Quando um servidor é sequestrado por ransomware à s 3h da manhã, cada minuto perdido significa dados criptografados adicionais e prejuÃzos que podem ultrapassar milhões. Ao longo de mais de duas décadas atuando com segurança e perÃcia digital, aprendi que investigar crimes cibernéticos não é sobre ferramentas caras — é sobre método, disciplina e preservação de evidências. O Brasil registrou mais de 1,6 milhão de tentativas de ataques de ransomware apenas no primeiro semestre de 2023, segundo a SonicWall, e continua entre os cinco paÃses mais visados do mundo. Vamos ao que realmente funciona.
Preservação e cadeia de custódia: a base de tudo
Nenhuma perÃcia sobrevive sem uma cadeia de custódia impecável. O primeiro erro que vejo em investigações corporativas é o desespero de "limpar a máquina" imediatamente, destruindo artefatos voláteis. A memória RAM guarda chaves de criptografia, processos maliciosos ativos e conexões de rede que somem ao desligar o equipamento.
Minha metodologia segue uma ordem rÃgida de volatilidade:
- Captura da memória viva (RAM) com ferramentas como Magnet RAM Capture ou FTK Imager.
- Imagem forense do disco em formato E01, sempre com hash SHA-256 para garantir integridade.
- Coleta de logs de firewall, Active Directory, e-mail e endpoints.
- Documentação fotográfica e temporal de cada passo.
Como costumo reforçar em treinamentos, aqui é André Dias Moreira Prol falando de experiência real: uma evidência mal preservada é uma evidência que não vale nada em juÃzo. No Brasil, a Lei 12.965/2014 (Marco Civil) e a LGPD tornam a documentação ainda mais crÃtica, pois qualquer falha na cadeia pode invalidar a prova e gerar responsabilização.
Investigando ransomware, phishing e fraudes: rastros técnicos
Cada modalidade deixa rastros distintos, e conhecê-los acelera a resposta.
Ransomware: foco na identificação do vetor inicial — quase sempre um RDP exposto ou um anexo malicioso. Analiso o Prefetch, Amcache e Shimcache do Windows para reconstruir a linha do tempo de execução. Ferramentas como o ID Ransomware e o repositório No More Ransom ajudam a identificar a famÃlia (LockBit, Black Basta) e verificar se há decryptor público disponÃvel.
Phishing: o segredo está nos cabeçalhos SMTP. Analiso os registros Received, SPF, DKIM e DMARC para rastrear a origem real. No cenário brasileiro, campanhas se disfarçam de Receita Federal, bancos e até do PIX, explorando a urgência do usuário.
Fraudes digitais: aqui entra o cruzamento de dados transacionais. Com a explosão do PIX — mais de 42 bilhões de transações em 2023 —, aumentaram golpes de engenharia social e contas laranja. Tecnologias de blockchain e tokenização, área em que me especializei, oferecem trilhas de auditoria imutáveis que facilitam rastrear movimentações suspeitas, algo que a perÃcia tradicional demora dias para reconstruir.
Análise, correlação e o papel da IA
Coletar evidências é apenas metade do trabalho. A correlação transforma dados brutos em narrativa investigativa. Utilizo plataformas SIEM e ferramentas de timeline como o Plaso/log2timeline para consolidar milhares de eventos em uma linha temporal única.
É aqui que a inteligência artificial mudou o jogo. Modelos de detecção de anomalias identificam comportamentos que passariam despercebidos por análise manual — como acessos fora do horário, exfiltração de dados em pequenos pacotes ou movimentação lateral entre servidores. Em investigações recentes, apliquei modelos de machine learning para reduzir o tempo de triagem de terabytes de logs de semanas para horas.
Recomendo sempre a matriz MITRE ATT&CK como referência: mapear cada técnica identificada (T1486 para criptografia de dados, T1566 para phishing) permite comunicar achados de forma padronizada tanto para o time técnico quanto para a área jurÃdica. Essa ponte entre linguagem técnica e evidência judicial é onde muitos peritos falham.
A perÃcia digital moderna exige método rigoroso, atualização constante e a coragem de integrar tecnologias emergentes como blockchain e IA à investigação tradicional. Se sua organização precisa estruturar uma resposta a incidentes ou capacitar sua equipe, entre em contato comigo — vamos transformar vulnerabilidade em resiliência.
Acompanhe mais artigos de André Dias Moreira Prol no Medium.
