Bellacosa Mainframe e o AMOS uma porta dos fundos para roubar dados

🧠 AMOS: O Ladrão Invisível Que Não Roda no z/OS… Mas Já Pode Estar Roubando Seus Dados

“Você protege seu RACF. Blinda seu CICS. Controla seu batch.
Mas… e o endpoint do seu desenvolvedor COBOL? Quem está protegendo isso?”

---

☕ Introdução ao Estilo Bellacosa

No mundo do mainframe, existe um mantra silencioso:

“Se está no z/OS, está seguro.”

E na maioria das vezes… está mesmo.

Mas aqui vai o plot twist que poucos analistas seniores querem encarar:

👉 O problema moderno não começa dentro do mainframe. Ele começa fora.

Hoje vamos dissecar uma ameaça real, atual e crescente:

🔥 Atomic Stealer (AMOS)

---

🧬 O que é o AMOS (Atomic Stealer)?

O Atomic Stealer, também conhecido como AMOS, é um malware do tipo infostealer, projetado inicialmente para sistemas macOS — sim, aquele ambiente que muitos ainda chamam de “seguro por padrão”.

Ele atua roubando:

• Credenciais (navegadores, FTP, SSH)
• Cookies de sessão
• Carteiras de criptomoedas
• Tokens de autenticação
• Dados sensíveis armazenados localmente

👉 Em outras palavras:
Ele não invade o mainframe… ele invade quem acessa o mainframe.

---

🧠 A Nova Superfície de Ataque do z/OS

Você, analista COBOL sênior, já domina:

• RACF
• ACF2 / Top Secret
• Segurança de dataset
• Auditoria SMF
• Controles de acesso CICS/DB2

Mas me responda com franqueza:

👉 Você controla o notebook do desenvolvedor que acessa o TSO?

👉 Você audita o browser onde está o plugin de emulador 3270?

👉 Você garante que tokens de sessão não estão sendo roubados?

Se a resposta for “não totalmente”…

Então o AMOS já encontrou um ponto de entrada.

---

🕵️‍♂️ Anatomia do Ataque

O AMOS não precisa de APF autorizado.
Ele não precisa de IPL.
Ele não precisa nem saber o que é um dataset VSAM.

Ele funciona assim:

🔓 1. Engenharia Social

• Usuário baixa software pirata, plugin ou update falso
• Ou acessa link malicioso (phishing)

🧬 2. Execução Silenciosa

• Malware roda no endpoint (Mac/Windows)
• Coleta credenciais, cookies, tokens

📤 3. Exfiltração

• Dados enviados para servidores do atacante

🎯 4. Uso Inteligente

• Hacker usa sessão válida
• Acessa sistemas corporativos como usuário legítimo

👉 Inclusive:

• Acessos TSO
• Ferramentas FTP para datasets
• APIs REST via z/OS Connect

---

⚠️ O Impacto no Mundo Mainframe

“Mas o z/OS não foi invadido…”

Correto.

👉 Mas os dados foram.

E isso muda tudo.

💥 Possíveis impactos:

• Vazamento de dados sensíveis (clientes, contas, CPF)
• Acesso indevido a sistemas batch
• Execução de jobs maliciosos
• Exfiltração de arquivos via FTP/SFTP
• Comprometimento de credenciais privilegiadas

---

⚖️ LGPD: Onde o Problema Fica Sério

No contexto da Lei Geral de Proteção de Dados:

👉 Não importa onde ocorreu a falha.

Se houve vazamento de dados pessoais:

• A empresa é responsável
• Pode sofrer multas
• Pode ter dano reputacional severo

E aqui vem a bomba:

“Mas foi no notebook do desenvolvedor…”

👉 Irrelevante para a LGPD.

---

🔍 Auditoria: O Que Você NÃO Está Vendo

Ferramentas clássicas de auditoria no z/OS:

• SMF
• RACF logging
• CICS journaling

Elas vão mostrar:

✔ Login válido
✔ Acesso autorizado
✔ Comandos corretos

👉 Ou seja:
Tudo parece normal.

Porque o atacante está usando:

A identidade legítima do usuário.

---

🧠 O Paradoxo da Segurança Mainframe

O mainframe continua sendo o ambiente mais seguro.

Mas…

👉 A confiança no perímetro humano virou o elo fraco.

---

🛡️ Controles que um Analista COBOL Sênior Precisa Entender

Você não precisa virar especialista em cibersegurança.

Mas precisa evoluir sua visão.

🔐 1. Zero Trust

• Nunca confiar implicitamente no usuário
• Validar continuamente identidade e contexto

🔑 2. MFA (Multi-Factor Authentication)

• TSO
• VPN
• Ferramentas de acesso

🧾 3. Monitoramento Comportamental

• Detectar acessos fora do padrão
• Horários incomuns
• Volume anormal de leitura de datasets

🧬 4. Proteção de Endpoint

• Antimalware corporativo
• EDR (Endpoint Detection and Response)

📡 5. Segmentação de Acesso

• Limitar privilégios
• Evitar acessos amplos desnecessários

---

🧠 Curiosidades & Easter Eggs

💡 AMOS é vendido como serviço (Malware-as-a-Service)
👉 Hackers “alugam” o malware — modelo parecido com SaaS.

