Ciberataques contra Ucrânia diminuem, mas OTAN segue como alvo
A Check Point Research (CPR) analisou o cenário dos ciberataques relativos à guerra entre Rússia e Ucrânia, um ano após o seu início em 24 de fevereiro de 2022. De acordo com a instituição, o mês de setembro de 2022 foi um ponto de virada para ataques cibernéticos relacionados a essa guerra.
Ao olhar para trás, a CPR notou uma diferença nos ciberataques ao comparar os períodos de março a setembro de 2022 e outubro de 2022 a fevereiro de 2023. Desde então, os ciberataques semanais contra a Ucrânia diminuíram, enquanto os ataques cibernéticos contra países da OTAN (Organização do Tratado do Atlântico Norte) se intensificaram. A CPR lista wipers (limpadores), ataques multifacetados e hacktivismo como principais tendências e forças nesse cenário.
Os números resultantes da análise apontaram uma redução de 44% no número médio de ataques semanais por organização contra a Ucrânia, de 1.555 ataques para 877. No caso da Rússia, houve aumento de 9% no número médio de ataques semanais por organização contra o país, de 1.505 para 1.635 ataques. E, em relação aos países da OTAN, a Estônia, Polônia e Dinamarca tiveram aumentos de 57%, 31% e 31%, respectivamente, enquanto o Reino Unido e os Estados Unidos obtiveram crescimento de 11% e 6%, nesta ordem.
Guerra híbrida
A invasão russa na Ucrânia em fevereiro de 2022 foi o evento geopolítico mais influente do ano passado. Além de diversos cenários geopolíticos, ramificações foram vistas também no campo da segurança cibernética, pois esta é a primeira grande guerra híbrida que envolve o ciberespaço como frente de batalha.
Há várias lições aprendidas sobre danos colaterais cibernéticos, como eficácia de malware destrutivo, atribuição de atividades cibernéticas em tempo de guerra, diferenciação entre estado-nação, hacktivismo e atividade ofensiva de cibercrime, hostilidades cibernéticas e seus efeitos em pactos de defesa, capacidade de operações cibernéticas para contribuir para a guerra tática e os preparativos necessários. Em algumas áreas, os efeitos na arena cibernética global já são visíveis.
O malware wiper (que interrompe as operações dos sistemas visados), por exemplo, passou por uma grande transformação por causa da guerra. Anteriormente, os limpadores raramente eram utilizados. No entanto, no ano passado, se tornaram um mecanismo implementado com muito mais frequência como parte de conflitos crescentes, e não apenas na Europa Oriental.
Leia também: Consequências da ciberguerra para as empresas podem estar mais próximas do que parece
O início da guerra russo-ucraniana trouxe um aumento massivo de ataques cibernéticos perturbadores realizados por agentes de ameaças afiliados à Rússia contra a Ucrânia. Na véspera da invasão terrestre em fevereiro, três limpadores foram implementados: HermeticWiper, HermeticWizard e HermeticRansom.
Outro ataque foi direcionado à rede elétrica ucraniana em abril, usando uma nova versão do Industroyer, o malware que foi usado em um ataque semelhante em 2016. No total, pelo menos nove limpadores diferentes foram implementados na Ucrânia em menos de um ano. Muitos deles foram desenvolvidos separadamente por vários serviços de inteligência russos e empregavam diferentes mecanismos de limpeza e evasão.
O grupo hacktivista afiliado à Rússia From Russia With Love (FRwL) executou o Somnia contra alvos ucranianos. O malware CryWiper foi implementado contra municípios e tribunais na Rússia. Inspirada por esses eventos, a atividade dos limpadores se espalhou para outras regiões. Grupos afiliados iranianos atacaram alvos na Albânia, e um misterioso ransomware Azov, que na verdade é um limpador de dados destrutivo, se espalhou pelo mundo.
Esforços multifacetados
Ao rever os ataques contra a Ucrânia, algumas das ações cibernéticas ofensivas tiveram como objetivo causar danos gerais e perturbar a vida cotidiana e moral dos civis, enquanto outros ataques foram direcionados com mais precisão e destinados a atingir objetivos táticos e foram coordenados com a batalha.
O ataque Viasat, executado horas antes da invasão terrestre na Ucrânia, foi projetado para interferir nas comunicações via satélite que prestam serviços a entidades militares e civis na Ucrânia. O ataque usou um limpador chamado AcidRain e foi adaptado para destruir modems e roteadores e cortar o acesso à Internet para dezenas de milhares de sistemas. Outro exemplo de ataque coordenado tático ocorreu em 1º de março. Além disso, quando a torre de TV de Kiev foi atingida por mísseis russos que interromperam as transmissões de televisão da cidade, um ataque cibernético foi lançado para intensificar os efeitos.
Ciberataques táticos de alta precisão exigem preparação e planejamento. Os pré-requisitos incluem obter acesso às redes visadas e, muitas vezes, a criação de ferramentas personalizadas para diferentes estágios do ataque. As evidências sugerem que os russos não se prepararam para uma longa campanha. As características das operações cibernéticas, que nas fases iniciais incluíam ataques precisos com objetivos táticos claros, como o ataque à Viasat que mudou desde abril.
A implantação de várias novas ferramentas e wipers (limpadores) que eram característicos dos estágios iniciais da campanha foi posteriormente substituída principalmente por explorações rápidas de oportunidades detectadas, usando ferramentas e táticas de ataque já conhecidas, como Caddywiper e FoxBlade. Esses ataques não pretendiam atuar em conjunto com os esforços de combate tático, mas sim infligir danos físicos e psicológicos à população civil ucraniana em todo o país.
