Categoria: Inteligência adversária

Região: Ucrânia

TOPO: VERDE

‍

Sumário executivo

Este relatório analisa a evolução do cenário de ameaças cibernéticas em torno do Dia da Independência da Ucrânia (24 de agosto) e tem profundo significado nacional, especialmente à luz do conflito contínuo do país com a Rússia. Esta ocasião pode ser um ponto focal para maiores tensões e vulnerabilidades no domínio cibernético. A Ucrânia sofreu ataques cibernéticos sofisticados em andamento contra infraestruturas críticas, instituições governamentais e sociedade civil, orquestrados por atores patrocinados pelo estado e não estatais. Nos últimos três meses, 458 incidentes de ataques cibernéticos ocorreram na Ucrânia, consistindo principalmente em DDOS seguido por Defacement e Databreachs. O “NoName” é o grupo mais ativo contra a Ucrânia, responsável por 36% dos ataques, tornando-o um participante importante no cenário de ameaças cibernéticas. O “Exército Cibernético Russo” acompanha de perto, destacando o significativo envolvimento russo. Grupos como Anonymous RUSSIA, Autodafe Internet, BLOODNET, Skillnet, 22C e RipperSec contribuem para um cenário diversificado de ameaças. Outros grupos, incluindo Sulawesi Cyber Team, CyberDragon e Doubleface, também representam um risco, apesar de seus níveis mais baixos de atividade.

‍

Cenário de ameaças cibernéticas na Ucrânia: visão específica do setor

Na Ucrânia, os ataques cibernéticos impactaram significativamente vários setores, com mais de 482 incidentes relatados nos últimos três meses. Vários grupos hacktivistas estão por trás desses ataques, sendo o Noname o mais ativo. Esses ataques cibernéticos afetaram uma ampla gama de indústrias, causando interrupções substanciais e perdas financeiras.

O setor governamental é o principal alvo, enfrentando quase 50% dos ataques cibernéticos, indicando um foco em infraestrutura crítica e dados confidenciais. Os setores de tecnologia e transporte também são fortemente impactados, cada um com mais de 10% dos ataques, expondo vulnerabilidades em serviços essenciais. Outros setores, como energia, mídia e educação, também enfrentam riscos significativos.

O gráfico abaixo fornece uma visão geral detalhada do cenário de ameaças, destacando os setores específicos na Ucrânia que foram afetados por ataques cibernéticos.

‍

‍

Principais observações do gráfico:

• Setor governamental: O setor governamental é, de longe, o mais visado, representando quase 50% dos ataques cibernéticos. Isso sugere que a infraestrutura crítica e as informações confidenciais são os principais alvos dos atacantes.
• Tecnologia e transporte: Seguindo o governo, os setores de tecnologia e transporte também são significativamente impactados, cada um com mais de 10% do total de ataques. Isso destaca a vulnerabilidade dos serviços essenciais e das cadeias de suprimentos às ameaças cibernéticas.
• Outros setores: Enquanto os setores de governo, tecnologia e transporte dominam o cenário de ameaças, outros setores, como energia, mídia e educação, também enfrentam um risco notável.

‍

Principais grupos hacktivistas atacaram a Ucrânia

• Domínio do NoName: O grupo mais proeminente que tem como alvo a Ucrânia é o “NoName”, responsável por 36% dos ataques. Isso sugere que o NoName é um ator importante no cenário de ameaças cibernéticas contra a Ucrânia.
• Exército Cibernético Russo: O “Exército Cibernético Russo” é o segundo grupo mais ativo, indicando que entidades afiliadas à Rússia estão ativamente envolvidas em ataques cibernéticos contra a Ucrânia.
• Diversos atores de ameaças: Uma grande variedade de outros grupos hacktivistas, incluindo Anonymous RUSSIA, Autodafe Internet, BLOODNET, Anonymous Guys, Skillnet e RipperSec, também estão envolvidos, sugerindo um cenário diversificado de ameaças com várias motivações e capacidades.
• Grupos menores: Vários grupos menores, como Sulawesi Cyber Team, CyberDragon e Doubleface, respondem por porcentagens relativamente pequenas dos ataques, mas seu envolvimento ainda representa uma ameaça à segurança cibernética da Ucrânia.

‍

Cenário de ameaças cibernéticas na Ucrânia: visão do tipo de ataque

A Ucrânia continua enfrentando uma grande variedade de ataques cibernéticos, incluindo infecções por malware, violações de dados, ataques distribuídos de negação de serviço (DDoS) e desfigurações de sites.

