A Symantec divulgou hoje informações sobre uma onda de ciberataques que tem como alvo a infraestrutura de energia (usinas e plantas de distribuição) dos Estados Unidos e da Europa. Em alguns casos, os ataques são suficientemente fortes para dar aos hackers o poder de induzir blecautes em partes determinadas do território estadunidense. 

O grupo responsável pelas invasões é conhecido como Dragonfly pela empresa de segurança. Eles já estão em atividade desde 2011, mas desde 2015 começaram a se focar no setor de energia. Ao que parece, o primeiro objetivo dos grupos é obter informações sobre o funcionamento dos sistemas. Em seguida, eles tentam ter acesso ao sistema para sabotar ou assumir o controle desses sistemas num momento em que escolherem. 

Trata-se de uma situação extremamente grave. Em entrevista ao site Wired, o analista de segurança da Symantec Eric Chien afirmou que nunca houve um caso em que os invasores demonstrassem ter tanto controle sobre o sistema de energia dos EUA. “Estamos falando de evidências técnicas de que [uma sabotagem] pode acontecer nos EUA, e não há nada impedindo isso exceto a motivação de algum agente aí pelo mundo”.

Coletar e atacar

Segundo o Engadget, os primeiros golpes dos invasores ocorreram em dezembro de 2015, na forma de e-mails maliciosos enviados para alguns funcionários do setor. Com esses e-mails, o grupo conseguiu juntar credenciais e instalar “backdoors” por meio dos quais tinham acesso aos computadores das vítimas. 

Nesse primeiro momento, o golpe ainda girava em torno da coleta de informação. E o aspecto mais perturbador dessa fase de coleta foi a existência de uma série de arquivos com “prints” das telas dos sistemas de controle da infraestrutura de energia do país. Os arquivos eram nomeados segundo o formato “[local e descrição da máquina].[nome da empresa]”. Alguns deles tinham a palavra “cntrl” (de “controle”) no título, indicando tratar-se de máquinas com acesso ao sistemas operacionais. 

Chine considera que essas imagens são indício de que os atacantes pretendem, eventualmente, realizar uma sabotagem no sistema. “Você tiraria prints desse tipo para entender o que você precisa fazer em seguida. Quer dizer, literalmente, para saber qual alavanca você precisa puxar em seguida”.

Boa parte da atividade do grupo, segundo a empresa, parece estar voltada para dificultar sua identificação. Por exemplo, eles não exploraram nenhuma falha “zero day”, o que dificulta a atribuição do ataque a algum grupo. A maior parte das falhas que eles exploram estão facilmente acessíveis na internet. No código dos programas usados, parte do código está em russo e a outra parte está em francês, o que sugere que uma dessas duas línguas pode estar lá só para despistar.

Proteção

Diversos dos arquivos maliciosos usados pelos invasores do Dragonfly já foram identificados pela Symantec. Além dos arquivos, a empresa também identificou processos maliciosos usados para os ataques e os servidores de comando e controle associados a eles.

Fora isso, a empresa recomenda que companhias do setor de energia tomem todas as medidas de segurança possíveis, como criptografar dados sensíveis, proteger sistemas importantes com senhas fortes, habilitar a autenticação em dois fatores sempre que possível e garantir que mais de um software de segurança esteja em ação o tempo todo. 

Essa não é a primeira vez que uma operação coordenada de hackers em setores de infraestrutura vem a público. Em julho, o Departamento de Segurança Nacional dos EUA revelou que suas usinas nucleares estavam sob a mira de hackers. Não está claro ainda se há alguma relação entre as duas operações coordenadas.