Trojans Governamentais para vigilância e investigações online: NIT e CIPAV (FBI) e Bundestrojaner (Alemanha), entre outros

[ Update 25/02/2016 ]

Muito tempo sem update.. Aqui vai uma novidade sobre este assunto:

http://news.softpedia.com/news/german-police-create-a-new-version-of-bundestrojaner-federal-trojan-500832.shtml 

"The German government has approved that a new version of the infamous Bundestrojaner (Federal Trojan) malware be used against real-life targets, after authorities have been working on an updated version for the past months."


[ Update 21/11/2014 ]

Hoje a Anestia Internacional a Eletronic Free Frontier juntamente com outras entidades ligadas à segurança e privacidade na Internet lançaram uma ferramenta de "deteção de spywares conhecidos de vigilância governamental" chamado Detekt - você pode baixar a ferramenta e o código fonte no links abaixo:


Sobre a Ferramenta: https://www.resistsurveillance.org/
Download do Executável e Código Fonte: https://github.com/botherder/detekt/releases/tag/v1.4

[ Update 19/05/2014 ]


No dia 12/05/2014, uma solicitação do FBI (código RFQ1307B) mostra o interesse da Agência americana em obter samples de malware de todo o mundo:

Detalhes relevantes:

"2.3.1 Malware Feed

The FBI seeks to obtain the malware via a feed.  The feed shall:

•    Currently exist (or system currently exists that can produce the feed)
•    Contain a rollup of sharable new malware (both unique and variants)
•    Include a malicious URL report (Reference Section 2.3.2)
•    Be organized by SHA1 signatures
•    Be updated once every 24 hours
•    Be a snapshot of the prior 24 hours
•    Be, on average, 30GB - 40GB per day
•    Be able to retrieve feed in an automated way through machine-to-machine communication
•    Initiations of accessing feed shall be pulled by FBI not pushed to FBI

2.3.2 Malicious URL Report

The FBI seeks a malicious URL report as a component of the malware feed.  The URL report shall contain a list of URLs that do not directly link to executable files, but instead lead to exploits that cause malware to be downloaded (e.g., links to drive-by downloads).

2.3.3 Malware Files

Each of the new malware files in the feed shall contain metadata, to include:

•    SHA1 signature
•    MD5 signature
•    Time

The file types required include:

•    Executable file types from Unix/Linux, Windows and Macintosh
•    Archives files
•    Image files
•    Microsoft Office documents
•    Audio and Video files
•    RTF files
•    PDF files
•    PHP files
•    JavaScript files
•    HTML files"


[ Update: 08/12/2013 ]

O Washington Post publicou hoje um artigo entitulado "FBI’s search for ‘Mo,’ suspect in bomb threats, highlights use of malware for surveillance"em que divulga um search warrant ("pedido de busca e apreensão") que detalha como a agência solicita e recebe autorização judicial para o uso de código malicioso em investigações de crimes (neste caso ameaças envolvendo bombas).

O termo "CIPAV" - presente nos demais updates deste post - não é utilizado, e é introduzido um acrônimo: NIT - "Network Investigative Technique", que tem funcionalidade muito parecida com o descrito neste post.

[ Update: 09/02/2013 ]

"Going Bright: Wiretapping without Weakening Communications Infrastructure"

http://www.crypto.com/papers/GoingBright.pdf



"Mobile IP-based communications and changes in technologies have been a subject of concern for law enforcement, which seeks to extend current wiretap design requirements for digital voice networks. 

Such an extension would create considerable security risks as well as seriously harm innovation. Exploitation of naturally occurring bugs in the platforms being used by targets may be a better alternative."


Steven M. Bellovin | Columbia University
Matt Blaze and Sandy Clark | University of Pennsylvania
Susan Landau | Privacy Ink



[ Update: 10/09/2012 ]

O Governo alemão está abertamente contratando programadores especializados em trojans, para não depender de empresas externas para desenvolver suas ferramentas de monitoração utilizadas em investigações feitas pelo governo (BundesTrojaner).

