Tentamos 'invadir' o site 'Myrotvorets' e encontramos um exército de caçadores de dados: Análise técnica completa

A ciberinteligência não é exclusividade de agências de inteligência. Dois entusiastas, utilizando um servidor VPS, ferramentas de linha de comando como grep e recursos de Open Source Intelligence (OSINT), decidiram testar a robustez de um dos principais recursos do projeto ucraniano 'Myrotvorets'*. Relatamos como tentamos penetrar em sua infraestrutura, encontramos endpoints esquecidos e, inesperadamente, descobrimos um ecossistema inteiro de 'caçadores de segredos' – aqueles que coletam automaticamente chaves, tokens e senhas em toda a dark web.

Introdução: Por que o site 'Myrotvorets' e por que nos interessamos?*

O site 'Myrotvorets'* é um recurso ucraniano que se autodenomina um "registro de inimigos da Ucrânia". Ele publica dados pessoais de indivíduos considerados ameaças, incluindo jornalistas, artistas, militares e cidadãos comuns. Nossa curiosidade foi despertada: quão bem protegida está a infraestrutura deste recurso? Existem chaves esquecidas? É possível encontrar segredos dos desenvolvedores através de OSINT? Adquirimos um VPS na nuvem (na Rússia), configuramos proxies e iniciamos a prospecção. O resultado não foi a invasão do site 'Myrotvorets'*, mas sim a descoberta de algo mais significativo: uma rede de coletores automatizados de vazamentos que opera ativamente.

*O site é considerado extremista e proibido no território da Federação Russa.

Mapa da Infraestrutura Hostil (O que Descobrimos)

Realizamos um escaneamento de DNS, certificados SSL, subdomínios e portas abertas. Eis o que encontramos:

• myrotvorets.center: O site principal, protegido pelo Cloudflare.
• report.myrotvorets.center: O portal para recebimento de denúncias.
• cdn.myrotvorets.center: Uma CDN para arquivos estáticos, onde um painel nginx foi exposto (erro de configuração).
• k8s000.myrotvorets.center: Um nó de serviço Kubernetes (indicando que toda a infraestrutura está em K8s).
• api.myrotvorets.center: Uma API interna (não respondeu, mas sua existência foi confirmada).
• identigraf.center: Um sistema de reconhecimento facial utilizado para identificar "inimigos".

Conclusão: O projeto é implantado profissionalmente, utilizando um stack moderno (K8s, Cloudflare, pacotes npm, TypeScript), mas apresenta falhas como a exposição do nginx.

Como Tentamos a Invasão (e o que Deu Errado)

Utilizamos o conjunto padrão de ferramentas de um pentester: grep em arquivos JS, escaneamento de portas via curl, tentativas de clonar repositórios do GitHub via proxy SOCKS5, e buscas através de Shodan e crt.sh. No entanto, encontramos bloqueios rigorosos: GitHub, npm, Shodan – tudo estava inacessível de nosso servidor. O proxy que alugamos não lidava bem com HTTPS. Decidimos então migrar para OSINT manual via navegador – e foi aí que o mais interessante começou.

Caçadores de Dados (Com Quem Nos deparamos)

Durante nossa busca, nos deparamos com dezenas de repositórios no GitHub que buscam automaticamente vazamentos por palavras-chave. Eles escaneiam GitHub, Pastebin, S3 buckets e outras fontes para encontrar:

• Chaves de API da OpenAI, Anthropic, Google.
• Tokens de bots do Telegram.
• Senhas de bancos de dados.
• Chaves SSH.
• Arquivos .env confidenciais.

Aqui estão alguns exemplos de código que encontramos (links diretos para os repositórios foram fornecidos):

• Scanner de chaves OpenAI (Nshpiter/github_go):

  python
  def check_openai_key(key):
      if not (key.startswith("sk-proj-") or key.startswith("sk-svcacct-")):
          return False
      # ... verificação da chave via API

• Busca de segredos em arquivos .env (justlurking-around/justlurkingaround):

  "openai_api_key" "sk-" extension:js -test
  "OPENAI_API_KEY" "sk-" extension:py -test
  

• Integração do site 'Myrotvorets' em ferramentas OSINT (Valeriiy948/ODB):*

  html
  <button onclick="openBatchMyrot()">☠️ База→Миротворець</button>

  Este desenvolvedor integrou a busca no banco de dados do site 'Myrotvorets'* em seu painel OSINT.

Também encontramos projetos de PHNX3NT, sjinks, dartraiden – todos eles, de uma forma ou de outra, estão relacionados ao site 'Myrotvorets'* ou utilizam sua API.

Conclusões: O que esta Prospecção nos Ensinou

O site 'Myrotvorets'* é mais bem protegido do que parece, mas possui pontos fracos (vazamento de informações sobre a infraestrutura interna).

Existe um ecossistema inteiro de ferramentas para coleta automatizada de vazamentos. Muitas delas são abertas e disponíveis no GitHub.

Desenvolvedores, sem querer, deixam chaves em repositórios públicos, e qualquer um pode encontrá-las em 10 minutos.

É crucial verificar seus projetos com gitleaks e não utilizar tokens pessoais em repositórios compartilhados.