O escopo do hack russo fica claro: várias agências dos EUA foram afetadas

WASHINGTON – O escopo de um ataque planejado por uma das principais agências de inteligência da Rússia ficou mais claro na segunda-feira, quando a administração Trump reconheceu que outras agências federais, o Departamento de Segurança Interna e partes do Pentágono, foram comprometidas. Os investigadores estavam lutando para determinar até que ponto os militares, a comunidade de inteligência e os laboratórios nucleares foram afetados pelo ataque altamente sofisticado.

As autoridades dos EUA não detectaram o ataque até as últimas semanas, e apenas quando uma empresa privada de segurança cibernética, FireEye, alertou a inteligência dos EUA de que os hackers contornaram camadas de defesas.

Era evidente que os Departamentos do Tesouro e do Comércio, as primeiras agências relatadas como violadas, eram apenas parte de uma operação muito maior, cuja sofisticação surpreendeu até mesmo os especialistas que têm seguido um quarto de século de ataques russos ao Pentágono e agências civis americanas .

Cerca de 18 mil usuários privados e governamentais baixaram uma atualização de software contaminada pela Rússia, uma espécie de cavalo de Tróia, que deu aos hackers uma posição segura nos sistemas das vítimas, de acordo com a SolarWinds, a empresa cujo software foi comprometido.

Os usuários do software SolarWinds incluem os Centros de Controle e Prevenção de Doenças, o Departamento de Estado, o Departamento de Justiça, partes do Pentágono e vários serviços públicos. Embora a presença do software não seja, por si só, evidência de que todas as redes foram comprometidas e informações roubadas, os investigadores passaram a segunda-feira tentando entender a extensão dos danos no que poderia ser uma perda significativa de dados dos EUA para um atacante estrangeiro.

A National Security Agency, a principal organização de inteligência dos EUA que hackeia redes estrangeiras e defende agências de segurança nacional de ataques, aparentemente não sabia da violação no software de monitoramento de rede criado pela SolarWinds até foi notificado na semana passada pela FireEye. O N.S.A. ele próprio usa o software SolarWinds.

Duas das violações mais embaraçosas ocorreram no Pentágono e no Departamento de Segurança Interna, cuja Agência de Segurança de Infraestrutura e Cibersegurança supervisionou o defesa bem-sucedida do sistema eleitoral americano o mês passado.

Um funcionário do governo, que pediu anonimato para falar sobre a investigação, deixou claro que o Departamento de Segurança Interna, responsável por proteger agências governamentais civis e o setor privado, foi a vítima do complexo ataque. Mas o departamento, que muitas vezes exorta as empresas a se abrirem para seus clientes quando seus sistemas são vítimas de ataques bem-sucedidos, emitiu uma declaração oficial confusa que dizia apenas: “O Departamento de Segurança Interna está ciente de relatos de um violação. No momento, estamos investigando o assunto. “

Partes do Pentágono também foram afetadas pelo ataque, disse um funcionário dos EUA que falou sob condição de anonimato, acrescentando que ainda não tinha certeza de até que ponto.

“O D.O.D. está ciente dos relatórios e atualmente avalia o impacto “, disse Russell Goemaere, porta-voz do Pentágono.

Os investigadores se concentraram especialmente em por que os russos se voltaram para a Administração Nacional de Telecomunicações e Informações do Departamento de Comércio, que ajuda a determinar a política para questões relacionadas à Internet, incluindo o estabelecimento de padrões e o bloqueio de importações e exportações de tecnologia considerada um risco à segurança nacional. Mas analistas observaram que a agência lida com algumas das tecnologias de negócios mais avançadas, determinando o que será vendido e negado aos países adversários.

Quase todas as empresas Fortune 500, incluindo o The New York Times, usam os produtos SolarWinds para monitorar suas redes. O mesmo vale para o Laboratório Nacional de Los Alamos, onde as armas nucleares são projetadas, e grandes empresas de defesa como a Boeing, que se recusou a discutir o ataque na segunda-feira.

As primeiras avaliações das intrusões, tidas como obra do S.V.R. da Rússia, sucessor de K.G.B. – sugerem que os hackers foram muito seletivos sobre quais vítimas eles exploraram para obter mais acesso e roubo de dados.

Os hackers integraram seu código malicioso ao software Orion criado pela SolarWinds, com sede em Austin, Texas. A empresa disse que 33.000 de seus 300.000 clientes usam o Orion, e apenas metade deles baixou a atualização russa maliciosa. A FireEye disse que, apesar de seu amplo acesso, os hackers russos exploraram apenas os que eram considerados os alvos mais valiosos.

“Acreditamos que o número de pessoas que realmente foram comprometidas ficou na casa das dezenas”, disse Charles Carmakal, vice-presidente sênior da FireEye. “Mas eles eram todos os alvos de maior valor.”

A imagem que emergiu das entrevistas com funcionários corporativos e governamentais na segunda-feira, enquanto eles tentavam avaliar a extensão dos danos, foi de um ataque complexo e sofisticado a software usado em sistemas que monitoram a atividade em empresas e agências governamentais.