Alguns pré-requisitos para os candidados ao cargo:

• Excelente conhecimento de C++
• Muito bom conhecimento de padrões de software de modelagem de tecnologias de rede,
• topologias e protocolos (especialmente sobre os protocolos da Internet utilizados)
• Capacidade de auxílio no desenvolvimento e manutenção de software para a criação de  técnicos e táticos  requisitos para o acesso  remoto da polícia secreta
• Identificação de vulnerabilidades em aplicações e sistemas operacionais,
• Observação das evoluções técnicas e legais no campo da tecnologias de informação e comunicação
• Muito bom conhecimento de programação de baixo nível e mecanismos de segurança do Windows
• Idealmente ter conhecimento dos mecanismos de segurança de outros sistemas operacionais, bem como na programação de baixo nível em outros sistemas operacionais, bem como no desenvolvimento de drivers

Fonte e mais informações - veja este post da F-Secure: http://www.f-secure.com/weblog/archives/00002423.html

PS: Neste meio tempo foi publicado neste blog um artigo chamado "CiberGuerra e CiberEspionagem: O uso de ferramentas de invasão por Nações e Governos" - relevante ao assunto tratado neste artigo.

[ Update: 02/02/2012 ]

Uma autorização judicial de instalação do CIPAV foi provavelmente utilizada no caso da investigação que culminou com a prisão dos responsáveis pelo MegaUpload.

"While it's still not clear how federal investigators gained access to the conversations of founder Kim DotCom and other top managers, there are hints that the FBI managed to place government-issued spyware on the defendants' computers"

Mais informações na CNET:

http://news.cnet.com/8301-31001_3-57368523-261/feds-we-obtained-megaupload-conversations-with-search-warrant/

Informações do caso no site do FBI:

http://www.fbi.gov/news/pressrel/press-releases/justice-department-charges-leaders-of-megaupload-with-widespread-online-copyright-infringement

[ Update: 26/10/2011 ]

A Kaspersky achou outra variante do BundesTrojaner, que também já foi analisada pelo CCC . Um resumo pode ser visto no site H-Online (inglês). Ou a análise original/integral traduzida do alemão para o português (Google Translate).

[ Update: 17/10/2011 ]

Uma interessante análise do footprint de memória do "BundesTrojaner" utilizando a ferramenta de forense de memória volatility foi publicada recentemente - confira!

[ Update: 08/10/2011 ]

Devido às dificuldades de interceptação telemática de certos atores no cenário cibernético - devido ao crescente uso de criptografia, proxies, vpn, etc -  o uso de softwares para monitoração de suspeitos (autorizadas pela justiça ou não) é uma realidade crescente em todo o mundo. Alguns dos países em que isto já acontece são: EUA (veja o post original sobre o CIPAV abaixo), França, Egito, e agora a Alemanha (leia logo abaixo)

O grupo Chaos Computer Club (CCC) publicou hoje uma análise do "Bundestrojaner Light" (R2D2) - que numa tradução livre seria "Light Federal Trojan" - utilizado pelo governo alemão.

Abaixo são listados os nomes dos arquivos analisados (uma biblioteca e um driver de kernel windows), seus hashes md5 e taxas de detecção por antivírus (virustotal):

mfc42ul.dll (md5: 930712416770a8d5e6951f3e38548691 vt: 6/43)
winsys32.sys (md5: d6791f5aa6239d143a22b2a15f627e72  vt:  5/43)

Para mais informações, veja a página da CCC:

• Chaos Computer Club analyzes government malware 
• Tradução automática do paper em PDF do alemão para o inglês, aqui
• FAQ feito pela NakedSecurity:  German 'Government' R2D2 Trojan FAQ
• Artigo da ESET: German Policeware: Use the Farce…er, Force…Luke
• Paper "Please Police Me": Carnivore, Magic Lantern, etc..
• Apresentação da Digitask sobre "Remote Forensic Software"

Mais informações sobre o assunto:

• Artigo da F-Secure: http://www.f-secure.com/weblog/archives/00002249.html
• Análise do VirScan: http://r.virscan.org/a2ed65a6a41e3a5e773b1bbcff14aef2

[ Update: 30/04/2011 ]

Depois de mais de dois anos sem novidades sobre o assunto, a EFF (Eletronic Frontier Foundation) publicou ontem um "dossiê" sobre o CIPAV chamado "New FBI Documents Provide Details on Government’s Surveillance Spyware".

