Ameaça física: hackers fazem-se passar por suporte informático
O Google Threat Intelligence Group dá o alerta: desenha-se um novo panorama de ameaça, em que os cibercriminosos alargam os seus métodos de ataque digitais a componentes físicas. O grupo de hackers UNC3753, também conhecido como Luna Moth, Chatty Spider ou Silent Ransom Group, faz-se passar por técnico informático e obtém acesso directo às instalações das empresas. Com pens USB, os atacantes retiram então dados sensíveis directamente dos equipamentos.
Esta evolução marca uma escalada perigosa na cibercriminalidade. Enquanto os atacantes operam normalmente à distância, através de e-mails de phishing ou outros métodos digitais, passam agora a ataques directos e físicos quando as suas tácticas remotas falham.
Público-alvo e modo de proceder dos atacantes
O grupo de hackers UNC3753 concentra-se sobretudo em escritórios de advogados nos EUA, mas ataca também empresas de seguros, financeiras e de saúde. Estão em foco acordos jurídicos, dados pessoais e documentos financeiros, a usar mais tarde para extorsão.
O ataque começa no digital
O modo de proceder dos criminosos segue um esquema pensado. Primeiro pesquisam contactos nos sítios web das empresas e contactam as vítimas por telefone ou e-mail. Fazem-se passar por trabalhadores do departamento de informática ou de segurança da respectiva empresa.
Os atacantes chamam a atenção da vítima para supostas falhas de segurança ou oferecem ajuda em projectos inventados de migração de dados. Com estas manobras de engano constroem sistematicamente confiança e tentam convencer as vítimas a aceitar sessões de assistência remota.
Utilização de software legítimo
Especialmente pérfida é a utilização de software corrente de partilha de ecrã, como o Zoom, o Microsoft Terminal Services, o Microsoft Teams ou o Quick Assist. Num caso documentado, um atacante manteve em três dias cinco conversas com a sua vítima através do Teams.
Além disso, os criminosos tentam levar as vítimas a instalar software de acesso remoto específico, entre eles o AnyDesk, o Bomgar ou o Zoho Assist. Num caso, um utilizador chegou a ser instruído para descarregar um "SuperOps RMM agent" via cURL.
Transferência de dados e ataques físicos
Roubo digital de dados
Ganha a confiança das vítimas, começa a verdadeira extracção de dados. Os atacantes iniciam sessão directamente no navegador da vítima em contas de partilha de ficheiros e carregam ficheiros – por si próprios ou orientando a vítima. Chegam mesmo a imitar a imagem de marca da empresa visada.
Para a transferência de dados são usados programas como o WinSCP ou o Rclone. Num caso documentado, os atacantes transferiram cerca de 1,7 gigabytes de dados de uma pasta local do OneDrive para uma conta do Google Drive. Além disso, instruíram vítimas para enviarem ficheiros do software jurídico iManage directamente por e-mail para os hackers.
Infiltração física como último recurso
Se as tácticas remotas falharem, os atacantes dão um passo em frente e tentam chegar fisicamente aos dados. O FBI já alertou para esta evolução no final de maio. Os criminosos apresentam-se novamente como suporte informático e fingem ter de criar uma cópia de segurança. Para isso usam discos externos ou simples pens USB.
Após a extracção bem-sucedida dos dados segue-se a extorsão: os hackers enviam um e-mail extorsivo à empresa afectada e ameaçam publicar as informações roubadas.
Medidas de protecção e estratégias de prevenção
Controlo de acessos e formação dos colaboradores
O FBI recomenda um controlo rigoroso das autorizações de todas as pessoas que entram nas instalações da empresa. Um controlo de acessos profissional pode ajudar a identificar pessoas não autorizadas e a limitar o acesso a áreas sensíveis.
Ao mesmo tempo, a formação dos colaboradores é decisiva. Têm de ser sensibilizados para os ataques de engenharia social e aprender a reconhecer contactos suspeitos. A limitação da possibilidade de ligar unidades externas constitui outra medida de protecção importante.
Vigilância e controlo técnicos
A Google aconselha uma vigilância rigorosa do tráfego de dados de saída e da rede. A saída de vários gigabytes de dados não deve passar despercebida. As empresas devem bloquear os serviços de partilha de ficheiros não autorizados e registar nos registos da firewall os volumes de dados transferidos.
Merece atenção especial o tráfego SSH na porta 22, que deve ser verificado de forma dirigida quanto a transferências em massa. As cópias de segurança feitas regularmente oferecem protecção adicional contra a perda de dados.
Significado para a segurança das empresas
Este novo método de ataque mostra que a cibersegurança vai hoje muito além do domínio puramente digital. A combinação de engenharia social, ataques digitais e intrusão física exige um conceito de segurança global.
As empresas têm de repensar as suas estratégias de segurança e implementar medidas de protecção tanto digitais como físicas. A ameaça do UNC3753 deixa claro que os criminosos estão dispostos a um esforço considerável para chegar a dados valiosos.
Os avisos da Google e do FBI sublinham a urgência de criar consciência de segurança e implementar as respectivas medidas de protecção. Só através de uma combinação de soluções técnicas, medidas organizacionais e colaboradores formados podem as empresas proteger-se eficazmente contra esta ameaça inovadora.
