Por que estas três
Um profissional hoje usa a expressão ameaça persistente avançada sem pensar. A expressão existe por causa de um problema específico que os defensores tiveram nos anos 2000: as intrusões que viam não se definiam pela técnica - as técnicas eram muitas vezes banais - mas pela paciência, pelo financiamento e pela disposição do atacante de ficar por anos. A palavra para isso não existia, então uma foi feita.
Estas são as três campanhas que a tornaram necessária. Valem ser lidas juntas porque o alvo se move em cada uma, e o movimento é a lição.
Moonlight Maze, 1996-1999: o governo
A partir de outubro de 1996, alguém lia sistematicamente redes militares, governamentais e de pesquisa americanas. A lista de vítimas é longa e específica: o Pentágono, a NASA, laboratórios do Departamento de Energia, o Laboratório de Pesquisa do Exército, as bases aéreas de Wright-Patterson e Kelly, o Naval Sea Systems Command, universidades. Mais de 1.600 endereços. Também houve vítimas no Reino Unido, no Canadá, na Alemanha e no Brasil.
Os métodos não eram exóticos. Os intrusos usaram falhas publicamente conhecidas - a do CGI-bin PHF entre elas - e uma porta dos fundos disponível publicamente, o LOKI2, que tunelava seu canal de comando dentro do , o protocolo por trás do ping. Passavam por redes universitárias e pequenas empresas, que é o mesmo raciocínio que qualquer operador faria: essas redes têm boa conectividade e seu tráfego parece comum. Trabalhavam metodicamente em sistemas , e registros recuperados de servidores comprometidos em Londres mostravam nomes de operadores e uma jornada alinhada a um fuso três horas à frente de Greenwich.
Foi achada por acaso, em 1998, quando investigadores notaram atividade anormal em redes restritas - dois anos depois do começo. O FBI abriu investigação em julho de 1998, e no fim de 1999 havia uma força-tarefa de uns quarenta especialistas de polícia, militares e governo. Os investigadores afirmaram que uma impressão do que fora levado teria três vezes a altura do Monumento a Washington. O Pentágono encomendou 200 milhões de dólares em equipamento criptográfico novo.
A atribuição apontou provedores russos em meados de 1998, e o diretor do centro de proteção de infraestrutura do FBI disse que as intrusões pareciam originar-se na Rússia, descrevendo a evidência como circunstancial na melhor das hipóteses. Aquela cautela era apropriada então, e a correção chegou dezenove anos depois: em 2016 e 2017, Thomas Rid, do King's College de Londres, e pesquisadores da Kaspersky, trabalhando com registros e amostras recuperados, ligaram o conjunto LOKI2 usado nos anos 1990 ao Penquin Turla, uma porta dos fundos para Linux usada pelo grupo Turla até os anos 2010. O mais antigo ator estatal publicamente reconhecido e um dos mais capazes atores modernos parecem ser a mesma linhagem. O codinome foi aposentado e substituído mais de uma vez pelo caminho, o que é justamente o ponto: a campanha não terminou, foi renomeada.
Titan Rain, 2003-2005: as empreiteiras
A segunda campanha foi atrás das empresas que constroem coisas para o governo, e não do governo: uma invasão na Lockheed Martin em setembro de 2003, outra notavelmente parecida nos Laboratórios Nacionais Sandia - onde boa parte do arsenal nuclear americano é projetada - depois o Redstone Arsenal e a NASA. Órgãos de defesa e inteligência americanos e britânicos foram atingidos. Relatos atribuíram a campanha a uma unidade militar chinesa, e essa atribuição deve ser lida como relatada, não como estabelecida.
A parte que vale ensinar é como foi achada. Shawn Carpenter, analista de segurança de redes na Sandia, investigou a invasão na Lockheed, comparou anotações com um colega da inteligência do Exército e reconheceu o padrão. Impressionou-o a rapidez dos intrusos - uma rede às vezes esvaziada em menos de trinta minutos - e ele começou, por conta própria, a rastreá-los pelo mundo à noite, de casa, passando o que achava ao Exército e depois ao FBI. A revista Time pôs a história na capa em setembro de 2005, poucos dias depois de o Washington Post relatar a campanha a partir de fontes anônimas.
