O que ela de fato fazia

Reduza o ao mecanismo e ele é quase ofensivamente simples. Ele varria a internet em busca de aparelhos com telnet aberto. Ao achar um, tentava entrar com uma tabela embutida de umas sessenta duplas de usuário e senha - admin/admin, root/12345, support/support, as combinações impressas em manuais e gravadas em por fabricantes que supunham que ninguém deixaria o aparelho voltado para a internet. Se uma dupla funcionasse, ele se carregava, se reportava a um controlador e começava a varrer em busca de mais.

Não há vulnerabilidade nenhuma nessa descrição. Nem estouro de buffer, nem injeção, nem erro de segurança de memória, nada para um fabricante corrigir. O Mirai não invadiu nada. Ele fez login. No auge sustentava até trezentos mil aparelhos - câmeras IP, roteadores domésticos, gravadores de vídeo - e o tráfego que gerava era mais de uma ordem de grandeza além do que a indústria considerara alarmante poucos meses antes. A história da família de negação de serviço distribuída o situa nessa linhagem; este artigo é sobre de onde ele veio e o que significa o método de entrada ter sido um padrão de fábrica.

Minecraft

A origem, estabelecida em juízo, é uma das mais estranhas deste catálogo. Paras Jha, vinte e um anos, de Fanwood, Nova Jersey, e estudante em Rutgers; Josiah White, vinte, de Washington, Pensilvânia; Dalton Norman, vinte e um, de Metairie, Luisiana. Os autos dividem o trabalho com clareza: White construiu o varredor de telnet e o carregador, Jha escreveu o comando e controle e os recursos de controle remoto do bot, Norman desenvolveu novos exploits.

O motivo era dinheiro, e o dinheiro era Minecraft. Um servidor popular do jogo fatura de verdade com alguns milhares de jogadores simultâneos, e o jeito de machucar um concorrente é derrubá-lo no horário de pico. Jha e White também tinham uma empresa, a ProTraf Solutions, que vendia proteção exatamente contra o tipo de ataque que eles rodavam - um modelo de negócio que Brian Krebs descreveu como bombeiros sendo pagos para apagar os incêndios que atearam.

As caracterizações do próprio FBI, feitas depois das confissões, valem ser registradas porque não são a linguagem de quem minimiza um caso. Um agente supervisor disse que os três não perceberam o poder que estavam soltando, e chamou aquilo de Projeto Manhattan. Outro disse que negação de serviço em certa escala representa ameaça existencial à internet, e que o Mirai foi a primeira botnet que ele viu chegar a esse nível.

O ataque que começou a investigação, e a liberação que veio depois

Em 20 de setembro de 2016 o Mirai se voltou contra Brian Krebs, cujo site vinha reportando sobre o mercado de negação de serviço por encomenda, com um ataque medido em 620 gigabits por segundo. Dias depois um provedor de hospedagem francês foi atingido com mais força ainda, passando de um terabit por segundo.

Então o código-fonte foi publicado num fórum de hackers por um usuário que se chamava Anna-senpai. É um movimento reconhecido e vale entendê-lo como tal: liberar o código cria uma multidão. Uma vez que centenas de pessoas estão rodando variantes, a atribuição vira uma discussão sobre quem rodou qual ramificação em vez de uma busca por um autor. O post trazia uma bravata que é também, sem querer, uma medida da resposta: com o Mirai o autor costumava puxar no máximo 380 mil bots só por telnet, mas depois do ataque a Krebs os provedores vinham se limpando aos poucos, e o máximo caíra para uns 300 mil e diminuindo.

A liberação funcionou como pretendido e também falhou. Falhou porque Krebs investigou o próprio ataque e, em janeiro de 2017, nomeou Jha. Funcionou no sentido que importava tecnicamente: o código continua por aí. O ataque à Dyn em outubro de 2016, que levou junto boa parte da resolução de nomes da internet, foi executado por outras pessoas usando o fonte publicado - o verbete da Dyn cobre o que aquilo fez ao DNS. Variantes vêm aparecendo desde então, redirecionadas a qualquer nova classe de aparelho que saia de fábrica com um padrão.

A sentença

Os três se declararam culpados no Distrito do Alasca em 8 de dezembro de 2017 por conspiração sob o Computer Fraud and Abuse Act, e por uma conspiração separada de fraude de cliques; Jha ainda se declarou culpado em Nova Jersey por uma série de ataques de negação de serviço contra Rutgers, onde estudava.

Nenhum foi preso. Em setembro de 2018 receberam liberdade condicional, duas mil e quinhentas horas de serviço comunitário cada e restituição, com base em cooperação extensa com o FBI - trabalho em outras investigações de botnets que, segundo relatos, continuou depois da sentença. Seja qual for a conclusão sobre esse desfecho, ele pertence ao registro ao lado do dano, e é um dos exemplos mais claros de um sistema de justiça decidindo que a capacidade valia mais que a punição.

Por que esta é uma lição de outro tipo

Todo outro incidente deste catálogo tem uma correção em algum lugar. A era dos worms são nove anos de consertos que saíram antes do surto. O EternalBlue teve cinquenta e nove dias. O Mirai não teve nada, porque não havia nada a consertar. O aparelho estava funcionando exatamente como projetado.

Isso faz dele a externalidade mais clara do catálogo. O fabricante que despacha uma câmera com telnet ligado e uma senha impressa não arca com nenhum custo quando ela é recrutada: a câmera segue funcionando, o dono não vê nada, e o dano cai sobre um jornalista, um provedor de hospedagem, ou todo usuário de um serviço de resolução de nomes do outro lado do mundo. Não há pressão de mercado sobre o fabricante porque o comprador não consegue observar o defeito e não seria quem sofreria com ele. É o mesmo problema estrutural que o argumento de que não existe código perfeito descreve para a divulgação, e tem o mesmo formato: quem pode consertar não é quem paga.

E é por isso que o conserto, quando veio, não foi técnico. A lei da Califórnia sobre dispositivos conectados, e o regime britânico de segurança de produtos, proíbem despachar equipamento de consumo com senha padrão universal compartilhada. É a regulação fazendo o que a correção estruturalmente não podia, e levou uns cinco anos depois do Mirai para chegar.

O que um profissional deve tirar disso

Inventarie pelo que é alcançável, não pelo que é gerenciado. A população do Mirai era de aparelhos que ninguém considerava computadores, comprados por equipes de facilities, instalados por terceirizados, e nunca lançados num registro de ativos. A primeira pergunta da era dos worms - o que é alcançável? - é a mesma pergunta, e câmeras e controladores são onde ela fica sem resposta.

A saída importa tanto quanto a entrada. Uma câmera comprometida não é primordialmente um risco ao dono; é uma arma apontada para outra pessoa, e filtragem de saída e limitação de taxa são como uma rede deixa de ser contribuinte. Pouquíssimas redes corporativas notariam.

E um padrão de fábrica é uma decisão. Todo aparelho que sai com credenciais, um protocolo de gerência aberto ou um serviço ligado que a maioria dos compradores nunca vai usar traz um padrão que alguém escolheu, e ele será a configuração da grande maioria das unidades para sempre. Isso vale também para equipamento corporativo - que é a razão prática de ler o guia de endurecimento em vez de supor que o estado de fábrica é seguro.

Fontes