Unit221B e Krebs transformam a própria proibição da Rússia contra ransomware em uma 'vacina' gratuita para PCs

Durante o ataque do DarkSide em maio de 2021 que paralisou o Colonial Pipeline, Krebs observou que praticamente todas as variantes de ransomware russo se recusam a instalar em máquinas Windows que tenham teclados russo ou ucraniano instalados — um mecanismo de segurança embutido que protege os criminosos da aplicação da lei do próprio país. Leitores queriam saber se usuários comuns poderiam explorar essa regra.

Usar a própria lista de exclusão de países do malware como vacina: fazer todo PC Windows parecer russo ou ucraniano para que a verificação de não instalar do ransomware russo o poupe.

O KrebsOnSecurity explicou como: instalar um layout de teclado de um país da CEI, ou executar o script em lote do Windows de duas linhas clicável produzido por Lance James, da Unit221B, que adiciona uma referência ao idioma russo nas chaves de registro específicas que o malware verifica, sem baixar os arquivos de idioma da Microsoft. Allison Nixon enquadrou o truque estrategicamente: se pessoas suficientes o fizessem, os hackers russos enfrentariam a escolha entre perder a proteção legal de ficar fora do próprio território ou perder renda.

O explicativo tornou-se um dos posts de segurança mais discutidos de maio de 2021 — 604 pontos e 278 comentários no Hacker News, além de 147 comentários no próprio site — e o script de James circulou como a versão gratuita e de um passo da correção. Nixon argumentou que a adoção em massa forçaria os criminosos a enfraquecer o próprio escudo legal ou aceitar perdas, enquanto o texto deixava explícito que a defesa só funciona contra malware com exclusão da CEI e que uma variante recente do DarkSide analisada pela Mandiant ignorava completamente a verificação de idioma.

Em maio de 2021, quando o grupo de ransomware DarkSide paralisou 5.500 milhas do Colonial Pipeline e fez os preços dos combustíveis nos EUA subirem, Brian Krebs apontou uma peculiaridade da economia criminosa: praticamente todo ransomware em língua russa se recusa a instalar em máquinas Windows que tenham um layout de teclado russo ou ucraniano. A lista de exclusão abrange a Comunidade dos Estados Independentes, e existe para que os afiliados nunca criem vítimas nos próprios países — onde a polícia só investiga quando uma vítima local reclama.

O golpe criativo de Krebs foi devolver essa regra aos defensores: se o malware se autoexclui de máquinas que parecem russas, faça toda máquina parecer russa. Seu artigo mostrou aos leitores como instalar um teclado de um país da CEI, e Lance James, da Unit221B, lançou um script em lote de duas linhas que adiciona uma referência ao idioma russo exatamente nas chaves de registro que o malware verifica. Allison Nixon chamou isso de 'vacina' cujo valor real era estratégico: a adoção em massa forçaria os hackers russos a escolher entre manter a proteção legal evitando máquinas domésticas, ou abandonar a verificação e arriscar processo.

O post tornou-se uma das histórias de segurança mais lidas do mês — 604 pontos e 278 comentários no Hacker News, além de 147 no próprio artigo — com leitores instalando layouts, compartilhando o script e debatendo se os criminosos se adaptariam. As ressalvas faziam parte da proposta: o truque não faz nada contra malware sem exclusão da CEI, não substitui a defesa em profundidade, e a Mandiant descobriu que uma variante recente do DarkSide já havia abandonado a verificação de idioma. Ainda assim, como um passo gratuito de dois minutos, deu aos usuários comuns uma defesa real e fez os atacantes pagarem por cada contorno.

A vacina não precisa de nenhum novo produto de segurança: ela usa como arma a própria lista de não infectar dos criminosos, que já existe no código deles.

Um script de registro de duas linhas tornou a correção trivialmente adotável, transformando uma ideia engenhosa em algo que qualquer usuário poderia executar naquela mesma tarde.

O contexto do Colonial Pipeline deu ao truque o seu momento: o ataque de ransomware mais visível em anos tornou um lifehack defensivo gratuito instantaneamente noticiável.

O enquadramento estratégico — forçar os criminosos a trocar proteção legal por renda — fez do truque mais do que higiene pessoal, fez dele um movimento coletivo.

Ressalvas honestas (nem todo malware verifica, variantes já abandonaram a verificação) mantiveram o conselho credível o suficiente para se espalhar por um público de segurança cético.

A regra de segurança de um adversário é uma superfície de controle: os criminosos ficam fora do próprio território para escapar da polícia local, então defensores que falsificam esse território forçam os atacantes a enfraquecer o escudo ou perder renda.

O truque tornou-se um ponto de referência no debate sobre ransomware que se seguiu ao Colonial Pipeline: o DarkSide anunciou que estava encerrando as atividades depois que seus servidores e bitcoins foram apreendidos, e a defesa da verificação de idioma circulou como um paliativo gratuito enquanto os defensores debatiam seus limites. Comentaristas sondaram as fraquezas — verificar qual teclado está ativo, observar quando um layout foi instalado, abandonar a verificação por completo — o que Nixon enquadrou como a troca que a vacina foi projetada para forçar. O post permaneceu no ar e comentado, um explicativo duradouro de como a regra geográfica de um criminoso se tornou a defesa de qualquer um.