O FBI tem utilizado a tecnologia para investigações criminais dentro dos Estados Unidos e também para investigações de suspeitos estrangeiros de acordo com os termos da FISA (Foreign Intelligence Surveillance Act).

Aos interessados em mais detalhes sobre o assunto, a EFF separou uma página de download para os 15 PDFs contendo informações sobre o CIPAV: https://www.eff.org/foia/foia-endpoint-surveillance-tools-cipav

[ Post Original: 17/04/2009 ]

Depois da divulgação de que a China que se utiliza de técnicas hacker para espionar seus adversários, a Wired acaba de publicar um artigo interessante sobre documentos que foram recentemente "desclassificados" pelo governo americano.

Agora é público o conhecimento de que o FBI utiliza em suas investigações online - há pelo menos 7 anos - um spyware desenvolvido internamente por eles chamado CIPAV - Computer and Internet Protocol Address Verifier, que faz um pouco mais do que o nome indica - ele busca as seguintes informações da máquina alvo:

• Endereço IP
• Endereços MAC (placas de rede)
• A lista de portas TCP e UDP e conexões estabelecidas (netstat)
• Lista de programas em execução
• Sistema Operacional, Versão e Número de Série e empresa que consta no Registro.
• Versão do Navegador Padrão
• Usuários (incluindo o logado) do sistema operacional
• URL visitadas

Segundo análise do CIPAV feita em 2007 por Kevin Poulsen, todas as informações coletadas são enviadas pela Internet para computadores do FBI na Virginia, possivelmente para o laboratório do FBI em na cidade de Quantico.

O modus operandi mais comum de instalação do CIPAV é fazer o alvo acessar uma página especialmente criada para explorar vulnerabilidades comuns em de navegadores.

As informações confirmadas nesta semana fazem parte do material liberado ao público devido ao "Freedom of Information Act" e indicam uma boa maturidade do governo americano ao tratar de assuntos sensíveis como a autorização legal para utilização deste tipo de tecnologia e o equilíbrio entre o sigilo destas ações e a garantia da privacidade dos usuários.

O pdf original do documento "desclasificado" descrevendo alguns casos em que o CIPAV foi utilizado foi disponibilizado.

A necessidade do uso - e controle da autorização judicial (pdf - exemplo) - deste tipo de tecnologia é claro - muitas vezes as ações de hackers e criminosos envolvem técnicas como "proxy chaining" e redes de anonimato como a Tor - que são muito difíceis de monitorar através da Internet, e exigiriam autorizações judiciais de quebra de sigilo para múltiplos provedores em diferentes países - o que na maioria das vezes é impraticável.

Entre as ações tipicamente hackers utilizadas pelo FBI, está também a exploração (cracking) de redes Wireless para obtenção de evidências.

A utilização de ferramentas como o CIPAV e outras técnicas de "contra-ataque" sempre foi (e continuará sendo) fundamental para solução de casos de investigação como ameaças a bomba, terrorismo, sabotagem, extorsão e ataques de hackers.http://translate.google.com/translate?hl=en&sl=de&u=http://www.ccc.de/system/uploads/76/original/staatstrojaner-report23.pdf

Trojan Zlob/DNSChanger altera configurações de routers

[ Update: 09/07/2012 ]


Há mais de quatro anos começamos a escrever por aqui algumas informações relacionadas ao DNSChanger (este foi o primeiro post deste blog).

