O vazamento

Em 13 de agosto de 2016 uma entidade que se chamava Shadow Brokers anunciou ter roubado as ferramentas do Equation Group - a unidade ofensiva dentro da National Security Agency (NSA) dos Estados Unidos - e que as leiloaria. Ninguém deu lance sério. Nos meses seguintes o grupo publicou em parcelas, provocando num inglês macarrônico, e em 14 de abril de 2017 soltou o arquivo que importava, sob o título "Lost in Translation". Continha um exploit funcional, de codinome , para uma falha no Server Message Block versão 1 (SMBv1), o protocolo de compartilhamento de arquivos habilitado por padrão no Windows desde os anos 1990.

Quem eles eram nunca foi estabelecido. O que importa ao registro é a cronologia. A Microsoft emitira a correção, MS17-010, em 14 de março de 2017 - um mês antes de o exploit ser público - e o fizera, nas palavras dela, depois de receber informação de um terceiro. A leitura pública mais crível é que a NSA, sabendo que suas ferramentas tinham sumido, avisou o fabricante. É o formato inteiro do debate sobre divulgação de vulnerabilidades numa sequência só: uma agência achou uma falha num protocolo que roda em toda máquina Windows do planeta, guardou-a por anos para usá-la, e a divulgou só quando foi roubada. A correção existiu por cinquenta e nove dias antes de importar. Milhões de máquinas não a tinham.

WannaCry, 12 de maio de 2017

A primeira coisa a usar o EternalBlue em escala foi um com um worm acoplado. Ele cifrava arquivos, pedia 300 dólares em Bitcoin e - ao contrário do ransomware comum, que chega por e-mail e fica onde cai - varria em busca de outras máquinas com a porta 445 aberta e as infectava sem que ninguém clicasse em nada. Alcançou entre 200 mil e 300 mil computadores em mais de 150 países num dia. Na Inglaterra, 80 dos 236 trusts do National Health Service e quase 600 clínicas gerais foram afetados; cerca de 19 mil consultas e cirurgias foram canceladas; ambulâncias foram desviadas. Renault, Nissan, Telefónica, Deutsche Bahn e FedEx foram atingidas.

Parou por um motivo incomum. Marcus Hutchins, pesquisador britânico de 22 anos, fez engenharia reversa da amostra, notou que ela consultava um domínio longo e não registrado antes de fazer qualquer coisa, e o registrou por uns dez dólares, esperando só drenar o tráfego para análise. A consulta era um interruptor de emergência: se o domínio resolvesse, o malware saía. Ele desativou a campanha por acidente, no sentido de não saber que era isso que estava fazendo, e por competência, no sentido de que ninguém mais tinha olhado. Sua própria reação, publicada no dia seguinte, se chamava "Como parar acidentalmente um ataque cibernético global".

Duas coisas se seguem, e andam juntas. Os Estados Unidos e o Reino Unido atribuíram formalmente o à Coreia do Norte em dezembro de 2017. E em agosto do mesmo ano Hutchins foi preso em Las Vegas por um malware que escrevera anos antes, adolescente; declarou-se culpado em 2019 e foi sentenciado à pena já cumprida. A pessoa que parou o pior worm da década e a pessoa processada por escrever malware bancário eram a mesma pessoa, e os dois fatos são verdadeiros.

NotPetya, 27 de junho de 2017

Seis semanas depois algo usou o EternalBlue de novo, e esse não era ransomware.

Entrou pelo mecanismo de atualização do M.E.Doc, o software de contabilidade que quase toda empresa que declara impostos na Ucrânia é obrigada a usar, feito por uma pequena empresa familiar chamada Linkos Group. Os atacantes estavam dentro dos servidores dessa empresa havia meses. Quando a atualização envenenada saiu, ela pousou simultaneamente dentro de bancos, ministérios, da rede elétrica, do aeroporto, do metrô e dos monitores de radiação de Chernobyl - e dentro de toda multinacional com escritório ucraniano. Esta é a rota um da taxonomia de cadeia de suprimento - possuir o fornecedor - executada contra um país.