💡 Foco inicial em macOS
👉 Porque muitos profissionais de TI usam Mac… incluindo devs mainframe.

💡 Interface amigável para criminosos
👉 Painel web para visualizar dados roubados.

💡 Tokens são mais valiosos que senhas
👉 Permitem acesso sem autenticação adicional.

---

🧨 O Problema Ético

Aqui vai uma reflexão forte:

👉 O analista COBOL tradicional sempre confiou no ambiente controlado.

Mas agora…

• Seu código pode ser seguro
• Seu JCL pode estar perfeito
• Seu RACF pode estar blindado

E mesmo assim…

Seus dados podem estar sendo vendidos na dark web.

---

🧭 Conclusão: O Novo Papel do Analista Mainframe

O analista COBOL sênior de hoje precisa ser:

• Técnico ✔
• Experiente ✔
• Consciente de segurança moderna ✔✔✔

Porque o jogo mudou:

O ataque não vem mais pelo JCL…
Vem pelo clique do usuário.

---

🚀 Provocação Final

👉 Você revisa seu código COBOL com atenção extrema.

Mas…

Você já revisou o ambiente onde esse código é acessado?

📼 El Jefe Midnight Lunch — Release 1970: ABEND Susto RC=911 🔥💾

 

📼 El Jefe Midnight Lunch — Release 1970: ABEND Susto RC=911 🔥💾
Logs de um sobrevivente do botijão 13kg – Versão Bellacosa Mainframe

---

Ainda estamos nos anos 1970.
Uma década granulada, cor sépia Kodak, som de Chacrinha ecoando longe e cheiro de Kibon Chicabon derretendo no papel. Eu, pequeno Bellacosa, arquivo vivo em fita magnética, presente naquele sábado na casa de Douglas e sua esposa — amigos dos meus pais, gente boa, riso largo, casa cheia do tipo JES2 lotado em horário de pico.

Homens na mesa com cerveja gelada, mulheres no CICS da cozinha montando o jantar — transação constante, sem timeout.
E nós, as crianças, orbitando como tape drives inquietos, buscando petiscos, travessuras e qualquer oportunidade de rodar um job proibido.

Nada muito incomum.
Seria só mais um encontro normal, desses que o storage da memória arquiva e depois descarta por falta de espaço.

Mas aí aconteceu o evento PQP – Panic Queue Protocol.
E este sim ficou gravado com retenção permanente em HD emocional.

---

No auge do preparo da janta, o gás do botijão acabou.
Douglas — root user da residência — foi trocar o cilindro. Só que anos 1970 eram um sistema operacional sem patch de segurança, sem ITIL, sem NR nenhuma. Era plug and pray.

E no swap do botijão, a válvula de contenção falhou.

De repente:
gás pressurizado jorrando como um dump em tela verde.
Gritos. Correria. Jobs cancelados. Checkpoints ignorados.
O ambiente virou um SDSF com ABEND em massa.

Meu pai, por instinto, agarrou Vivi e correu para o quintal.
Minha mãe, movida pelo mesmo desespero mas outro raciocínio, me puxou e correu para dentro da casa. Sim, para dentro.

E aqui entra o detalhe arquitetônico brasileiro:
Casa brasileira é máquina de segurança física nível RACF ultra restritivo.
Grades, fechaduras, ferrolhos, trancas.
Tudo pensado para impedir entrada — e sem rollback para saída.

Minha mãe me levou, na melhor das intenções, para uma armadilha perfeita.
Se o gás acendesse… nós dois viraríamos job zombie, sem saída, presos atrás de barras de aço. Um "halt and catch fire" literal.

Mas como você percebe — console ainda online, sessão ativa — o pior não aconteceu.
O botijão era pequeno, 13kg, liberou o inferno por uns 10 minutos, talvez menos, talvez mais — criança conta tempo como CPU sem relógio.
Quando a pressão diminuiu e o risco passou, meu pai entrou, nos resgatou do quarto como herói com override de segurança.

E como era 1970 —
não teve psicólogo, não teve auditoria de segurança, não teve SMS de incidente crítico.

Pegaram outro botijão. Continuaram a cozinhar.
E no final, jantamos todos juntos, rindo, reconstruindo o dump daquele quase-desastre.
Uma história que quase se perdeu no spool da vida, se não fosse pelo evento P-Q-P estampado na memória ROM da infância.

E cá estou.
Bit sobrevivente, bloco íntegro, registro ativo.

Vivo para contar.
E jantar outra vez.

🔥🐇💾
Bellacosa — log registrado, commit efetuado, RC=0 (por milímetros).