Como hoje (09/07/2012) foi o dia em que o FBI deixou de resolver as requisições feitas por máquinas e roteadores que tiveram suas configurações de DNS alteradas pelo DNSChanger, vale a pena adicionar alguma informação por aqui:


- Um excelente vídeo resumindo toda a história de uma forma extremamente didática foi publicado pela Sophos recentemente:
http://nakedsecurity.sophos.com/2012/07/06/dnschanger-how-not-to-lose-your-internet-connection-on-july-9/

- O real impacto foi realmente bastante pequeno (civom certeza nem um pouco pequeno para os que foram afetados efetivamente, mas longe do exagero divulgado pelo mídia "especializada").

1. http://www.pcmag.com/article2/0,2817,2406855,00.asp?kc=PCRSS05079TX1K0000992
2. http://www.itnews.com.au/News/308075,dnschanger-shutdown-misses-internet-doomsday.aspx
3. http://news.cnet.com/8301-1009_3-57468797-83/dnschanger-apocalypse-like-y2k-but-even-snoozier/

Os apocalípticos podem buscar agora um outro final do mundo para esperar, talvez o dos Maias, talvez o bug do ano 2038 (http://en.wikipedia.org/wiki/Year_2038_problem)..

[ Update: 01/12/2011 ]


O FBI e o Internet Storm Center (ISC) do Sans Institute monitoraram as consultas DNS aos antigos servidores do DNSChanger - e contabilizaram mais de 2 milhões de resoluções de sistemas infectados com o malware.

Mais infomações:

http://threatpost.com/en_us/blogs/two-million-requests-infected-systems-week-after-ghost-click-takedown-120111



[ Update: 09/11/2011 ]


O FBI anunciou hoje a operação "Ghost Click"- em que foram apontados seis cidadãos estonianos e um russo, acusados de ligação com o malware DNSChanger -Veja o press release do FBI sobre o caso.


Recomendo também a leitura, no blog do Brian Krebs, de um excelente artigo sobre o assunto: "Biggest Cybercriminal Takedown in History"


Falando em DNS - enquanto isto, no Brasil (via @assolini): 

"Hackers atacam roteadores e provedores para redirecionar sites"
http://g1.globo.com/tecnologia/noticia/2011/11/hackers-atacam-roteadores-e-provedores-para-redirecionar-web.html

Isto acontece, ao menos - desde 2002 - mas devido ao redirecionamento de sites muito acessados como Google e Hotmail, a repercursão deste caso específico tem sido bem grande.


Observação: comentamos sobre o DNSChanger em junho de 2008 (no primeiro post deste blog) - veja abaixo:




[ Update - 12/04/2008 ]



O primeiro post deste blog - em 13 de junho deste ano - foi sobre um trojan chamado "DNSChanger" que tentava acessar com senhas padrão o gateway (modem/AP/router) da rede interna e automatizava a exploração da rede local da vítima, além de reconfigurar os endereços DNS atribuídos automaticamente e assim possibilitar o controle da navegação e phishing/pharming em uma nova dimensão.

Pois bem, passados 6 meses, estamos no 48.0 post deste blog e uma nova variante do DNSChanger está chamando a atenção da comunidade de segurança, por sua inovação.

De uma forma geral, estes trojans que buscam alterar as configurações de DNS das máquinas locais ou da rede do usuário, têm agido até o momento com um três dos seguintes modus operandi:

1. Modificar o arquivo Hosts do Windows Modify (%SYSROOT%\windows32\drivers\etc\hosts)
2. Modificar a entrada de registro incluindo um DNS server malicioso (HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\NameServer)
3. Explorar vulnerabilidades do tipo "cross-site request forgery" em routers (ou via força bruta como nosso post de junho aponta) para sobrescrever a configuração DNS das máquinas na rede local

A novidade está na nova técnica utilizada por este trojan, que permite que todos os equipamentos IP (indepentende de sistema operacional) que estejam configurados para obter endereçamento automaticamente sejam afetados pela alteração de DNS.

