0 
0 Na manhã desta quinta-feira, a Rússia iniciou sua invasão à Ucrânia e, como previsto, os ataques no mundo físico foram precedidos e acompanhados por ataques cibernéticos:
- Novos ataques DDoS foram lançados contra sites de agências e bancos do governo ucraniano
- Novos malwares de limpador de dados foram descobertos em computadores ucranianos, bem como máquinas na Letônia e lituânia
- Pesquisadores identificaram um serviço web hospedando cópias clonadas de vários sites do governo ucraniano e a página principal do Escritório do Presidente, com malware
Além disso, o Centro Nacional de Segurança Cibernética do Reino Unido (NCSC) e a Agência de Segurança cibernética e infraestrutura dos EUA (CISA) divulgaram detalhes sobre um novo malware direcionado a dispositivos de rede, que eles atribuíram ao Sandworm (também conhecido como BlackEnergy), um ator de ameaças que essas agências já atribuíram anteriormente ao Centro Principal de Tecnologias Especiais da GRU russa GTsST.
Os ataques DDoS
Esta última rodada de ataques DDoS começou na quarta-feira à tarde. Como antes, os alvos eram os sites de vários bancos ucranianos e agências governamentais, incluindo os do Ministério da Defesa ucraniano, do Ministério das Relações Exteriores, do parlamento ucraniano e do Serviço de Segurança da Ucrânia.
Todos, exceto os últimos, estão acessíveis no momento. O tráfego direcionado ao site do Ministério da Defesa ucraniano está passando pelos filtros da Cloudflare primeiro. O acesso ao site do Privatbank também é moderado por uma configuração destinada a frustrar bots.
Um novo limpador de dados: HermeticWiper
Pesquisadores da ESET descobriram na quarta-feira um novo malware de limpador de dados usado na Ucrânia.
“A telemetria ESET mostra que foi instalada em centenas de máquinas no país. Isso segue os ataques DDoS contra vários sites ucranianos hoje cedo”, compartilhou a empresa.
Apelidado de HermeticWiper, o malware também foi detectado por pesquisadores da Symantec.
De acordo com a ESET, o binário do limpador foi assinado com um certificado de assinatura de código legítimo (possivelmente comprometido), abusa de drivers legítimos do software EaseUS Partition Master para corromper os dados e, finalmente, reinicia o computador de destino.
“Em uma das organizações alvo, o limpador foi descartado através do GPO padrão (política de domínio), o que significa que os atacantes provavelmente assumiram o controle do servidor Active Directory”, acrescentou a empresa.
Cópias clonadas de sites do governo ucraniano
O pesquisador independente de ameaças Snorre Fagerland, Bellingcat e The Insider descobriram um serviço web que “desempenhou um papel em ataques cibernéticos anteriores ligados aos interesses do Estado russo”, e encontrou cópias clonadas de vários sites do governo ucraniano.
“Esses sites clonados foram criados até novembro de 2021, na época em que a última rodada de escaladas da Rússia contra a Ucrânia começou”, disse Bellingcat.
“Notavelmente, a versão clonada do site do presidente ucraniano é modificada para conter uma campanha clicável de ‘Apoiar o Presidente’ que, uma vez clicada, baixa um pacote de malware para o computador do usuário.”
Como esses sites clonados teriam sido usados é, naturalmente, impossível saber, embora os pesquisadores tenham encontrado páginas de login copiadas que apontam para phishing.
Eles também especularam sobre os objetivos finais do malware, como comprometer as máquinas de dezenas ou centenas de milhares de ucranianos e usá-las para ataques DDoS, e roubar credenciais para contas de mídia social, para uso futuro em campanhas de desinformação online.
“Não há evidências de que a infraestrutura e o malware por trás [deste serviço web] foram usados ou ligados aos ataques cibernéticos atuais experimentados por instituições do governo ucraniano”, observaram os pesquisadores da Bellingcat.
