O que é Ride the Tiger na prática
Ride the Tiger não é uma ferramenta que você baixa e executa. É uma abordagem de análise de ameaças que consiste em estudar grupos APT específicos, seus IOCs, infraestrutura e TTPs (táticas, técnicas e procedimentos) para reconstruir campanhas inteiras a partir de indicadores dispersos. A ideia central é simples: em vez de atirar no escuro com inteligência genérica, você escolhe um ator e rastreia todas as peças do quebra-cabeça dele. Eu descobri isso por acaso em 2019, quando meu chefe pediu para eu investigar um conjunto de domínios maliciosos que não se conectavam a nada que eu conhecia. As ferramentas automatizadas de enrichment falharam porque os domains eram novos demais para feeds comerciais. Meu colega de equipe tinha lido um paper da Kaspersky sobre operações russas e me sugeriu: "tenta montar o quadro inteiro pelo grupo, não peloIOC isolado". Foi o primeiro momento em que Ride the Tiger fez sentido real pra mim.
Por que Ride the Tiger funciona onde outras abordagens falham
O problema com a coleta tradicional de IOCs é que ela é reativa. Você pega um hash malicioso, sobe no VirusTotal, e pronto. O IOC já morreu — o domínio foi desativado, o C2 mudou de IP. Mas o grupo por trás ainda está ativo. Ride the Tiger inverte a lógica: em vez de buscar o IOC e depois o autor, você começa pelo autor e busca os IOC que ele provavelmente vai usar. Isto é particularmente útil contra grupos como Lazarus Group, APT29 e Cobalt Group, que têm padrões operacionais consistentes por anos. A infraestrutura deles rotaciona, sim, mas os padrões de registro de domínios, escolhas de TLS, e até a forma como manipulam certificados são reconhecíveis se você já mapeou o grupo antes.
Como executar Ride the Tiger passo a passo
Você precisa de quatro coisas: um grupo-alvo, acesso a feeds de threat intelligence brutos (não processados), tempo e paciência. Vou detalhar cada etapa com base no que realmente funcionou pra mim em campanhas reais.
Escolha o grupo certo
Não tente analisar todos de uma vez. Escolha um grupo que tenha literatura pública suficiente para você começar, mas com operações ativas o suficiente para gerar tráfego investigável. Grupos como APT28, FIN7 e Charming Kitten têm milhares de relatórios analisáveis. Grupos novatos ou ultra-hermeticamente fechados não valem o esforço inicial. Uma armadilha comum: analisar grupos chineses menores com infraestrutura mínima. A densidade de IOCs por relatório é tão baixa que você gasta semanas coletando dados e consegue menos de dez domínios ativos. Foco em grupos com atividade documentada nos últimos 18 meses.
Reúna a linha de base do grupo
Baixe todos os relatórios públicos disponíveis do grupo. Use fontes como Mandiant, CrowdStrike, Kaspersky, Microsoft Threat Intelligence, e relatórios forenses de incidentes. Extraia tudo: hashes, IPs, domínios, user-agents, payloads, técnicas de delivery. Aqui entra a parte que ninguém conta: organize os dados em um spreadsheet com colunas para data, fonte, tipo de dado, e confiabilidade. Dados de relatórios de terceiros têm níveis diferentes de confiança. Um IOC citado num relatório da Mandiant com análise própria tem peso diferente de um IOC que aparece apenas numa lista de paste do Twitter.
Mapeie a infraestrutura
Este é o coração do processo. Pegue todos os domínios e IPs que aparecem nos relatórios e investigue cada um individualmente. Para domínios, use whois, DNS history (Wayback Machine, SecurityTrails, RiskIQ), e lookups de certificates (crt.sh). Para IPs, verifique geolocalização, ASNs, e histórico de resolução reversa. O insight que poucos mencionam: grupos sofisticados registram domínios com quemishes expirados intencionalmente. Se um domínio de um APT conhecido tem whois privacy que expirou há 6 meses, não descarte. O próprio grupo pode ter abandonado aquele registro propositalmente. Cross-reference com data de criação e primeiros avistamentos conhecidos.
Cross-reference com dados brutos
Agora você pega toda a infraestrutura mapeada e busca nos seus feeds brutos: logs de DNS, capturas de malware, feeds de detecção. Você quer saber quais domínios e IPs estão ativos AGORA, não há dois anos. Use query languages como KQL (Log Analytics), Lucene (Elastic), ou Splunk Search Processing Language. Uma query típica seria algo como: "dns_domain IN (lista_de_domínios_do_grupo) AND timestamp > now()-7d". Isso filtra ruído e te dá apenas o que está vivo recentemente.