É instalado na máquina infectada um driver (ArcNet NDIS) que irá a partir deste momento atuar como um servidor DHCP falso, e vai concorrer com o servidor real na distribuição dos endereçamentos da rede local - e - como você já deve ter imaginado - quando ele atribui o endereço ele também fornece ao equipamento os IPs de servidores DNS falsos para que a navegação das máquinas seja controlada por ele.

Dois pontos interessantes levantados pela Mcafee/Sans:

1 - o número de equipamentos afetados com este tipo de abordagem é maior, já que não há limitação por sistema operacional.

2 - a detecção da causa-raiz da alteração do DNS das máquinas afetadas é muito difícil (você teria que analisar o tráfego de rede para identificar os endereços MAC dos pacotes "DHCP Offer" para identificar onde a máquina infectada está..)

Os DNS falsos utilizados na variante analisada são:

• 85.255.112.36
• 85.255.112.41

Como mitigação (deste ataque específico), o SANS Institute recomenda bloquear o range 85.255.112.0 – 85.255.127.255 no seu gateway de borda.

A Mcafee informa também que o driver legítimo "ArcNet NDIS Protocol Driver" que é utilizado pode ser encontrado no caminho a seguir: (%SYSROOT%\system32\drivers\ndisprot.sys)

Além dos links de referência já citados, a Symantec publicou uma análise do trojan contendo as modificações efetuadas no sistema afetado.



[ Post Original: 13/06/2008 ]


Trojan Zlob/DNSChanger altera configurações de routers

Em uma demonstração de criatividade do hacker criador do trojan, depois de se instalar na workstation windows, ele tenta acessar com senhas padrão o gateway (modem/AP/router) da rede interna.

É um novo paradigma interessante e perigoso pois automatiza a exploração da rede local da vítima, além de reconfigurar os endereços DNS atribuídos automaticamente e assim possibilitar o controle da navegação e phishing/pharming em uma nova dimensão.

O assunto é ainda mais interessante pois segundo a TrendMicro, há possibilidade do ZLOB ser financiado pela organização "cyber-criminosa" RBN (Russian Business Network)...

Outras informações:

• Washington Post
• DarkNet
• ExtremeSecurity (lista contramedidas)

NSA paga Bilhões por "grampo" no Skype

[ Update: 29/06/2011 ]

Obviamente um serviço tão popular quanto o Skype já possui uma estrutura de Lawful Interception (Inteceptação Telemática). Porém com a recente compra da companhia pela Microsoft, alguns analistas estão sugerindo que uma estrutura mais completa e parruda de "grampo" esteja sendo montada.

Leia mais em: Microsoft May Add Eavesdropping To Skype

[ Post Original: 15/02/2009 ]

Tem gente que ficou impressionado com a recente oferta da Microsoft (U$ 250.000 por informações que levem à prisão do autor do Worm Conficker).

Isto é fichinha... O site inglês The Register noticiou que a Agência de Segurança Americana (NSA) estaria oferecendo bilhões de dólares por uma tecnologia que a permita "grampear" ligações utilizando o software de Voz sobre IP Skype. Estas informações teriam sido passadas por um executivo de uma empresa especializada em tecnologias para interceptação telemática em uma feira desta indústria, em Londres.

Possivelmente a NSA consegue quebrar a criptografia da comunicação do Skype, mas talvez isto consuma mais ciclos de processamento que eles gostariam...

O artigo sugere que a eBay (que comprou a Skype) também pode faturar alto para facilitar para a NSA (backdoor, talvez?) as interceptações de ligações via Skype.

A estrutura de funcionamento do Skype dificulta a interceptação telemática - (nome utilizado para o "grampo" autorizado judicialmente) . A comunicação é ponto a ponto ( peer2peer - ou seja, os dados não passam por um site central). Segundo o artigo, a Skype não divulga o método/algorítmo de criptografia utilizado * e o troca de tempos em tempos).

Um caso relacionado interessante aconteceu em 2006, quando o ex-presidente da empresa de tecnologia para Telecomunicações Comverse foi preso na África. Ele estava foragido dos EUA por fraude financeira e que foi encontrado graças à uma ligação feita por ele no Skype.

