Como descoberta acidental interrompeu sequência de vírus ao redor do mundo

​Um pesquisador na área de segurança da informação disse como ele acidentalmente interrompeu a contaminação de centenas de organizações no Reino Unido e ao redor do mundo na sexta-feira.

Foi uma aparente campanha de ransomware – em que computadores são infectados com um vírus que codifica e “sequestra” os arquivos. 

Os invasores, então, pedem um “resgate”: ameaçam destruir (ou tornar públicos) os arquivos caso não recebam dinheiro.

Conhecido pelo apelido com que opera online, MalwareTech, o pesquisador estava analisado o código que fazia funcionar o vírus responsável pelo ataque.

O pesquisador percebeu que o programa tentava contactar um endereço de internet incomum (iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com), que não estava registrado. 

MalwareTech, então, gastou o equivalente a R$ 35 reais para “comprar” o endereço. Com isso ele, conseguiria analisar o comportamente do vírus.

Porém, ele depois percebeu que a operação de registro interrompeu o processo do programa de se propagar.

“Foi algo acidental. Passei a noite inteira investigando”.

O que aconteceu?

Originalmente, especulou-se que quem está por trás do vírus teria incluído um “botão de autodestruição”. 

Mas Malware acredita que se tratava de um mecanismo para saber se o programa estava sendo monitorado por pesquisadores da área de segurança da informação no que se chama de “máquina virtual” – uma espécie de ambiente de quarentena para vírus.

Um computador real não poderia acessar iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com, mas uma “máquina virtual” conseguiria.

“Isso fez com que o programa parasse para evitar análises externas”, disse MalwareTech. 

“Quando registrei o site, isso fez com que todas as ‘infecções’ ao redor do mundo se desativassem por acreditar que estavam em uma máquina virtual. Sem querer, impedimos a proliferação do vírus”.

O vírus foi derrotado?

Isso não significa que a ameaça foi afastada: arquivos “danificados” pelo víruis ainda podem ser usados para chantagear seus donos. 

E analistas de segurança alertam que novas variações do programa que ignorem o “botão” vão aparecer.

“Conseguimos parar uma versão, mas não seremos capazes de parar a próximas. Há muito dinheiro envolvido (no cybercrime) e não é preciso muito esforço para eles (os programadores) muderam o código e começarem tudo de novo”.

O que se sabe

O ataque cibernético de grandes proporções atingiu diversas empresas e organizações em 99 países, afetando até o serviço de saúde do Reino Unido.

Há relatos de computadores infectados em EUA, China, Rússia, Espanha e Itália, o que leva especialistas em segurança a acreditar em ação coordenada.

Uma análise da empresa de antivírus Avast identificou um “enorme pico” de ransomwares pelo vírus WanaCrypt0r 2.0 (ou WCry). 

“Foram mais de 57 mil infecções até agora”, disse a empresa em seu blog na tarde de sexta-feira.

No Reino Unido, houve significativo impacto sobre os arquivos digitais do NHS, equivalente ao SUS britânico. 

Dados de pacientes foram criptografados pelos invasores e se tornaram inacessíveis. Até ambulâncias e clínicas médicas foram afetadas.

Nos computadores invadidos, uma tela dizia “ops, seus arquivos foram codificados” e pedia pagamento de US$ 600 (cerca de R$ 1,9 mil) em bitcoins (moeda digital) para recuperá-los.

“Não é um ataque inédito, mas ele se aproveita de falhas no sistema operacional para executar um comando no computador (infectado)”, diz Fernando Amatte, especialista da CIPHER, empresa de cibersegurança. 

“E ele se espalha sozinho: ao entrar em uma rede, (o malware) procura outras máquinas da mesma rede para infectá-las, sem a necessidade de interação dos usuários.”

Outra grande empresa infectada foi a espanhola Telefónica, que disse em comunicado estar ciente de um “incidente de cibersegurança”. 

Segundo a empresa, clientes e serviços não foram afetados, apenas a rede interna.

Na Itália, um usuário compartilhou imagens de um laboratório de informática universitário aparentemente infectado pelo mesmo programa. 

Nos EUA, a empresa de logística FedEx disse que, “assim como outras empresas, está vivenciando interferência com alguns de nossos sistemas baseados em Windows, por culpa de um malware (software malicioso). Faremos correções assim que possível”.

Ameaça crescente

Os ransomwares estão se tornando uma das mais importantes ameaças cibernéticas da atualidade. 

“Esses ataques têm crescido justamente porque os criminosos veem nele uma possibilidade de ganho fácil, já que bitcoins são uma moeda não rastreável”, diz Fernando Amatte.

E o ataque de sexta-fera passada se destaca. “Foi muito grande, impactando organizações pela Europa em uma escala que nunca havia visto”, agrega Kevin Beaumont, também especialista em segurança cibernética. 

Analistas apontam que o ataque explorou uma vulnerabilidade que havia sido divulgada por um grupo que se autointitula The Shadow Brokers. 

Esse grupo recentemente declarou ter roubado ferramentas digitais da NSA, a agência nacional de segurança dos EUA. 

A empresa Microsoft havia conseguido criar proteções contra a invasão, mas os hackers parecem ter tirado proveito de redes de computadores que ainda não haviam atualizado seus sistemas. 

Segundo especialistas, a proteção contra ransomwares passa por medidas básicas, como evitar clicar em links suspeitos e fazer cópia de arquivos importantes. 

Mas, em casos como o desta sexta, em que os usuários foram afetados sem nem mesmo clicar em links do tipo, Amatte diz que a precaução deve ser maior: manter os sistemas operacionais devidamente atualizados com os updates de segurança.

E adianta pagar o resgate? “Tenho clientes que foram bem-sucedidos em recuperar seus arquivos ao pagar o resgate e tenho clientes que não receberam os arquivos de volta. Por se tratar de criminosos, é difícil saber o que eles pensam. Existe a chance de não se conseguir recuperar.”