Uma vez dentro de uma rede, não precisava do EternalBlue para continuar andando. Usava também o EternalRomance e, com mais eficácia, roubo de credenciais no estilo Mimikatz com as ferramentas comuns de administração do Windows, PsExec e WMIC, o que significava que uma máquina totalmente corrigida podia ser tomada pelas credenciais roubadas de um administrador. Depois sobrescrevia o registro mestre de inicialização. Exibia um pedido de resgate, mas a "chave de instalação" era dado aleatório: não havia chave, nem decifragem, nem como pagar por uma. Era destruição vestida de extorsão.

Os custos são o que fazem dele o verbete que é. A Maersk, que move cerca de um quinto dos contêineres do mundo, perdeu 4 mil servidores, 45 mil PCs e 2.500 aplicações, e reconstruiu em dez dias só porque uma queda de energia em Gana deixara um controlador de domínio desligado com a última cópia sobrevivente do seu ; a perda foi de 250 a 300 milhões de dólares. A da Merck, uns 870 milhões. A da TNT, unidade da FedEx, 400 milhões. Mondelez, Reckitt Benckiser, Saint-Gobain e a própria economia ucraniana levaram o resto. Em fevereiro de 2018 a Casa Branca o chamou de o ataque cibernético mais destrutivo e caro da história, pôs o total perto de 10 bilhões de dólares e o atribuiu aos militares russos; o National Cyber Security Centre do Reino Unido disse o mesmo, nomeando o GRU.

Aí as seguradoras se recusaram a pagar. As apólices da Mondelez e da Merck excluíam "ação hostil ou bélica de um governo ou poder soberano", e as seguradoras argumentaram que um ataque atribuído a um Estado era exatamente isso. A Merck ganhou em primeira instância e na apelação em Nova Jersey em 2023, entendendo o tribunal que a exclusão sempre significara conflito armado e nunca fora reescrita para operações cibernéticas; a Mondelez fez acordo. A exclusão de guerra foi reescrita no mercado inteiro desde então, e toda apólice de seguro cibernético vendida hoje tem a redação que tem por causa de um programa ucraniano de impostos.

O que um profissional deve tirar disso

O SMBv1 tinha trinta anos e vinha habilitado por padrão. A Microsoft começou a desligá-lo no Windows 10 em 2017 e hoje ele vem desligado em todo lugar, mas a razão de ter sobrevivido tanto é a razão pela qual coisas velhas sempre sobrevivem: alguma coisa, em algum lugar, ainda o usava. A pergunta de auditoria não é se o SMBv1 é necessário; é qual máquina ainda o fala, e a mesma pergunta vale para todo protocolo deixado ligado por compatibilidade - que é o argumento que os ataques nomeados ao TLS fazem sobre cifras de exportação e SSL 2.0.

Corrigir não é o mesmo que estar corrigido. O MS17-010 esteve disponível por dois meses antes do WannaCry e três antes do . As organizações que caíram não estavam desavisadas; estavam impedidas - por uma janela de mudança, uma dependência sem suporte, um sistema embarcado sem dono. O NHS rodava Windows XP em equipamento médico cujos fabricantes não tinham homologado nada mais novo.

Uma máquina corrigida ainda pode cair. A propagação mais eficaz do NotPetya foi roubo de credenciais mais ferramentas legítimas de administração. Redes planas e senhas de administrador local reutilizadas transformaram um host comprometido num parque inteiro. Segmentação e credenciais locais únicas teriam limitado o que a correção não podia.

O raio de dano de um canal de atualização é a base inteira de clientes. O M.E.Doc tem o mesmo formato do comprometimento da 3CX, do arquivo de padrões da Trend Micro e da porta dos fundos do XZ: o mecanismo que mantém o software atual é o mecanismo que pode distribuir qualquer coisa, instantaneamente, a todos que confiam nele.

E um exploit não fica onde foi feito. A NSA guardou o EternalBlue por anos, no julgamento de que seu valor ofensivo excedia o risco de a falha ser achada por outra pessoa. A falha não foi achada por outra pessoa. O exploit foi roubado, publicado e usado em oito semanas contra hospitais, portos e redes elétricas - por dois Estados diferentes, para dois propósitos diferentes, nenhum deles aquele para o qual foi escrito.

Fontes