Montando um ambiente seguro de investigação OSINT: VM, VPN e sock puppets

Investigar fontes abertas parece inofensivo, mas cada clique deixa rastro: seu IP real, o fingerprint do navegador, cookies e até a conta onde você estava logado. Um ambiente seguro de investigação protege você (OPSEC pessoal), protege sua máquina (isolamento) e protege a integridade da apuração (atribuição controlada). Este guia monta esse ambiente em camadas.

Por que isolar?

Dois riscos justificam o esforço. Primeiro, o risco técnico: ao abrir documentos, PDFs ou páginas do alvo, você pode executar código malicioso. Rodar tudo dentro de uma máquina virtual (VM) descartável impede que um ataque alcance seu sistema real. Segundo, o risco de atribuição: se o alvo descobre quem o observa, a investigação queima e você pode virar alvo. A falha de OPSEC número um é a contaminação cruzada: mesma senha, mesmo telefone ou login em conta pessoal a partir da VM.

Camada 1: máquina virtual

Sempre conduza a investigação dentro de uma VM dedicada, nunca no sistema operacional principal. Hipervisores como VirtualBox (gratuito), VMware Workstation e KVM isolam o ambiente de pesquisa do host.

Recomendações de montagem:

• Sistema operacional: distribuições voltadas a investigação, como CSI Linux ou Tsurugi, já trazem ferramentas prontas; Debian ou Kali também servem. Evite sistemas com telemetria proprietária agressiva.
• Snapshots: tire um snapshot do estado limpo. Depois de cada caso sensível, reverta para ele e descarte o que foi baixado.
• Pastas compartilhadas e clipboard: desabilite o compartilhamento de área de transferência e de pastas com o host para evitar vazamento acidental.
• Rede em modo NAT por padrão; use host-only quando quiser analisar artefatos sem qualquer acesso à internet.

Para máxima separação de rede, a arquitetura Whonix roda o navegador numa VM (Workstation) que só acessa a internet através de outra VM que força todo o tráfego por Tor (Gateway).

Camada 2: rede e anonimato

O objetivo é que o servidor do alvo registre um IP que não seja o seu e não relacione sessões entre si. Ferramentas comuns: Tor Browser, WireGuard, Mullvad e outras VPNs comerciais com kill switch.

Decisões de rede:

• VPN comercial reputada (com kill switch e política de não-logs) esconde seu IP do destino e do seu provedor. O kill switch corta a internet se o túnel cair, evitando vazamento do IP real.
• Tor fornece anonimato mais forte e gratuito, porém mais lento e bloqueado por muitos sites. Bom para leitura, ruim para plataformas que detectam nós de saída.
• Nunca acesse suas contas pessoais pelo mesmo caminho de rede das contas de pesquisa.

No Linux, verificar qual IP o mundo externo enxerga, antes de começar:

curl https://ifconfig.me

Compare o resultado com seu IP real. Se forem iguais, sua VPN ou Tor não está ativa e você deve parar imediatamente.

Camada 3: navegador endurecido

O navegador é a maior fonte de fingerprint. Configure um Firefox dedicado à investigação:

• Extensões: uBlock Origin para bloquear rastreadores e, quando necessário, um User-Agent Switcher.
• Ajustes de privacidade: desabilite WebRTC (que pode vazar o IP local), limpe cookies ao fechar e use um perfil separado por identidade.
• Containers: a extensão de contêineres do Firefox isola cookies, cache e histórico por aba, útil para manter sock puppets separados.

Armadilha: instalar dezenas de extensões exóticas deixa seu navegador mais único, não menos. Fingerprint menor vem de configuração padrão e comum, não de personalização extrema.

Camada 4: sock puppets (contas de pesquisa)

Um sock puppet é uma identidade online fabricada, usada para observar comunidades sem revelar quem você é nem o objetivo da apuração. Montá-lo bem exige disciplina.

Infraestrutura mínima por identidade:

• E-mail dedicado em serviço como ProtonMail ou Tutanota, jamais ligado ao seu e-mail pessoal ou de trabalho.
• Perfil de navegador isolado, com cookies, cache e histórico próprios.
• Persona consistente: nome, foto e histórico críveis. Evite fotos de rostos reais de terceiros e geradores óbvios; prefira imagens neutras que não sejam rastreáveis a uma pessoa real.
• Cadência humana: contas criadas e usadas em rajada levantam suspeita e são banidas.

Regras de ouro do sock puppet:

1. Uma identidade nunca cruza com outra (sem seguir, curtir ou e-mail em comum).
2. Nunca reutilize senhas; use um gerenciador exclusivo da VM.
3. Não forneça número de telefone pessoal para verificação.
4. Respeite os termos de uso: criar conta falsa pode violar políticas da plataforma, então avalie necessidade, proporcionalidade e o enquadramento legal da sua atuação.

Passo a passo na prática

Preparando o ambiente para um novo caso:

1. Reverta a VM para o snapshot limpo.
2. Ative a VPN (ou Tor) e confirme com curl https://ifconfig.me que o IP mudou.
3. Abra o perfil de navegador correspondente ao sock puppet do caso.
4. Faça login apenas nas contas de pesquisa daquele caso.
5. Investigue, documentando fonte e horário de cada captura.
6. Ao encerrar, exporte as evidências para um cofre criptografado fora da VM e reverta o snapshot.

Esse ritual garante que nenhuma sessão vaze para a próxima e que artefatos baixados não persistam.

Ética e legalidade

Ambiente seguro não é licença para qualquer coisa. No Brasil, acessar sistema sem autorização é crime (Lei 12.737, a Lei Carolina Dieckmann) e a LGPD rege o tratamento de dados pessoais, mesmo os coletados de fontes abertas. Sock puppets servem para proteger o investigador, não para enganar vítimas, induzir a erro ou burlar a lei. Mantenha-se em fontes abertas, com finalidade legítima, e documente suas decisões.

Convite

Monte seu laboratório, teste o fluxo e compartilhe sua checklist de OPSEC com a comunidade OsintHunters Brasil. Revisão entre pares é a melhor defesa contra deslizes.