O grupo de ransomware Qilin divulgou dados que afirma terem sido roubados do Departamento de Álcool, Tabaco, Armas de Fogo e Explosivos dos EUA (ATF), expondo arquivos que parecem conter informações ligadas a investigações criminais federais e exames forenses digitais.
A publicação segue uma ameaça anterior da Qilin, que deu à agência 72 horas antes de liberar o material roubado. Após o término da contagem regressiva, a operação de ransomware publicou o que parecem ser pelo menos 6,3GB de arquivos internos da ATF em seu site de vazamento da dark web.
A ATF confirmou que um sistema autônomo legado foi comprometido. O ambiente afetado foi identificado como o sistema CALEA da agência, utilizado em conexão com vigilância eletrônica autorizada federalmente sob a Lei de Assistência em Comunicações para a Aplicação da Lei.
A agência reconheceu que a Qilin alega ter publicado material obtido desse sistema, mas afirmou não ter verificado a autenticidade, natureza exata ou escopo completo dos arquivos divulgados. A ATF está trabalhando com o Departamento de Justiça e outros parceiros federais para investigar o incidente.
O departamento confirmou anteriormente que o sistema comprometido continha informações sobre alvos das investigações da ATF. No entanto, autoridades disseram que não há indicação de que atacantes tenham alcançado a principal rede corporativa da agência, sua plataforma eForms ou outros sistemas da ATF. O incidente também não interrompeu as operações da agência.
Uma análise inicial do material publicado indica que o vazamento pode conter consideravelmente mais do que informações administrativas rotineiras.
Diretórios dentro dos dados parecem corresponder a investigações individuais e operações de campo, incluindo pastas associadas aos escritórios da ATF em Houston e Laredo. Outros diretórios parecem identificar indivíduos, dispositivos móveis específicos e contas online ligadas ao trabalho investigativo.
Os arquivos também parecem conter informações extraídas de smartphones e outros dispositivos. O material exposto inclui, segundo relatos, referências a iPhones, dispositivos Samsung Galaxy, chips, informações do iCloud e extrações forenses da Cellebrite.
Registros adicionais contêm o que parecem ser identificadores de conta, endereços IP, informações de registro e números de telefone verificados. Alguns diretórios também parecem corresponder diretamente a casos criminais, incluindo registros associados a uma investigação de roubo a caminhão-forte.
O vazamento pode ainda revelar informações sobre partes do ambiente tecnológico da ATF, incluindo softwares de segurança usados pela agência.
A Qilin listou pela primeira vez a ATF em seu site de vazamento em 26 de agosto, no mesmo dia em que a agência confirmou que um de seus sistemas independentes havia sido violado. Naquele momento, o grupo de ransomware havia fornecido poucas evidências sobre o que havia obtido.
A publicação subsequente fornece substancialmente mais material, mas o impacto total ainda está sob investigação. A ATF não atribuiu oficialmente a invasão ao Qilin, e as autoridades não confirmaram se todos os arquivos publicados pelo grupo de ransomware são autênticos.
A sensibilidade do sistema afetado torna o incidente particularmente grave. Investigações da ATF podem envolver tráfico de armas de fogo, explosivos, incêndio criminoso, crimes violentos e outros casos federais, o que significa que registros investigativos expostos podem conter informações sobre suspeitos, evidências e pessoas ligadas a investigações em andamento ou anteriores.