• DDOS: Os ataques de negação de serviço (DDoS) são o tipo mais comum, representando 68,1% do total de ataques. Isso indica que os ataques de DDoS são uma ameaça significativa aos sistemas e serviços on-line.
• Desfiguração: Os ataques de desfiguração, em que os atacantes modificam ou alteram o conteúdo dos sites, constituem 21,7% dos ataques. Isso sugere que os atacantes estão atacando sites para fins de disrupção ou propaganda.
• Violação de dados e malware: Violações de dados e ataques de malware, embora menos frequentes do que DDoS e desfiguração, ainda representam riscos significativos. As violações de dados podem levar ao roubo de informações confidenciais, e o malware pode comprometer sistemas e redes.
• Phishing: Os ataques de phishing, que tentam induzir as pessoas a divulgar informações pessoais, são relativamente raros, representando apenas 0,4% dos ataques. No entanto, eles ainda podem ser eficazes para comprometer contas e sistemas individuais.

‍

‍

Violações de dados:

Esta parte descreve as principais violações de dados recentes que afetam a Ucrânia, com foco nos bancos de dados comprometidos das principais instituições e entidades governamentais, juntamente com a venda de informações pessoais confidenciais. Essas violações enfatizam os graves riscos decorrentes do acesso não autorizado a dados pessoais e financeiros, incluindo o potencial de roubo de identidade, fraude financeira e interrupções operacionais significativas.

• Um ator de ameaças conhecido como dk0m postou no fórum clandestino, alegando possuir dados confidenciais ucranianos, incluindo justiça, tribunais, dados do país, estatísticas e dados de intercâmbio. O ator está se oferecendo para vender os dados via Telegram e forneceu amostras dos dados. A postagem também contém uma lista de contatos do Ministério da Justiça da Ucrânia.

• Um usuário de um fórum clandestino chamado dk0m estava vendendo acesso a uma conta judicial ucraniana que permite se inscrever em várias agências policiais. O usuário forneceu amostras de documentos judiciais obtidos usando a conta. O preço da conta é determinado por meio de mensagens privadas. (17/08/2024)

‍

• Um agente de ameaças conhecido como EmailBroker estava se oferecendo para vender uma coleção de e-mails da polícia cibernética e do governo da Ucrânia no fórum clandestino. O ator afirma possuir um banco de dados contendo informações confidenciais e está buscando potenciais compradores. O ator incentiva os interessados a contatá-los diretamente no fórum, e o depósito em garantia é aceito como forma de pagamento.

‍

‍

• Um ator de ameaças conhecido como Yua8186 postou no fórum clandestino, alegando possuir um enorme banco de dados contendo informações pessoais de 56 milhões de residentes da Ucrânia. O ator forneceu links para oito arquivos de armazenamento em nuvem contendo os dados. Diz-se que os dados incluem nomes, endereços, números de telefone e endereços de e-mail de cidadãos ucranianos.

‍

‍

• Um agente de ameaças conhecido como Hoover postou no fórum clandestino Breach Forums, alegando possuir um banco de dados SQL de 1,01 GB contendo informações de clientes de parfumcity.com.ua. O ator está se oferecendo para vender os dados por um preço não revelado. O banco de dados supostamente contém informações confidenciais, como nomes, endereços, números de telefone, endereços de e-mail e detalhes do pedido.

‍

DDOS:

A Ucrânia é fortemente afetada pelos ataques distribuídos de negação de serviço (DDoS), que representam 68,1% de todos os ataques cibernéticos. Isso destaca o DDoS como uma grande ameaça, interrompendo gravemente os sistemas e serviços on-line no país.

Análise de tendências:

• Início de junho a meados de junho (1º de junho a 15 de junho): Há um número constante de ataques, variando principalmente de 4 a 8 incidentes por dia, indicando um nível de ameaça moderado, mas consistente.
• Meados de junho até o final de junho (16 a 30 de junho): Um pico na atividade é observado por volta de 22 de junho, com um pico de cerca de 11 incidentes. Esse período é caracterizado pelo aumento da atividade em comparação com o início de junho, provavelmente indicando campanhas de ataque coordenadas.
• Início de julho a meados de julho (1º a 15 de julho): Uma queda significativa na atividade é observada, com vários dias mostrando ataques mínimos ou inexistentes. Isso sugere um declínio temporário no nível de ameaça, que pode ser devido a vários fatores, como medidas defensivas da Ucrânia ou uma pausa estratégica dos atacantes.
• Meados de julho a início de agosto (16 de julho a 5 de agosto): O número de incidentes começa a aumentar novamente, embora a intensidade permaneça menor em relação ao final de junho. Esse período mostra um aumento gradual, indicando um ressurgimento da atividade de DDoS.
• Início de agosto a meados de agosto (6 a 15 de agosto): Observa-se um aumento acentuado nos incidentes, com o número de ataques diários ultrapassando 20 em vários dias. Isso representa o período mais intenso de atividade de DDoS dentro do cronograma, sugerindo uma campanha cibernética altamente agressiva contra a Ucrânia.
• Meados de agosto até o final de agosto (16 a 22 de agosto): Embora haja uma ligeira diminuição em comparação com o pico no início de agosto, o nível de ameaça permanece alto, com cerca de 10 a 15 incidentes diários. Isso indica uma pressão sustentada sobre a infraestrutura ucraniana.

