Hackers se infiltraram silenciosamente em mais de uma dezena de operadoras de telefonia móvel em todo o mundo, ganhando controle total das redes debaixo do nariz das empresas. Os invasores têm usado esses sistemas nos últimos sete anos para roubar dados confidenciais. Eles possuem tanto controle, que podem encerrar as comunicações dessas operadoras a qualquer momento, de acordo a Cybereason, uma empresa de segurança de Boston.
Os pesquisadores da empresa disseram na semana passada que estão analisando a Operação Softcell, na qual hackers são acusados de atacar operadoras de telefonia da Europa, Ásia, África e do Oriente Médio. Eles infectaram várias provedoras de telefonia de celular desde 2012, ganhando o controle dos servidores dessas empresas e desviando centenas de gigabytes de dados.
Isso mostra um problema potencialmente perigoso à medida que empresas de diferentes setores lutam para proteger os dados de seus clientes. Os hackers também tinham permissões de acesso privilegiadas para fazer mais do que simplesmente roubar informações.
Em resposta a isso, o Departamento de Segurança Interna dos EUA criou seu próprio meio de lidar com ataques à infraestrutura, que foi reconhecido como uma ação frequente de hackers. Eles estão se protegendo caso algum desses invasores decida interromper a comunicação – e já está mais do que provado que eles podem fazer isso.
Amit Serper, chefe de pesquisa de segurança da Cybereason declarou: “Eles podem fazer o que quiserem. Como eles têm total acesso, podem encerrar a rede amanhã, se quiserem”. Serper ainda declarou que não encontrou nenhuma operadora de telefonia móvel dos EUA que foi afetada, mas como os hackers ainda estão na ativa, isso pode mudar a qualquer momento.
Embora eles tenham o poder para interromper as comunicações, parece que seu objetivo é outro. Eles parecem estar mais focados na obtenção de informações do que na interrupção do sistema de comunicação dessas redes de telefonia.
Essa teoria se confirma após uma análise do histórico desses invasores. Depois de obter acesso aos servidores internos das operadoras, os hackers eles tiveram a sua disposição milhões de dados de clientes das mesmas, como registros de chamadas, histórico de mensagens escritas e dados de geolocalização. Mesmo assim, eles roubaram dados de menos de 100 vítimas, das quais são altamente segmentadas. Provavelmente, eles estão visando pessoas envolvidas no governo e nas Forças Armadas.
Como os ataques aconteceram?
Os pesquisadores da Cybereason descobriram que os hackers obtiveram acesso aos sistemas das operadoras ao explorar vulnerabilidades antigas, como um malware escondido em um arquivo do Microsoft Word, ou encontrando um servidor público pertencente à empresa.
Depois que eles entram, o malware se espalha procurando por todos os computadores de uma mesma rede. Com isso, eles tentam obter acesso inundando-os com tentativas de login. Ele continua a se espalhar até que os hackers atinjam o banco de dados dessas operadoras.
Usando esse acesso, os invasores também criaram contas com privilégios altos, para que eles pudessem transitar pelo sistema sem esbarrar em qualquer medida de segurança, ou serem impedidos por algum sistema que exigisse um nível de senha mais alto.
Mesmo que as operadoras tomem medidas para encerrar essas vulnerabilidades, os hackers ainda podem permanecer agindo por anos após a correção, apenas se passando por um funcionário da empresa com uma conta, como qualquer outro.
Como o método de ataque era bastante sofisticado e direcionado a um propósito, os pesquisadores acreditam que eles estão sendo apoiados por um Estado-nação. Todos os sinais encontrados apontam para a China. O malware usado, o método de ataque e os servidores apontam para o APT10, grupo de elite de hackers da China.
Mas não há como obter certeza sobre essas alegações. Apesar dos invasores utilizarem malware e servidores chineses, é possível também que o atacante seja um grupo querendo incriminar o APT10, disseram os pesquisadores.
Serper recomendou que as empresas devem monitorar todas as suas redes, principalmente as voltadas para o armazenamento e troca de dados. As operadoras também devem ficar atentas a contas que tenham altos níveis de privilégios dentro do sistema. Ainda segundo ele, a investigação continua em andamento, já que os servidores hackeados ainda estão em pleno funcionamento.
Para as pessoas que estão sendo rastreadas por meio desse hackeamento, não há nada que eles possam fazer para se proteger disso. As vítimas nem saberiam que seus registros de chamadas estão sendo roubados por suas respectivas operadoras de celular.
Via: Cnet
Tags: