ## Exemplos de Uso ### UNC3886 - Contra-Inteligência em Operações de Longo Prazo O [[g1048-unc3886|UNC3886]], grupo de espionagem com nexo à China focado em comprometimento de dispositivos Fortinet, VMware e outros appliances de rede de ponta, demonstrou sofisticação operacional consistente com o monitoramento de públicações de threat intel. O grupo é conhecido por substituir implantes e rotacionar infraestrutura rapidamente após públicações de pesquisadores. A Mandiant documentou que o UNC3886 comprometeu appliances Fortinet FortiOS usando [[cve-2022-41328|CVE-2022-41328]] e manteve presença persistente em redes de alvos de alto valor - a longevidade dessas operações sugere ativamente monitoramento de públicações que possam comprometer seu acesso. ### Contagious Interview - Rotação de Infraestrutura Pós-Exposição O [[g1052-contagious-interview|Contagious Interview]], cluster de atividade com nexo à Coreia do Norte (associado ao Lazarus Group), conduz campanhas de engenharia social em que recrutas fingem oferecer empregos para distribuir malware (BeaverTail, InvisibleFerret). O grupo demonstrou padrões de rotação rápida de domínios e infraestrutura após públicações de researchers - consistente com monitoramento ativo de relatórios de vendors que descrevem sua operação. ### Padrão Geral Documentado: "Queimando IoCs em Menos de Uma Semana" Múltiplos pesquisadores documentaram o fenômeno de IoCs públicados em blog posts de vendors serem substituídos por adversários em 24-72 horas. Isso implica que os adversários monitoram ativamente públicações de CTI em tempo quase real - provavelmente via alertas RSS e notificações de redes sociais para blogs de vendors como BleepingComputer, Mandiant, CrowdStrike OverWatch, e outros. ### Busca por Domínios Próprios em Bases Públicas Um caso documentado pelo Recorded Future Intelligence Research descreve grupos de ameaça pesquisando seus próprios domínios no VirusTotal e no Shodan - verificando se IPs de C2 foram indexados ou se domínios aparecem em registros de detecção. Domínios com baixo número de detecções são mantidos; domínios com alta detecção são abandonados e substituídos. ## Detecção A detecção de T1681 é inerentemente difícil porque adversários acessam recursos públicos disponíveis a qualquer pessoa. Não existem controles técnicos que impeçam um adversário de ler um blog post público. As oportunidades de detecção são indiretas: ```yaml title: Rotação Rápida de Infraestrutura Pós-Publicação de Relatório status: experimental logsource: category: network product: firewall detection: selection: dst_ip|in_list: - "known_c2_ips_from_recent_report" timeframe: 72h condition: selection | count() < 2 notes: | Queda súbita no tráfego para IPs de C2 documentados após publicação de relatório de vendor pode indicar que o adversário viu o relatório e está rotacionando infraestrutura. level: medium tags: - attack.reconnaissance - attack.t1681 ``` ```yaml title: Acesso a Feeds Públicos de IoCs com User-Agent Suspeito status: experimental logsource: category: network product: proxy detection: selection: cs-uri-host|contains: - "virustotal.com" - "otx.alienvault.com" - "threatfox.abuse.ch" - "malwarebazaar.abuse.ch" http-method: GET cs-uri-query|contains: - "search" - "ioc" src_ip|cidr: - "suspicious_ip_range" condition: selection level: low tags: - attack.reconnaissance - attack.t1681 ``` > [!info] Indicador Comportamental: "Queima de IoCs" > A melhor evidência de T1681 em andamento é **comportamental**: se IoCs públicados em um relatório de CTI param de aparecer no tráfego de rede dentro de dias após a públicação, isso sugere fortemente que o adversário monitorou o relatório e rotacionou infraestrutura. Isso deve ser documentado como indicador de sofisticação operacional do grupo. ## Mitigação | ID | Mitigação | Descrição | |----|-----------|-----------| | M1056 | [[m1056-pre-compromise\|M1056 - Pre-compromise]] | Adotar práticas de disclosure responsável e coordenado de IoCs; considerar períodos de embargo para públicações de CTI sensíveis; compartilhar IoCs em canais fechados antes da públicação pública | **Medidas adicionais para a comunidade de CTI:** - **Disclosure coordenado:** Antes de públicar relatórios que documentem grupos ativos, coordenar com CERTs, ISACs e organizações-alvo para implementar mitigações antes que adversários possam reagir. - **TLP (Traffic Light Protocol):** Usar TLP:RED e TLP:AMBER para compartilhamento privado de IoCs sensíveis - públicação pública (TLP:WHITE/CLEAR) somente após mitigações implementadas. - **Indicadores de alta latência:** Priorizar o compartilhamento de indicadores comportamentais (TTPs, padrões YARA baseados em comportamento) sobre indicadores atômicos (IPs, domínios, hashes) que são trivialmente substituídos. - **Rotação rápida pós-públicação:** Após públicar IoCs, monitorar se adversários os substituem rapidamente - isso confirma T1681 e fornece dados sobre a velocidade de reação do grupo. ## Contexto Brasil/LATAM T1681 tem implicações específicas para o ecossistema de CTI brasileiro e latino-americano: **Maturidade da comunidade de CTI regional:** A comunidade de pesquisa de segurança no Brasil é relativamente pequena comparada com EUA ou Europa. Isso significa que públicações sobre ameaças regionais frequentemente vêm de vendors internacionais (Mandiant, CrowdStrike, Kaspersky), com menos capacidade de compartilhamento privado pré-públicação com organizações brasileiras afetadas. O [[sources|CERT.br]] tem um papel importante de coordenação, mas o volume de ameaças supera capacidade de resposta coordenada. **Grupos ativos que podem utilizar T1681:** - Grupos de ransomware com afiliados no Brasil (LockBit, ALPHV/BlackCat) monitoram públicações de vendors para identificar quando suas ferramentas são documentadas e detectadas, rotacionando para variantes modificadas. - Atores de estado com interesse na América Latina - documentados pelo Kaspersky LATAM e pelo Recorded Future - demonstram sofisticação operacional consistente com monitoramento de públicações de CTI. **Desafio para researchers regionais:** Pesquisadores de segurança no Brasil que públicam análises de grupos ativos na região devem considerar o risco de T1681 - adversários lendo suas públicações e destruindo evidências ou rotacionando infraestrutura que poderia ter sido bloqueada com coordenação prévia. O modelo de disclosure coordenado com o [[sources|CERT.br]] e ISACs setoriais (FS-ISAC Brasil, setor de energia) é a mitigação mais eficaz disponível no contexto regional. **Impacto no Threat Intelligence Sharing:** Iniciativas de compartilhamento de inteligência como o [[sources|MISP]] brasileiro e comunidades como a H2HC (Hackers to Hackers Conference) têm crescido, mas a cultura de compartilhamento privado pré-públicação ainda está em desenvolvimento. Fortalecer essas comunidades reduz a jánela de T1681 para adversários direcionados ao Brasil. ## Referências - [MITRE ATT&CK - T1681](https://attack.mitre.org/techniques/T1681) - [Mandiant - UNC3886: Threat Actor Leverages Fortinet Vulnerabilities](https://www.mandiant.com/resources/blog/fortinet-malware-ecosystem) - [Recorded Future - Adversaries Monitor Threat Intel Publications](https://www.recordedfuture.com/) - [Secureworks - Adversarial Counter-Intelligence Techniques](https://www.secureworks.com/research) - [CERT.br - Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança](https://www.cert.br/) - [TLP (Traffic Light Protocol) - FIRST.org](https://www.first.org/tlp/)