Thread by @ayubio

Como foi p/ mim ser um dos primeiros analistas externos que revisaram o inquérito sobre a invasão aos servidores do TSE onde o invasor teve acesso ao código-fonte da urna e até hoje não foi identificado? O @Tec_Mundo me perguntou e eu respondi. Siga o fio! 🧵

Alguns pontos que destaco:

1) A PF não fez diligências p/ coleta de provas. No inquérito, todas as informações foram prestadas pelo TSE à PF. Senti falta da polícia ter coletado provas em vez de analisar apenas às apresentadas pelo TSE, que é parte potencialmente não neutra.

2) Quem analisou os logs e montou a linha do tempo dos fatos foi o próprio TSE, não a Polícia Federal. Eu esperava num inquérito encontrar uma narrativa construída pela parte investigadora e não a parte investigada.

3) Nos logs do TSE das invasões existem endereços IPv4 das operadoras Claro e TIM, que poderiam por ordem judicial identificar o assinante de cada conexão e possibilitar à PF que fizesse a diligência na casa e dispositivos destes p/ coletar provas ou identificar a autoria.

4) Mas os pedidos de identificação de titulares dos IPs da PF às operadoras não continham os dados de porta de destino e origem, impossibilitando a perícia de identificar de onde originaram os acessos já que endereços IPv4 são compartilhados por centenas de usuários.

5) Como os logs do TSE não registram de forma completa as portas utilizadas nos acessos à sua rede, torna-se impossível que uma perícia rastreie os acessos p/ encontrar o autor. O próprio TSE não está seguindo o Marco Civil da Internet que orienta o registro de porta.

6) O jurídico da TIM e da Claro recusaram o pedido da PF de identificação de quais assinantes utilizaram conexões da empresa na invasão devidamente embasada na falha técnica do registro de logs por parte do TSE. Perdeu-se aqui a principal chance de identificar o invasor.

7) O perito da PF descobriu que um dos IPs de origem da invasão era operado pela NordVPN e incorretamente inferiu que era do Panamá, já q é o que aparece no WHOIS. Se ele tivesse traçado rota, teria descoberto q o IP é de São Paulo, ao alcance de uma digilência p/ coletar provas.

8) Além de não ter seguido a pista do endereço IP corretamente até São Paulo, não houve por parte do TSE nem da PF o acionamento da Interpol ou representantes diplomáticos do Panamá p/ se avançar na investigação. Ao verem que era do Panamá, abandonaram a pista.Pode isso, Arnaldo?

9) Descobriram o invasor pois acharam incomum o servidor banco de dados do TRE-PE ter acessado o banco de dados do TRE-RN, comunicação que não deveria ocorrer. Se não deveria e ocorreu, é uma evidência que sequer firewall protegendo os bancos de dados existia nos TREs.

10) Um login com poderes de admin do TRE-AP de senha de fácil dedução foi descoberta pelo invasor (estilo joao123). O que evidencia que não há política que exija uma qualidade mínima de senha nos TREs, coisa que até rede social exige de nós.

11) Através desse admin de senha fácil do TRE-AP, os servidores do TSE em Brasília foram acessados. TRE-SP e TRE-BA também foram invadidos e tiveram maquinas com malware de acesso remoto instalado (WebShell). O que foi feito por esse shell é desconhecido.

12) O invasor conseguiu um segundo acesso através de um servidor VoIP (Asterisk) pelo TRE-PB e dele se comunicando com servidores de demais TREs. Esse Asterisk é mantido por um terceirizado,evidenciando que sequer há firewall nos TRE isolando servidores de terceirizados do resto.

13) Foi esse servidor de VoIP controlado por terceirzada que teve os tais logs apagado, o que na entrevista ao @Tec_Mundo explico que por si só não é algo incomum. A falta de firewall na rede interna do TSE e TRE é que o é.

14) O TSE confirma que o invasor teve em abril de 2018 acesso ao código-fonte da urna e senhas do GEDAI-UE, aplicativo de preparação das urnas.

15) O invasor conseguiu se apossar do login do Ministro Sérgio Banhos do TSE e atuar nos sistemas de TI dos tribunais como ele fosse, incluindo correio eletrônico (e-mail). Olhe o perigo!

16) Também fica evidenciado no inquérito, de além de não ter firewall separando servidores sensíveis de máquinas comuns dentro dos TREs e TSEs, não havia 2FA, um segundo fator de autenticação, nem para admins e nem para ministros do TSE.

17) Por esses motivos, o TSE perdeu meu voto de confiança. Esses erros grosseiros de TI me deixam preocupado sobre futuras invasões e ameaças ao processo eleitoral. Quem cometeu esse erro, não vai deixar a peteca cair depois? Eles são qualificados para cuidar do TI das eleições?

18) Para assistir em vídeo minha análise do inquérito o melhor link é esse daqui:

19) Para assistir o episódio do podcast TecInverso na íntegra onde além do TSE falo da minha investigação do vazamento das senhas dos cartões do Banco Inter, o melhor link é esse daqui:

20) E quer passar mal assim como ao ler o inquérito por conta própria? O então presidente da República e a imprensa já o divulgaram. Ele pode ser lido aqui: static.poder360.com.br/2021/08/Inquer…

21) E como ano passado eu simplesmente afirmei via Twitter que se houvesse mais transparência e mais auditoria na parte tecnológica do processo eleitoral, fui banido (e censurado) de outubro/22 até fevereiro/23.

22) E só fui desbanido porque Musk demitiu todos os funcionários do Twitter Brasil. Mesmo sob a gestão dele, enquanto havia um escritório no BR, todos os meus pedidos de revisão de banimento foram recusados alegando que minha presença aqui é uma ameaça a integridade cívica do BR.

23) Mais detalhes sobre as exatas mensagens que motivaram meu banimento no Twitter você encontra aqui:

24) Aí eu te pergunto: a quem interessaria silenciar e censurar alguém que meramente sugere mais transparência e mais auditoria a um processo eleitoral?

25) E outro legado importante deste incidente é: enquanto um grupo seleto e restrito de pesquisadores viram as 17 milhões de linha de código-fonte nos editais de auditoria do TSE sob condições inóspitas do trabalho, não sabemos qual e quais pessoas no mercado negro estão com o… twitter.com/i/web/status/1…