Neste caso, o FBI não precisou ouvir a ligação do fugitivo, bastava ter certeza que se tratava do usuário dele se logando e/ou utilizando algum serviço que entregasse alguma informação útil aos investigadores, como uma ligação para algum número conhecido via skype-out... Em outras palavras, neste caso o Skype garantiu um bom nível de confidencialidade para o fugitivo, mas não anonimato...

Este tipo de assunto normalmente sucita uma interessante guerra de argumentos entre os defensores da privacidade e os responsáveis por investigações / indústria da inteligência - que precisam da interceptação autorizada (ou de grampos mesmo) para efetuar importantes trabalhos de segurança...

Em países em que esta discussão não existe (como a China), o problema se resolve de uma forma mais simples. Mais informações no post: "Skype Chinês - Você está sendo vigiado... e suas conversas estão disponíveis na Internet!."

Aproveitando o assunto, existe um bom guia para análise dos registros de uso (logs) do Skype - pode ser útil para investigações em que você tenha acesso ao disco do suspeito (fisicamente ou remotamente) - detalhes aqui (pdf).

Para os interessados, segue o link para um paper sobre análise/monitoração de tráfego voip criptografado (pdf)

(*) - A apresentação "Silver Needle in the Skype" (pdf) feita na conferência Black Hat Europe de 2006 - há detalhes sobre os algorítimos utilizados na época: RC4 para obfuscação de informações pacotes de rede; criptografia assimétrica com chaves RSA de 1024 bits e 1536 bits, e simétrica com AES 256 bits.

Existem algumas ferramentas interessantes para análise forense de arquivos .DB e .DBB do Skype:

• Skypr (free, mais simples),
• SkypeLog (free),
• SkypeAlyzer (comercial, mais completa).

FBI prende 60 pessoas depois de 2 anos de operação de site-armadilha

O FBI prendeu mais de 60 pessoas depois de 2 anos de operação do site-armadilha "DarkMarket" - que era reconhecido pela comunidade criminosa como um dos maiores sites para compra e venda de dados pessoais roubados e negociação de equipamentos utilizados em crimes financeiros, especialmente ligados à cartões de crédito - site movimentava mais de US$ 10 milhões mensalmente.

Apesar de anunciar que o site era comandado a partir do leste europeu, e que seu líder era o famoso hacker "Master Splyntr" (lembra das tartarugas ninjas?) Na verdade o site era comandado pelo agente do FBI J. Keith Mulars, a partir de um prédio da agência em Pittsburgh (pode ser que o agente tenha se apoderado no nickname/email/icq do bandido em 2005).

Estas informações foram primeiramente divulgadas pela rádio alemã Südwestrundfunk, que descobriu que o site era operado pelo FBI / "National Cyber Forensics Training Alliance" (NCFTA).

Durante estes 2 anos, muitos bandidos morderam a isca que o FBI colocou, e pelo menos 61 incautos foram presos...

Brasileiro preso na Holanda por aluguel de botnet pode ser extraditado para os EUA

[ Update - 12/12/2009 ]

Depois de 16 meses do post original sobre o assunto, citando várias fontes da mídia especializada se referindo à prisão de um brasileiro acusado de intermediar um aluguel de computadores zumbis da "Shadow Botnet", recebi hoje um comentário anônimo no meu blog (de um IP oriundo da cidade de Taubaté - que já havia chegado ao blog via pesquisas no Google em outra oportunidade) afirmando - de forma bastante exaltada *e por isto não foi publicado na íntegra* - que o brasileiro é "inocente e já estaria no Brasil".

Não encontrei as "reportagens da BAND" que o anônimo citou em seu comentário como "ser a única que foi procurada para auxiliá-lo para provar ao Brasil e ao MUNDO, que ele foi vítima de uma armadilha" - mas informo que se receber um link ou outra referência verificável, publicarei assim que averiguar a fonte.

