Por que estas três

Um profissional hoje usa a expressão ameaça persistente avançada sem pensar. A expressão existe por causa de um problema específico que os defensores tiveram nos anos 2000: as intrusões que viam não se definiam pela técnica - as técnicas eram muitas vezes banais - mas pela paciência, pelo financiamento e pela disposição do atacante de ficar por anos. A palavra para isso não existia, então uma foi feita.

Estas são as três campanhas que a tornaram necessária. Valem ser lidas juntas porque o alvo se move em cada uma, e o movimento é a lição.

Moonlight Maze, 1996-1999: o governo

A partir de outubro de 1996, alguém lia sistematicamente redes militares, governamentais e de pesquisa americanas. A lista de vítimas é longa e específica: o Pentágono, a NASA, laboratórios do Departamento de Energia, o Laboratório de Pesquisa do Exército, as bases aéreas de Wright-Patterson e Kelly, o Naval Sea Systems Command, universidades. Mais de 1.600 endereços. Também houve vítimas no Reino Unido, no Canadá, na Alemanha e no Brasil.

Os métodos não eram exóticos. Os intrusos usaram falhas publicamente conhecidas - a do CGI-bin PHF entre elas - e uma porta dos fundos disponível publicamente, o LOKI2, que tunelava seu canal de comando dentro do , o protocolo por trás do ping. Passavam por redes universitárias e pequenas empresas, que é o mesmo raciocínio que qualquer operador faria: essas redes têm boa conectividade e seu tráfego parece comum. Trabalhavam metodicamente em sistemas , e registros recuperados de servidores comprometidos em Londres mostravam nomes de operadores e uma jornada alinhada a um fuso três horas à frente de Greenwich.

Foi achada por acaso, em 1998, quando investigadores notaram atividade anormal em redes restritas - dois anos depois do começo. O FBI abriu investigação em julho de 1998, e no fim de 1999 havia uma força-tarefa de uns quarenta especialistas de polícia, militares e governo. Os investigadores afirmaram que uma impressão do que fora levado teria três vezes a altura do Monumento a Washington. O Pentágono encomendou 200 milhões de dólares em equipamento criptográfico novo.

A atribuição apontou provedores russos em meados de 1998, e o diretor do centro de proteção de infraestrutura do FBI disse que as intrusões pareciam originar-se na Rússia, descrevendo a evidência como circunstancial na melhor das hipóteses. Aquela cautela era apropriada então, e a correção chegou dezenove anos depois: em 2016 e 2017, Thomas Rid, do King's College de Londres, e pesquisadores da Kaspersky, trabalhando com registros e amostras recuperados, ligaram o conjunto LOKI2 usado nos anos 1990 ao Penquin Turla, uma porta dos fundos para Linux usada pelo grupo Turla até os anos 2010. O mais antigo ator estatal publicamente reconhecido e um dos mais capazes atores modernos parecem ser a mesma linhagem. O codinome foi aposentado e substituído mais de uma vez pelo caminho, o que é justamente o ponto: a campanha não terminou, foi renomeada.

Titan Rain, 2003-2005: as empreiteiras

A segunda campanha foi atrás das empresas que constroem coisas para o governo, e não do governo: uma invasão na Lockheed Martin em setembro de 2003, outra notavelmente parecida nos Laboratórios Nacionais Sandia - onde boa parte do arsenal nuclear americano é projetada - depois o Redstone Arsenal e a NASA. Órgãos de defesa e inteligência americanos e britânicos foram atingidos. Relatos atribuíram a campanha a uma unidade militar chinesa, e essa atribuição deve ser lida como relatada, não como estabelecida.

A parte que vale ensinar é como foi achada. Shawn Carpenter, analista de segurança de redes na Sandia, investigou a invasão na Lockheed, comparou anotações com um colega da inteligência do Exército e reconheceu o padrão. Impressionou-o a rapidez dos intrusos - uma rede às vezes esvaziada em menos de trinta minutos - e ele começou, por conta própria, a rastreá-los pelo mundo à noite, de casa, passando o que achava ao Exército e depois ao FBI. A revista Time pôs a história na capa em setembro de 2005, poucos dias depois de o Washington Post relatar a campanha a partir de fontes anônimas.

