A invasão da Ucrânia está a mostrar ao mundo o que significa uma «guerra híbrida». O termo foi criado por Frank Hoffman para descrever uma guerra que decorre em várias frentes: guerra convencional, métodos irregulares (por exemplo, assassinatos) e ataques cibernéticos. À medida que esta terrível demonstração de agressão se desenrola, os aspetos digitais da guerra moderna vão afetar muitas empresas em todo o mundo.
À medida que as sirenes soam por toda a Ucrânia, as organizações também têm de dar o alarme em relação às suas medidas de cibersegurança. Eis o que as organizações enfrentam nesta guerra híbrida.
Um passado sombrio: «Tem medo e prepara-te para o pior»
A Rússia tem um longo historial de recorrer a ciberataques como tática para exercer pressão e travar uma guerra por procuração. Os grupos de hackers apoiados pelo Estado russo são conhecidos pelos ciberataques em grande escala contra organizações ocidentais. Um dos maiores dos últimos anos foi o ataque de ransomware de 2021 à Colonial Pipeline , nos EUA, levado a cabo pelo grupo de hackers REvil.
Mais recentemente, 70 sites do governo ucraniano foram alvo de um ataque cibernético, tendo sido exibida uma mensagem de aviso no ecrã que dizia «tem medo e prepara-te para o pior». Uma análise do ataque revelou indícios de que os serviços secretos russos estiveram envolvidos; no entanto, a Rússia negou desde então qualquer envolvimento.
A negação e a desinformação são táticas de guerra típicas que usam a confusão para «dividir para conquistar». No entanto, as provas vão-se acumulando: 74% do dinheiro extorquido em ataques de ransomware em 2021 foi enviado a hackers ligados à Rússia. Olhando para trás, temos de nos perguntar: será que esse dinheiro foi guardado para financiar a guerra?
À medida que a invasão da Ucrânia foi avançando, foram-se verificando novos ciberataques contra o governo ucraniano. Uma declaração publicada no blogue da Microsoft a28 de fevereiro dá mais informações sobre o assunto:
«A 24 de fevereiro, o Centro de Inteligência contra Ameaças da Microsoft (MSTIC) detetou uma nova onda de ciberataques ofensivos e destrutivos dirigidos contra a infraestrutura digital da Ucrânia.»O blogue refere que foi identificada uma nova variante de malware, chamada «FoxBlade», no âmbito destes ataques.
Uma coisa é quase certo: a invasão da Ucrânia é uma guerra híbrida, e os ciberataques não vão ficar limitados à Ucrânia.
Sinais de alerta de novos ciberataques
Foram publicados alertas e avisos em todo o mundo, alertando as empresas para que se preparem para um aumento do risco de ciberataques:
No Reino Unido, o Centro Nacional de Cibersegurança (NCSC) publicou um aviso no seu site a exortar as empresas britânicas a reforçarem a sua«resiliência em matéria de cibersegurança, em resposta aos incidentes cibernéticos maliciosos na Ucrânia e na região circundante.»
Nos EUA, a CISA (Agência de Cibersegurança e Segurança das Infraestruturas) publicou um aviso no âmbito da sua iniciativa «Shields Up», sobre um novo grupo de ransomware, o Conti, com ligações aos serviços secretos russos:
«Os autores do ransomware Conti ameaçam com “medidas de retaliação” contra infraestruturas críticas, em resposta a “um ciberataque ou quaisquer atividades bélicas contra a Rússia”.»
Na Austrália, o nível de alerta para um ciberataque está definido como ALTO e o governo afirma que as empresas são «incentivadas a adotar urgentemente medidas reforçadas de cibersegurança».
Da mesma forma, em vários países europeus, os governos estão a alertar as organizações e os cidadãos para que se preparem para um ciberataque.
Uma das preocupações em relação à facilidade com que estes ciberataques serão levados a cabo é o facto de os cibercriminosos apoiados pela Rússia terem passado anos a desenvolver os seus conhecimentos sobre malware e a estudar táticas de ataque bem-sucedidas.
Novo malware, táticas eficazes
Já foram identificadas várias novas variantes de malware associadas a grupos de hackers russos. Estas parecem basear-se na eliminação de dados e/ou em ransomware e são extremamente prejudiciais. Exemplos disso são os malwares HermeticWiper e WhisperGate, que corrompem e/ou apagam totalmente os dados. Outro, o HermeticRansom, usa técnicas de extorsão para aumentar o impacto destrutivo do malware.
Outras investigações também revelaram que estão a ser utilizados «worms» de malware. Os worms são particularmente perigosos, pois, assim que entram num sistema, replicam-se automaticamente e propagam-se pela rede, infetando computadores e causando estragos em toda a rede. Uma das descobertas mais recentes chama-se HermeticWizard, um worm usado para distribuir o malware HermeticWiper.
Os worms entram numa rede através de vários métodos, incluindo e-mail, pen drives, links maliciosos em publicações nas redes sociais, dispositivos IoT sem segurança e assim por diante.
É provável que surjam mais variantes de malware à medida que a guerra continua.
A CISA e o FBI publicaram um aviso conjunto que explica os perigos de algumas das variantes mais recentes de malware. O aviso exorta as organizações a:
«…aumentar a vigilância e avaliar as suas capacidades em matéria de planeamento, preparação, deteção e resposta a um evento deste tipo.»
Estas novas variantes de malware vão continuar a recorrer a táticas já conhecidas e eficazes, como o phishing e a engenharia social, para entrar numa rede. Então, como é que uma empresa se prepara para esta guerra híbrida?
Medidas para proteger a tua empresa e os teus colaboradores
Os cibercriminosos por trás desta onda de malware de «guerra cibernética» vão recorrer a métodos já testados e comprovados para espalhar a infeção de forma rápida e eficaz. As organizações têm de aproveitar o conhecimento do setor da segurança para se prepararem para o pior. As medidas de mitigação devem incluir o seguinte:
- Certifica-te de que tens uma visão geral de todos os teus ativos de TI, incluindo todos os terminais, armazenamento e fluxos de dados, servidores e outros dispositivos.
- Certifica-te de que a tua rede alargada tem medidas de segurança robustas relacionadas com dispositivos, pessoas e locais. Por exemplo, aplica uma autenticação robusta e usa os princípios do privilégio mínimo, implementados através da gestão de acesso privilegiado (PAM), para controlar o acesso.
- Testa os teus sistemas de gestão de patches para teres a certeza de que estão a chegar a todos os terminais e servidores.
- Configura ou testa um sistema de cópias de segurança seguro já existente.
- Coloca a tua empresa em alerta máximo e reforça isso com uma formação de sensibilização para a segurança focada nessa ameaça: complementa a tua formação com uma avaliação contínua da situação e usa simulações de phishing para sensibilizar a tua equipa sobre possíveis campanhas de phishing associadas à invasão.
- Monitoriza a atividade da tua rede e dos pontos de acesso e verifica o acesso às portas para detetar possíveis vulnerabilidades.
- Remove ou desativa todas as aplicações que não usas.
- Analisa, atualiza e melhora o teu plano e a tua estratégia de recuperação em caso de catástrofe
As que mencionei acima são algumas das áreas-chave que precisam de ser reforçadas neste período de ameaça acrescida.
Prepara-te para ataques de retaliação
Agora há também um aviso de que um ciberataque a um Estado-membro da OTAN levaria à ativação do Artigo 5.º, da cláusula de defesa coletiva da organização. A guerra digital e a guerra convencional podem muito bem acabar por convergir à medida que a escalada começa. É muito provável que haja ataques de retaliação, e a melhor defesa é a consciencialização e a preparação.