Eles também acrescentaram que, durante os últimos dois meses, “os mesmos atores de ameaça estavam enviando malware em mais de 35 arquivos zip diferentes através de links de discórdia”, destinados a alvos ucranianos de alto valor nos vários ministérios e na agência nuclear do país.
Malware Blink ciclope “substitui” VPNFilter
O NCSC e o CISA divulgaram detalhes sobre o Cyclops Blink, um novo pedaço de malware direcionado a dispositivos de rede que está sendo usado ostensivamente pelo ator de ameaças sandworm.
“O Cyclops Blink parece ser uma estrutura de substituição para o malware VPNFilter exposto em 2018, que explorou dispositivos de rede, principalmente roteadores de pequenos escritórios/home office (SOHO) e dispositivos nas (Network attached Storage, armazenamento conectado à rede)”, disse o NCSC.
“O ator até agora implantou principalmente dispositivos Cyclops Blink para WatchGuard [firewall], mas é provável que o Sandworm seja capaz de compilar o malware para outras arquiteturas e firmware.”
O malware coleta informações do dispositivo, envia-as para um servidor de comando e controle e é capaz de baixar e executar arquivos, além de obter módulos adicionais em uma data posterior.
A coisa mais interessante sobre este malware é seu mecanismo de persistência: o processo legítimo de atualização de firmware de dispositivos dos dispositivos:
Persistência do Ciclope Blink durante todo o processo de atualização legítimo
“Isso alcança persistência quando o dispositivo é reiniciado e dificulta a remediação”, observou o NCSC.
Mais detalhes técnicos sobre o Ciclope Blink e indicadores de compromisso estão disponíveis aqui. O WatchGuard também lançou um FAQ sobre isso, um plano de diagnóstico e remediação e ferramentas de detecção.
“Após uma investigação minuciosa, o WatchGuard acredita que o ator de ameaças usou uma vulnerabilidade previamente identificada e corrigida que só era acessível quando as políticas de gerenciamento de aparelhos de firewall foram configuradas para permitir acesso irrestrito ao gerenciamento da Internet. Essa vulnerabilidade foi totalmente tratada por correções de segurança que começaram a ser lançadas em atualizações de software em maio de 2021”, observou a empresa.
O WatchGuard foi informado pela primeira vez pelo FBI sobre o ataque contra seus dispositivos no final de novembro de 2021, de modo que este compromisso generalizado não parece estar ligado à situação atual na Ucrânia. No entanto, dada a sua suposta fonte, pode ser uma preparação para futuros ataques que ainda podem acontecer durante este desdobramento do conflito militar.
O que esperar a seguir?
Chester Wisniewski, cientista principal da Sophos, apontou que a guerra de informações é como o Kremlin pode tentar controlar o resto da resposta do mundo às ações na Ucrânia ou a qualquer outro alvo de ataque.
“Falsas bandeiras, más atribuições, comunicações interrompidas e manipulação de mídia social são todos componentes-chave do manual de guerra de informações da Rússia. Eles não precisam criar uma cobertura permanente para atividades no terreno e em outros lugares, eles simplesmente precisam causar atraso, confusão e contradição suficientes para permitir que outras operações simultâneas realizem seus objetivos”, disse ele à Help Net Security.
“Curiosamente, os Estados Unidos e o Reino Unido estão tentando antecipar algumas das campanhas de desinformação, e isso poderia limitar sua eficácia. No entanto, não devemos assumir que os atacantes vão parar de tentar, então precisamos permanecer preparados e vigilantes.”
“Embora a segurança em profundidade de defesa deva ser a coisa normal para se esforçar na melhor das hipóteses, é especialmente importante se pudermos esperar um aumento na frequência e gravidade dos ataques. A desinformação e a propaganda logo chegarão a um tom de febre, mas devemos manter nosso nariz no chão, derrubar as escotilhas e monitorar qualquer coisa incomum em nossas redes à medida que os ciclos de conflito escorrem e fluem e até quando/se eles terminam em breve. Porque, como todos sabemos, pode levar meses para que evidências de invasões digitais devido a este conflito russo-ucraniano vir à tona.”
FONTE: HELPNET SECURITY