A posição do empregador era que a única preocupação dele deveria ser a rede da Sandia, e ele perdeu o emprego pelo que fez. As duas metades disso pertencem ao registro. O respondente de incidentes de uma organização descobre que a intrusão à sua frente é parte de algo muito maior; a informação é útil a gente de fora da empresa e a ninguém dentro dela; e as estruturas para compartilhá-la não existiam. Boa parte do aparato de compartilhamento de inteligência de ameaças que existe hoje - os centros setoriais, os avisos coordenados - foi construída por causa de casos como esse.
Operação Aurora, 2009-2010: todo o resto
A terceira campanha mudou de alvo outra vez, e agora as vítimas eram empresas de tecnologia. De meados de 2009 a dezembro, operadores usaram um dia zero no Internet Explorer, depois catalogado como -2010-0249, para alcançar o interior de umas trinta e quatro empresas, entre elas Google e Adobe. Pesquisadores da McAfee a batizaram com o nome de uma pasta chamada Aurora encontrada nos binários dos atacantes.
Duas coisas estavam sendo levadas. Uma era propriedade intelectual - especificamente repositórios de código-fonte, que importam mais do que parece: ter o código deixa o atacante achar falhas sem adivinhar e, em princípio, alterar código que depois entra em produção. A outra eram as contas de Gmail de ativistas chineses de direitos humanos.
O que fez da Aurora um ponto de virada não foi a intrusão. Foi que, em 12 de janeiro de 2010, o Google publicou um texto chamado "A New Approach to China" dizendo que fora atacado, nomeando o país que julgava responsável e descrevendo o ataque às contas dos ativistas. Antes disso, grandes empresas não faziam isso. Violações eram tratadas em silêncio, descritas na voz passiva ou não descritas - os verbetes de RSA e DigiNotar, um ano depois, mostram quanto da norma antiga sobreviveu. Uma vítima nomeando um Estado atacante no próprio blog obrigou toda outra empresa do setor a decidir o que faria na mesma posição, e é a origem de uma prática de divulgação hoje corriqueira.
A segunda consequência foi arquitetural. Os operadores da Aurora se moviam à vontade uma vez dentro porque a rede corporativa era confiável por padrão - supunha-se que quem estava na rede interna pertencia a ela. A resposta do Google, desenvolvida a partir de 2014, foi parar de supor isso, autenticando toda requisição por usuário e por dispositivo, independentemente de onde viesse. Isso é o BeyondCorp, e é de onde o modelo que a indústria hoje vende como zero trust realmente veio; o artigo sobre zero trust cobre o que ele significa e o que não significa.
O que a sequência ensina
O alvo se moveu para fora, e continuou se movendo. Redes de governo, depois seus fornecedores, depois as plataformas que todo mundo usa. A taxonomia de cadeia de suprimento é a continuação dessa linha: se o ministério é difícil, pegue a empreiteira; se a empreiteira é difícil, pegue o software que as duas rodam.
As técnicas eram, em geral, comuns. Uma falha de CGI conhecida, uma porta dos fundos pública, um dia zero de navegador, reúso de credenciais. O que distinguia essas campanhas era duração e organização, não brilhantismo - e é por isso que a palavra inventada para elas descreve o adversário, não o ataque.
A detecção foi a falha, todas as vezes. Dois anos na , e achada por acaso. A foi achada porque um analista trabalhou de madrugada. A Aurora foi achada pela investigação do próprio Google, que é a exceção e a razão de ela soar diferente das outras duas.
E a atribuição envelhece. A evidência da Moonlight Maze foi chamada de circunstancial em 1999 e foi substancialmente reforçada em 2017 por pesquisadores trabalhando com registros de vinte anos que alguém tinha guardado. Atribuição é uma afirmação com um grau de confiança e uma data, não um fato, e a disciplina útil para um profissional é registrar o que a evidência sustenta na hora e permanecer disposto a revisar. O registro aqui guarda tanto a cautela de 1999 quanto o achado de 2017, porque os dois estavam corretos quando foram feitos.