Após um quarto de século de ataques ao sistema de defesa industrial, muitos dos quais envolvem esforços de força bruta para decifrar senhas ou mensagens de “spearphishing” para enganar destinatários de e-mail não intencionais para que entreguem suas credenciais, a operação Russo era diferente. O ataque foi “o dia em que você se prepara”, disse Sarah Bloom Raskin, subsecretária do Tesouro durante o governo Obama.

Os investigadores dizem que acreditam que os hackers russos usaram vários pontos de entrada além da atualização do software Orion comprometido, e que isso pode ser apenas o começo do que eles encontraram.

As atualizações do software SolarWinds Orion não são automáticas, observaram os funcionários, e muitas vezes são revisadas para garantir que não desestabilizem os sistemas de computador existentes.

Os clientes da SolarWinds na segunda-feira ainda estavam tentando avaliar os efeitos do ataque russo.

Um porta-voz do Departamento de Justiça, que usa o software SolarWinds, não quis comentar.

Ari Isaacman Bevacqua, porta-voz do The New York Times, disse que “nossa equipe de segurança está ciente dos desenvolvimentos recentes e está tomando as medidas adequadas conforme necessário”.

Oficiais militares e de inteligência se recusaram a dizer o quão difundido o Orion estava em uso em suas organizações, ou se esses sistemas foram atualizados com o código infectado que deu amplo acesso aos hackers.

Mas, a menos que o governo estivesse ciente da vulnerabilidade do SolarWinds e a mantivesse em segredo, o que às vezes faz para desenvolver armas cibernéticas ofensivas, haveria poucos motivos para não instalar as versões mais atualizadas do software. Não há evidências de que funcionários do governo estivessem ocultando qualquer conhecimento da falha no software SolarWinds.

A Agência de Segurança de Infraestrutura e Cibersegurança no domingo emitiu um raro diretiva de emergência alertando agências federais para “desligar” o software SolarWinds. Mas isso apenas evita novas intrusões; ele não erradica os hackers russos que, segundo a FireEye, plantaram suas próprias “portas traseiras”, imitaram usuários de e-mail legítimos e enganaram sistemas eletrônicos que supostamente protegem as identidades dos usuários com as senhas corretas e autenticação adicional.

“Um ataque à cadeia de suprimentos como este é uma operação incrivelmente cara – quanto mais usado, maior a probabilidade de você ser pego ou queimado”, disse John Hultquist, diretor de ameaças da FireEye. “Eles tiveram a oportunidade de atingir vários alvos, mas também sabiam que, se fossem longe demais, perderiam seu incrível acesso.”

Os CEOs das maiores empresas de serviços públicos da América fizeram uma ligação urgente na segunda-feira para discutir a ameaça potencial do compromisso da SolarWinds com a rede elétrica.

Para o N.S.A. e seu diretor, general Paul M. Nakasone, que também chefia o US Cyber ​​Command, o ataque está entre as maiores crises de sua gestão. Ele foi contratado há quase três anos como um dos guerreiros cibernéticos mais experientes e confiáveis ​​do país e prometeu ao Congresso que garantiria que aqueles que atacassem os Estados Unidos pagassem um preço.

Em sua audiência de confirmação, ele declarou que os ciber-adversários do país “não têm medo de nós” e agiu rapidamente para aumentar o custo para eles, cavando fundo em redes de computadores estrangeiras, organizando ataques à Agência de Pesquisa da Internet da Rússia e enviando tiros de alerta. através do arco de hackers russos conhecidos.

O general Nakasone se concentrou intensamente na proteção da infraestrutura eleitoral do país, com considerável sucesso na votação de 2020. Mas agora parece que tanto as agências de segurança civil quanto as nacionais foram o alvo dessa manobra cuidadosamente planejada, e ele terá que responder. por que a indústria privada, em vez das empresas multimilionárias que ele dirige em uma sala de guerra em Fort Meade, Maryland. Ele foi o primeiro a dar o alarme.

Analistas disseram que era difícil saber o que era pior: que as agências de inteligência russas novamente surpreenderam o governo federal ou que, quando ficou claro o que estava acontecendo, os funcionários da Casa Branca nada disseram.

Mas isso é claro: enquanto o presidente Trump reclamava do hack que não era, o alegada manipulação de voto em uma eleição que ele claramente e completamente perdeu: ele se calou sobre o fato de que os russos estavam hackeando o prédio ao lado: o Tesouro dos Estados Unidos.

No curto prazo, as agências governamentais agora estão lutando para chegar ao fundo de um problema com visibilidade limitada. Ao encerrar a SolarWinds, uma medida que eles tiveram que realizar para impedir futuras intrusões, muitas agências estão perdendo visibilidade em suas próprias redes.

“Eles voam às cegas”, disse Ben Johnson, um ex-N.S.A. hacker que agora é o CTO da Obsidian, uma empresa de segurança.

David E. Sanger relatou de Washington e Nicole Perlroth de Palo Alto, Califórnia. Zolan Kanno-Youngs, Alan Rappeport e Eric Schmitt contribuiu com reportagem de Washington.