👉 Clique no botão abaixo para saber mais sobre o assunto!
Minha experiência prática: em 2021, mapeei cerca de 340 domínios associados a um grupo Leste Europeu. Das queries em feeds brutos de provedores europeus, apenas 12 domínios estavam ativos. Mas esses 12 tinham tráfego intenso e se conectavam a ALB (Active Load Balancing) — um padrão que indiquei operação de alto nível. Foquei a análise naqueles 12 e descobri uma campanha de supply chain ativa que nenhuma ferramenta comercial havia detectado.
Conecte TTPs aos ativos ativos
Com os domínios/IPs ativos em mãos, reconstitua o pipeline: como o grupo entrou, que técnica usou (phishing, exploit kit, drive-by), que backdoor implantou, e qual foi o movimento lateral. Use sandboxing (Cuckoo,ANY.RUN, Falcon Sandbox) em samples coletados durante a investigação. Detalhe importante: muitos grupos usam multi-stage. O domínio que você identificou como C2 pode ser apenas um redirector. Rastreie todas as redirects até encontrar o payload final. Isso geralmente adiciona 3 a 5 hops na cadeia, mas é onde estão os IOCs mais valiosos — os hashes do backdoor real, não do dropper.
Documente e mantenha atualizado
Crie um documento mestre com o timeline do grupo: primeiras aparições documentadas, mudanças de estratégia, novos vetores de ataque, e infraestrutura descartada. Atualize semanalmente com novos avistamentos nos seus feeds. O que acontece na prática: a cada atualização, você descobre que o grupo abandonou uma técnica que usava há 2 anos e migrou para outra. Registrar essas transições é onde o valor real está. Uma equipe de SOC que sabe que um grupo específico parou de usar email phishing e começou a usar GitHub repos comprometidos pode ajustar seus detecciones antes de qualquer alertar automático disparar.
Limitações e onde Ride the Tiger não funciona
O método tem fraquezas sérias que precisam ser declaradas abertamente. Primeiro: depende inteiramente da qualidade dos relatórios públicos. Se o grupo que você está analisando tem pouca ou nenhuma cobertura midiática, sua linha de base será fraca. Grupos como HAFNIUM tiveram cobertura massiva por causa do EternalBlue. Grupos menores que operam com zero publicação simplesmente não dão margem para esta abordagem nos primeiros 6-12 meses de rastreamento.
Segundo: você fica preso aos viéses dos autores dos relatórios. Se todos os relatórios sobre um grupo vierem de uma única consultoria de segurança com foco em determinado setor, sua análise vai refletir esse viés. Eu cometi esse erro em 2020 analisando um grupo sul-coreano — todos os relatórios vinham de fontes japonesas focadas em ataques a fabricantes de eletrônicos. Anos depois, descobri que o mesmo grupo atacava instituições financeiras coreanas com técnicas completamente diferentes. A falta de diversidade nas fontes distorceu minha percepção do modus operandi. Terceiro: a abordagem é intensiva em mão de obra humana. Não escala bem além de 2-3 grupos simultâneos sem automação significativa. Tentar manter 8 grupos mapeados ao mesmo tempo com análise manual resulta em dados desatualizados em 4-6 semanas, o que é praticamente inútil em operações de infrastructures que mudam semanalmente.
Se seu objetivo é proteção geral de endpoint e não inteligência proativa contra APTs específicos, considere alternativas como Threat Intelligence Platforms (TIPs) com feeds gerenciados, ou simplesmente confiar em assinaturas comportamentais de vendors como CrowdStrike e SentinelOne. Ride the Tiger é para quem precisa caçar atores específicos, não para quem quer blindagem genérica.
Ferramentas úteis para a execução
DNS history: SecurityTrails (pago, mas essencial), RiskIQ PassiveTotal, crt.sh (gratuito). Para análise de domínios em batch, use sublist3r ou subfinder combinados com whois batch queries. Para sandboxing, ANY.RUN tem tier gratuito limitado mas útil para triagem rápida. Falcon Sandbox é mais robusto mas requer assinatura. Para correlação em larga escala, Elastic Security ou Splunk com data indices próprios funcionam bem. O processo todo leva de 40 a 80 horas iniciais para um grupo novo que você nunca analisou, e cerca de 4-8 horas semanais de manutenção depois. Não subestime o tempo de manutenção — infrastructures de grupos APT mudam semanalmente, e dados com mais de 30 dias de desatualização perdem valor rapidamente na prática.