Voltando a analisar o assunto depois de quase 1 ano e meio, encontrei um detalhamento maior do desenrolar desta história na revista Geek http://www.geek.com.br/blogs/832697695/posts/10243-brasileiro-e-indiciado-por-shadow-botnet-o-rei-do-spam e Galileu http://revistagalileu.globo.com/Revista/Galileu/0,,EDR86914-7943,00.html

Para a Revisa Galileu, na oportunidade da reportagem de junho de 2009 - o brasileiro falou sobre o assunto. Como esta é a única defesa publicada que encontrei, estou a reproduzindo como complemento deste post de 1 ano e meio atrás - tire as suas conclusões:

* Qual era o seu trabalho no Brasil?
Leni de Abreu Neto: Eu trabalhava com o aluguel de servidores dedicados.

* Que negociação você fez na Holanda?
Leni: Intermediei a venda de um CD-ROM com um software, desenvolvido por um holandês, que tinha o código-fonte de uma botnet com 25 mil computadores. Ganhei 10 mil euros.

* Uma rede de "computadores-zumbis"?
Leni: Não, não. Essa botnet é diferente. Ela foi toda feita com download voluntário. Um programa mandava por MSN um link para download, mas sem vírus, sem invasão, sem ação de hacker. Tenho como provar que tudo foi feito dentro da lei.

* Você afirma que toda pessoa que fez o download para que seu computador fosse controlado à distância sabia disso?
Leni: Claro. Só se ela for analfabeta para não saber. Quem faz a instalação é o Windows. Mesmo que a pessoa por MSN tenha passado o link como sendo, por exemplo, a foto de uma mulher pelada, quando ela clicar o Windows vai avisar que é um programa e perguntar pelo menos duas vezes se a pessoa quer a instalação. Quem mandou o programa pode ter mentido, mas mentir não é crime.

* Se era tudo dentro da lei, por que o programa foi negociado pessoalmente, com dinheiro vivo?
Leni: Porque o Ronnie me induziu a trabalhar diferente da maneira com que geralmente eu trabalho. Eu receberia o depósito em conta e mandaria o software por e-mail. Na última hora, ele me entregou o dinheiro e pediu para fazer a negociação. Fiz como um favor para o Ronnie. Foi uma armação da polícia.

* Como é a sua vida hoje?
Leni: Como você acha que é? Na cela em frente, está um cara que matou a esposa. Trato todo mundo com educação para que não venham me matar. Esse lugar não tem nada a ver comigo. Nunca cometi nenhum crime.

[ Post Original - 22/08/2008 ]

Os acordos internacionais e cooperação entre as polícias especializadas no combate ao cyber-crime começaram a mostrar resultados neste ano.

Foi anunciada ontem a prisão do brasileiro Leni de Abreu Neto, de Taubaté-SP, ocorrida no final de julho, depois da cooperação entre a Polícia Federal Brasileira (Cyber Crimes), o Federal Bureau of Investigations (FBI - Cyber Squad Unit of New Orleans) e a Unidade de Combate a crimes de Alta Tecnologia da Holanda (Nederlandse High-Tech Crime Unit). A operação foi batizada como "Conexão Holanda" pela Polícia Federal brasileira.

Além dos brasileiro estão envolvidos os criadores da botnet - que se disseminava principalmente por MSN - que são dois irmãos holandeses - um com 16 e outro com 19 anos (Nordin Nasiri) que serão processados em seu país de origem.

Dentre as atividades investigadas, foi divulgado que o brasileiro fez um acordo com o holandês Nasiri há 4 meses atrás para atuar como negociador do aluguel da botnet a terceiros - para envio de SPAM, o que segundo levantamentos pode ter rendido cerca de R$ 70 mil em apenas uma negociação.

Se condenado, Leni de Abreu Neto pode pegar até cinco anos de cadeia, mais três de condicional, aém de ter de pagar uma multa de até U$ 250 mil dependendo dos prejuízos causados.

Leni está preso na Holanda e pode ser extraditado para os Estados Unidos, onde está sendo acusado de "conspiração para causar dano a computadores" por um juri federal no estado americano da Luisiana.