‍

Principais ataques de DDOS:

• Pessoas anônimas têm como alvo vários sites de infraestrutura crítica na Ucrânia, incluindo a Autoridade de Navegação e Portos, o Centro de Contato do Governo, o Ministério da Infraestrutura, a Autoridade Ferroviária e os sites do Gabinete de Ministros.

‍

• O NoName tem como alvo vários provedores de serviços de telecomunicações (TSP) na Ucrânia.

‍

• O Hacker Council Global atacou a operadora nacional de passagens eletrônicas da Ucrânia, interrompendo seu serviço de passagens de trem com um ataque DDoS.

‍

• O ator de ameaças Nonames afirmou que, de 8 de agosto até o presente, um ataque cibernético coordenado foi lançado contra sites ucranianos, envolvendo vários grupos hacktivistas. Um total de 111 recursos associados ao governo ucraniano e a vários setores críticos foram alvo, dos quais a Nonames atacou 84 sites, com o objetivo de interromper as operações do que os atacantes chamaram de “regime criminoso do terrorista Zelensky.”

‍

Conclusão:

Os ataques cibernéticos em andamento contra a Ucrânia por NoName057 (16) e seus aliados representam uma séria ameaça à independência e segurança do país. Esses ataques têm o potencial de interromper a infraestrutura crítica, minar a capacidade do governo de funcionar e enfraquecer a resiliência econômica da Ucrânia. O foco contínuo em setores vitais, como energia, transporte e serviços governamentais, destaca a intenção dos atacantes de causar o máximo de danos.

‍Enquanto a Ucrânia se prepara para comemorar o Dia da Independência, esses ataques cibernéticos podem representar uma ameaça significativa à capacidade do país de comemorar esse importante feriado nacional. É imperativo que a Ucrânia fortaleça suas defesas de segurança cibernética e construa resiliência contra esses ataques para garantir uma celebração segura e bem-sucedida do Dia da Independência.

‍

Recomendações e sugestões:

Uma abordagem abrangente para reforçar a postura de segurança cibernética da sua organização, abrangendo uma estratégia multifacetada para prevenção, detecção e resposta.

1. Eleve as medidas de segurança cibernética:

• Detecção proativa de ameaças: implemente sistemas avançados para identificar e neutralizar rapidamente ataques de ransomware e outras atividades maliciosas.
• Fortalecimento contínuo do sistema: atualize e corrija regularmente todos os sistemas para eliminar as vulnerabilidades exploradas pelos cibercriminosos.

2. Fortaleça a proteção de dados:

• Data Fortress: aplique controles de acesso rigorosos e utilize criptografia para proteger dados confidenciais contra acesso não autorizado e violações.
• Avaliação contínua: conduza regularmente auditorias e avaliações de vulnerabilidades para identificar e abordar possíveis pontos fracos em suas estratégias de proteção de dados.

3. Capacite sua força de trabalho:

• Alfabetização em segurança cibernética: Equipe os funcionários com o conhecimento e as habilidades para reconhecer e responder com eficácia às tentativas de phishing, engenharia social e outras ameaças cibernéticas.
• A preparação é fundamental: desenvolva e teste regularmente planos de resposta a incidentes para garantir uma resposta rápida e coordenada às violações de dados e ataques cibernéticos.

4. Fique à frente do cenário de ameaças:

• Inteligência de ameaças: monitore continuamente fóruns clandestinos e atividades na dark web em busca de possíveis ameaças à sua organização ou setor.
• Colaboração é poder: faça parcerias com empresas de segurança cibernética de renome, como a CloudSEK, para obter informações sobre ameaças emergentes e aproveitar sua experiência em estratégias de mitigação.

5. Protegendo dados pessoais:

• Escudo de Privacidade de Dados: Implemente medidas robustas de privacidade de dados para proteger as informações de identificação pessoal (PII) contra acesso não autorizado e uso indevido.
• A conformidade é fundamental: garanta a conformidade com os regulamentos relevantes de proteção de dados e os padrões do setor para proteger as informações pessoais e financeiras.

6. Relatórios e comunicação de incidentes simplificados:

• Resposta eficiente: Estabeleça protocolos claros para relatar e gerenciar violações de dados e incidentes cibernéticos para minimizar os danos e acelerar os esforços de recuperação.
• Transparência é confiança: comunique-se abertamente com as partes afetadas e as partes interessadas para manter a confiança e fornecer orientação sobre como mitigar o impacto das violações de dados.

‍

Referências

CloudSEKs A principal plataforma digital de monitoramento de risco xVigil contém um módulo chamado “Inteligência Subterrânea”, que fornece informações sobre as mais recentes Inteligências de Adversários, Malwares e Vulnerabilidades, coletadas de uma ampla variedade de fontes, na Surface Web, Deep Web e Dark Web.

‍

‍

• *Fonte de inteligência e confiabilidade da informação - Wikipedia
• ^#Protocolo de semáforo - Wikipedia