Operação de Oleoduto dos EUA Interrompida por Ataque de Ransomware

Segundo as autoridades, um ataque de ransomware atingiu recentemente uma instalação de compressão de gás natural em território americano. O ataque resultou em uma paralisação que durou dois dias, enquanto a instalação afetada trabalhava arduamente para restabelecer o sistema utilizando backups.

Os invasores conseguiram acessar a seção de TI da rede e, a partir daí, infiltrar-se nas funções de comunicação e controle dentro das instalações. A Agência de Segurança Cibernética e de Infraestrutura (CISA) emitiu um alerta com mais informações sobre o assunto. Aparentemente, os atacantes conseguiram atingir um funcionário por meio de spearphishing , obtendo assim acesso à empresa.

A invasão da rede evoluiu para o que a CISA descreveu como um "ransomware genérico" que criptografou dados tanto nas redes de TI quanto nas de OT. A agência também informou que isso ocorreu porque as partes de TI e OT da infraestrutura da rede não eram separadas.

A Dragos, empresa de segurança, mencionou que, apesar das informações e detalhes técnicos limitados divulgados pela organização, ataques anteriores com ransomware apresentam um padrão recorrente. Uma publicação no blog da Dragos menciona que "as tendências atuais em ransomware exploram o acesso inicial aos ambientes das vítimas para capturar credenciais ou comprometer o Active Directory (AD) do Windows, obtendo acesso generalizado a toda a rede da vítima. Uma vez obtido esse acesso, o invasor pode utilizar scripts maliciosos e ferramentas legítimas de execução remota, como o PSExec, para instalar o ransomware ou até mesmo distribuir software malicioso por meio de Objetos de Política de Grupo do AD. O resultado é que todas as máquinas Windows conectadas ao domínio são infectadas quase simultaneamente, resultando em um evento de criptografia em toda a rede. Essa estratégia foi utilizada para implantar diversas variantes de ransomware, incluindo Ryuk , MegaCortex e Sodinokibi ."

A CISA mencionou que, felizmente, os atacantes não conseguiram obter controle sobre a parte física das operações da planta. O ataque não afetou os controladores lógicos programáveis responsáveis pela leitura e manipulação de processos em ambientes industriais, uma vez que os atacantes estavam limitados a sistemas baseados em Windows. O ataque resultou em uma perda parcial de visibilidade para os operadores humanos da instalação, segundo a agência. Como consequência do incidente, outras instalações de compressão tiveram que interromper suas operações devido ao que a CISA chama de "dependências de transmissão do gasoduto", resultando em uma paralisação completa do gasoduto durante um período de dois dias.

Dragos encontrou semelhanças entre este evento e outro ocorrido em dezembro de 2019, relatado pela Guarda Costeira dos EUA. Os dois eventos apresentaram sobreposição na forma como os ataques se desenvolveram:

• A infecção inicial ocorreu por meio de uma mensagem de e-mail acompanhada de um link malicioso.
• As operações primárias estão sendo afetadas pela perda de visibilidade dos sistemas baseados em Windows responsáveis pelas operações relacionadas ao ICS (Sistema de Controle Industrial).
• Um período de interrupção relativamente curto, semelhante ao relatado pela CISA, indica dois dias de inatividade, enquanto o relatório da Guarda Costeira dos EUA aponta para um período de interrupção de 30 horas.

A empresa admitiu que seus planos de recuperação de desastres se concentravam apenas em cenários de emergência de natureza física, e não incluíam treinamentos sobre ataques cibernéticos. A CISA observou que os exercícios de resposta a emergências não capacitaram os funcionários a tomar decisões assertivas em situações de ataques cibernéticos. A lacuna no conhecimento de segurança e a ampla gama de cenários possíveis foram os motivos para a falha na incorporação do treinamento em segurança cibernética ao planejamento de resposta a emergências.

Possível envolvimento do malware Ryuk

A CISA não divulgou a instalação da vítima, nem o ransomware usado no ataque, nem quando ele ocorreu. Pesquisadores de segurança da Dragos acreditam que o ataque aconteceu em dezembro de 2019 e que envolveu o malware Ryuk . A Dragos mencionou que, com base nas informações que receberam, o alerta da CISA provavelmente descreve o mesmo evento ocorrido com a Guarda Costeira dos EUA em 2019.

A Dragos também acredita que o ataque não visava especificamente os sistemas de controle industrial, já que era baseado em Windows. Um incidente semelhante ocorreu em novembro de 2019 e afetou a sPower, uma empresa de energia eólica e solar com sede em Utah. Os invasores conseguiram interromper a comunicação entre o centro de controle principal e os locais remotos de geração de energia, explorando uma vulnerabilidade nos firewalls da Cisco, o que demonstra uma tendência contínua de agentes maliciosos visando instalações de energia nos últimos anos.