Fontes
- Kaspersky e Thomas Rid, "Penquin's Moonlit Maze": as intrusões começaram já em 1996 contra redes militares e governamentais americanas, incluindo as bases de Wright-Patterson e Kelly, o Laboratório de Pesquisa do Exército, o Naval Sea Systems Command, a NASA e laboratórios do Departamento de Energia; em meados de 1998 o FBI e o Departamento de Defesa tinham evidência forense apontando provedores russos; o codinome foi depois substituído
- Securelist, sobre a mesma pesquisa: a afirmação de Rid na SAS 2016 de que o ator evoluíra para o Turla moderno; os ataques dependiam de um conjunto de ferramentas Solaris e Unix, e não Windows, o que levou os pesquisadores ao Penquin Turla, a porta dos fundos para Linux anunciada pela Kaspersky em 2014
- SecurityWeek: Kaspersky e King's College de Londres identificaram ligação entre o Turla e a Moonlight Maze; o grupo começou a espionar por volta de 1996 o Pentágono, o Departamento de Energia e a NASA, e as atividades vieram a público em 1999
- Wikipedia, Moonlight Maze: uma violação de informação classificada do governo americano de 1996 a 1998, uma das primeiras campanhas de ciberespionagem amplamente conhecidas; os investigadores afirmaram que uma impressão do material roubado teria três vezes a altura do Monumento a Washington; no fim de 1999 a força-tarefa tinha quarenta especialistas
- Control Engineering: o ataque começou em 1996 e só foi descoberto na primavera de 1998, quando investigadores acharam atividade anormal em redes restritas; o diretor de proteção de infraestrutura do FBI, Michael Vatis, disse que as intrusões pareciam originar-se na Rússia embora a evidência fosse circunstancial na melhor das hipóteses; o Pentágono encomendou 200 milhões de dólares em equipamento criptográfico
- Chris Doman: a investigação se ampliou à medida que os atacantes comprometiam o Exército e os laboratórios de Los Alamos e Sandia; as vítimas se espalhavam por Estados Unidos, Reino Unido, Canadá, Brasil e Alemanha; os atacantes passavam por redes universitárias e pequenas empresas, cujos enlaces rápidos e tráfego de aparência legítima faziam bons retransmissores
- Revista Time, 5 de setembro de 2005, "The Invasion of the Chinese Cyberspies": Shawn Carpenter, 36, analista nos Laboratórios Nacionais Sandia, onde boa parte do arsenal nuclear americano é projetada, trabalhava de madrugada rastreando o grupo; o grupo chamou sua atenção quando ajudou a investigar uma invasão na Lockheed Martin em setembro de 2003, e um ataque muito parecido atingiu a Sandia meses depois; o Washington Post relatou a campanha primeiro, em 25 de agosto de 2005
- Wikipedia, Shawn Carpenter: analista de segurança e denunciante, antes empregado da Sandia, que rastreou o grupo de codinome Titan Rain; impressionou-o o modo meticuloso e rápido dos intrusos, às vezes completando uma intrusão em menos de trinta minutos; depois de informar seus superiores, foi-lhe dito que sua única preocupação deveria ser a Sandia
- Wikipedia, Titan Rain: redes de empreiteiras de defesa visadas por informação sensível, incluindo Lockheed Martin, Laboratórios Nacionais Sandia, Redstone Arsenal e NASA; os ataques são relatados como ação de uma unidade do Exército de Libertação Popular, e atingiram tanto a Defense Intelligence Agency americana quanto o Ministério da Defesa britânico
- Threatpedia, Operação Aurora: o CVE-2010-0249 no Internet Explorer deu execução de código aos operadores; a campanha buscava código-fonte e outros dados de alto valor; estava em curso em meados de 2009; o texto "A new approach to China" do Google a trouxe a público e a ligou tanto ao roubo de propriedade intelectual quanto ao ataque às contas de ativistas
- Sobre o nome e o alcance: o texto do Google de 12 de janeiro de 2010 revelou um ataque iniciado em meados de 2009 e continuado até dezembro, visando a infraestrutura corporativa e as contas de Gmail de ativistas chineses de direitos humanos; os pesquisadores batizaram a campanha com o nome de uma pasta chamada Aurora achada nos binários dos atacantes
- Sobre o roubo de código-fonte: possuir o código-fonte permite ao atacante saber onde procurar vulnerabilidades e, em princípio, alterar discretamente código que chega à produção