A posição do empregador era que a única preocupação dele deveria ser a rede da Sandia, e ele perdeu o emprego pelo que fez. As duas metades disso pertencem ao registro. O respondente de incidentes de uma organização descobre que a intrusão à sua frente é parte de algo muito maior; a informação é útil a gente de fora da empresa e a ninguém dentro dela; e as estruturas para compartilhá-la não existiam. Boa parte do aparato de compartilhamento de inteligência de ameaças que existe hoje - os centros setoriais, os avisos coordenados - foi construída por causa de casos como esse.

Operação Aurora, 2009-2010: todo o resto

A terceira campanha mudou de alvo outra vez, e agora as vítimas eram empresas de tecnologia. De meados de 2009 a dezembro, operadores usaram um dia zero no Internet Explorer, depois catalogado como -2010-0249, para alcançar o interior de umas trinta e quatro empresas, entre elas Google e Adobe. Pesquisadores da McAfee a batizaram com o nome de uma pasta chamada Aurora encontrada nos binários dos atacantes.

Duas coisas estavam sendo levadas. Uma era propriedade intelectual - especificamente repositórios de código-fonte, que importam mais do que parece: ter o código deixa o atacante achar falhas sem adivinhar e, em princípio, alterar código que depois entra em produção. A outra eram as contas de Gmail de ativistas chineses de direitos humanos.

O que fez da Aurora um ponto de virada não foi a intrusão. Foi que, em 12 de janeiro de 2010, o Google publicou um texto chamado "A New Approach to China" dizendo que fora atacado, nomeando o país que julgava responsável e descrevendo o ataque às contas dos ativistas. Antes disso, grandes empresas não faziam isso. Violações eram tratadas em silêncio, descritas na voz passiva ou não descritas - os verbetes de RSA e DigiNotar, um ano depois, mostram quanto da norma antiga sobreviveu. Uma vítima nomeando um Estado atacante no próprio blog obrigou toda outra empresa do setor a decidir o que faria na mesma posição, e é a origem de uma prática de divulgação hoje corriqueira.

A segunda consequência foi arquitetural. Os operadores da Aurora se moviam à vontade uma vez dentro porque a rede corporativa era confiável por padrão - supunha-se que quem estava na rede interna pertencia a ela. A resposta do Google, desenvolvida a partir de 2014, foi parar de supor isso, autenticando toda requisição por usuário e por dispositivo, independentemente de onde viesse. Isso é o BeyondCorp, e é de onde o modelo que a indústria hoje vende como zero trust realmente veio; o artigo sobre zero trust cobre o que ele significa e o que não significa.

O que a sequência ensina

O alvo se moveu para fora, e continuou se movendo. Redes de governo, depois seus fornecedores, depois as plataformas que todo mundo usa. A taxonomia de cadeia de suprimento é a continuação dessa linha: se o ministério é difícil, pegue a empreiteira; se a empreiteira é difícil, pegue o software que as duas rodam.

As técnicas eram, em geral, comuns. Uma falha de CGI conhecida, uma porta dos fundos pública, um dia zero de navegador, reúso de credenciais. O que distinguia essas campanhas era duração e organização, não brilhantismo - e é por isso que a palavra inventada para elas descreve o adversário, não o ataque.

A detecção foi a falha, todas as vezes. Dois anos na , e achada por acaso. A foi achada porque um analista trabalhou de madrugada. A Aurora foi achada pela investigação do próprio Google, que é a exceção e a razão de ela soar diferente das outras duas.

E a atribuição envelhece. A evidência da Moonlight Maze foi chamada de circunstancial em 1999 e foi substancialmente reforçada em 2017 por pesquisadores trabalhando com registros de vinte anos que alguém tinha guardado. Atribuição é uma afirmação com um grau de confiança e uma data, não um fato, e a disciplina útil para um profissional é registrar o que a evidência sustenta na hora e permanecer disposto a revisar. O registro aqui guarda tanto a cautela de 1999 quanto o achado de 2017, porque os dois estavam corretos quando foram feitos.

Fontes