Hackers breach US federal firewalls

De acordo com um alto funcionário federal, hackers contornaram as defesas comprometendo dispositivos de firewall dentro do governo federal.

Na quinta-feira, a Agência de Cibersegurança e Infraestrutura dos EUA (CISA) enviou uma diretiva urgente, orientando as agências a protegerem os dispositivos de firewall Cisco e a procurarem sinais de comprometimento.

Chris Butera, diretor executivo interino adjunto da divisão de cibersegurança da CISA, pediu até mesmo que outros órgãos governamentais e empresas privadas tomassem precauções semelhantes, observando que a ameaça é generalizada.

Segundo um oficial americano, cerca de 10 organizações em todo o mundo foram violadas, embora esse número possa aumentar. O oficial afirmou que ainda há “muitas incógnitas” sobre a campanha. Outro oficial americano classificou a campanha como “muito sofisticada” e destacou que o malware dos hackers é altamente intrincado.

“A CISA está profundamente preocupada com essa atividade”, disse o segundo oficial. “Se as agências não agirem imediatamente, isso pode ser ruim para elas.”

A Cisco considera os métodos dos atacantes complexos e sofisticados

O grupo, que a Cisco denomina ArcaneDoor, teria realizado operações de espionagem desde o ano passado. De acordo com a CISA, seus ataques podem afetar a infraestrutura crítica nos EUA. Mesmo assim, Washington se prepara para uma semana intensa enquanto equipes trabalham para detectar os hackers e proteger dispositivos vulneráveis antes que mais danos ocorram. As agências devem atualizar e enviar relatórios até sexta-feira.

Cisco declarou aos repórteres que colaborou com múltiplas agências em maio para investigar os ataques e posteriormente descobriu três vulnerabilidades adicionais exploradas pelos atacantes. A empresa afirmou que os hackers usaram essas falhas para instalar malware, executar comandos e potencialmente roubar dados. A companhia também recomendou que os clientes apliquem patches em seus sistemas imediatamente. O governo do Reino Unido também emitiu seu próprio alerta na quinta-feira, descrevendo o malware dos hackers como um "grande avanço" em relação às suas ferramentas anteriores.

De acordo com a análise da Cisco, os hackers exploraram várias vulnerabilidades zero-day e utilizaram táticas furtivas, como desativar o registro de eventos, sequestrar comandos e derrubar dispositivos, para evitar a detecção. A própria empresa descreve essas táticas como complexas e sofisticadas. Os dispositivos comprometidos incluíam determinados modelos da série ASA 5500-X da Cisco, que atuam como firewalls para proteger as redes corporativas contra ataques. 

Analysts believe a China-linked group was involved in the attack

Até o momento, as autoridades não divulgaram nenhum suspeito do ataque, mas os pesquisadores acreditam que os hackers estão ligados a China e têm alvo vulnerabilidades da Cisco por um período prolongado. Butera afirmou que sua diretriz ajudará a mapear a extensão completa da violação que afeta as redes federais.

A Unit 42 da Palo Alto Networks também informou à CNN que acredita que a campanha está ligada à China e observou que mais grupos podem em breve visar as mesmas vulnerabilidades, já que as falhas de segurança e suas correções são públicas. Sam Rubin, vice-presidente sênior da Unit 42, reiterou: “Como vimos anteriormente, agora que os patches estão disponíveis, podemos esperar que os ataques se intensifiquem, pois grupos de cibercriminosos rapidamente descobrirão como explorar essas vulnerabilidades.” A Palo Alto tem monitorado hackers em todo o mundo e, segundo eles, o grupo tem mudado de táticas, direcionando-se mais para entidades dos EUA. 

Essa divulgação ocorre poucos dias depois de a Mandiant, parte do Google, ter anunciado que um grupo separado de hackers chineses suspeitos infiltrou-se em desenvolvedores de software e escritórios de advocacia dos EUA em uma campanha de espionagem vinculada à disputa comercial entre os EUA e a China. A empresa afirmou que a remediação completa pode levar meses.