Ataques cibernéticos atingiram câmaras frias que guardam sangue para doações na França. Funcionários conseguiram evitar perdas, mas o caso amplia a investigação sobre freezers de supermercados hackeados na Europa. Grupos russos, hackers iranianos e até adolescentes são considerados possíveis responsáveis.

As autoridades francesas afirmaram que geladeiras usadas em instalações médicas para guardar sangue de doações foram afetadas por ataques cibernéticos recentes feitos por hackers desconhecidos.

O Estabelecimento Francês de Sangue (EFS, na sigla em francês) disse que câmaras frias que armazenavam sangue foram atingidas por hackers, com a temperatura programada para subir. Funcionários intervieram para proteger os estoques de sangue.

• O ataque atingiu câmaras frias que guardam sangue para doações na França.
• O EFS diz que não houve impacto à saúde nem perda de produtos sanguíneos.
• Até agora, apenas supermercados eram conhecidos como alvos dos ataques a freezers.
• Grupos russos alegaram ter hackeado um sistema usado nos ataques, mas especialistas duvidam.
• Empresas de segurança usam honeypots, armadilhas digitais, para descobrir como os hackers agem.

Nenhum impacto à saúde foi identificado e nenhuma perda de produtos sanguíneos deve ser relatada, afirmou o EFS.

Até agora, apenas supermercados eram conhecidos como alvos dos ataques cibernéticos.

Enquanto isso, rumores circularam na internet sobre grupos russos de hacktivistas que afirmaram ter trabalhado juntos para invadir um dos sistemas usados nos ataques que afetaram supermercados europeus.

Os grupos Noname057(16) e Z-Pentest Alliance publicaram que invadiram com sucesso a empresa Danfoss. Isso levou a especulações de que eles estariam por trás dos ataques aos freezers.

Grupos russos e suspeitas

Mas analistas agora questionam se isso realmente significa que eles estavam por trás dos ataques cibernéticos aos supermercados.

Embora grupos russos não sejam descartados, especialistas dizem que hacktivistas iranianos, hackers ligados a Estados ou até adolescentes fazendo brincadeiras também podem ser os responsáveis.

Pesquisadores de cibersegurança de várias empresas estão examinando evidências coletadas de chamados honeypots para encontrar pistas sobre quem está por trás das ondas de ataques a freezers.

Três empresas separadas de cibersegurança instalaram armadilhas com software falso de freezer para monitorar como os hackers tentam usá-las em ataques.

Como funcionam os honeypots

Em cibersegurança, um honeypot é uma isca digital, como uma rede de computadores ou um arquivo falso, criada de propósito para parecer um alvo vulnerável e atrair e capturar hackers.

Ao monitorar essas armadilhas, especialistas podem estudar com segurança os métodos de um atacante sem colocar sistemas reais em risco.

Segundo a atividade coletada após a primeira onda de ataques cibernéticos, a segunda onda, que atingiu vários países europeus, foi altamente direcionada.

O fato de todas essas geladeiras e freezers terem sido atingidos ao mesmo tempo sugere planejamento e coordenação, diz Ryan Dewhurst, da empresa espanhola de cibersegurança Previdian.

O ponto de entrada nos produtos de software de freezer afetados não era difícil de explorar, porque eles eram mal protegidos e já havia métodos de ataque conhecidos circulando online.

Mas especialistas como Dewhurst dizem que o hacker ou os hackers tiveram de reunir informações sobre os endereços IP públicos dos dispositivos para criar uma lista de alvos. Depois, precisaram de tempo para planejar quais métodos usar e quando executá-los.

Dado o horário relatado em que a temperatura dos dispositivos foi aumentada, que parece ter sido durante a noite para causar o máximo de dano, isso é mais uma evidência de que o ataque foi planejado e coordenado, afirmou.

Outra empresa de cibersegurança que instalou tecnologia semelhante de honeypot para atrair os hackers e revelar suas táticas é a Lupovis, sediada em Strathclyde.

Ela tinha honeypots que pareciam estar localizados ao redor do mundo e começou a ver atividade 10 dias antes da segunda onda de ataques cibernéticos.

Curiosamente, a equipe viu hackers escaneando e sondando seus sites falsos de freezer apenas na Europa.

Não vimos nenhum dos nossos honeypots em lugares como África ou América do Sul ser alvo. Até os pots na Ucrânia foram deixados em paz, disse o fundador da Lupovis, Dr. Xavier Bellekens.

Alegação de guerra híbrida

Uma terceira empresa, a francesa de ciberdefesa Sekoia, também notou atividade de escaneamento antes da segunda onda de ataques cibernéticos, mas disse que poderia ser um escaneamento automático sem intenção maliciosa.

Em um relatório para clientes, a empresa disse que as evidências sugeriam que a natureza do ataque se alinhava à atividade de hacktivistas russos ou do governo russo, acusado de realizar ataques cibernéticos de chamada guerra híbrida pela Europa.

Mas a pesquisa da Sekoia também aponta para hackers ou hacktivistas do regime iraniano.

Atores alinhados ao Irã têm histórico de atingir sistemas de controle industrial expostos à internet. Incidentes anteriores envolveram o mesmo equipamento em Israel e nos Estados Unidos, ambos adversários do Irã, diz o relatório.

Segundo a Sekoia, cerca de 40 supermercados israelenses que usavam controladores Danfoss foram comprometidos em 2022.

Enquanto isso, no fim de agosto, freezers em pelo menos seis bases militares dos Estados Unidos foram forçados a entrar no modo de descongelamento, como na França. Os modelos dos controladores continuam não confirmados e as investigações seguem em andamento.

Até hoje, não temos evidência técnica que indique o envolvimento de grupos falantes de russo, disse um porta-voz da Sekoia à BBC.

Além disso, como o NoName057 não é conhecido por realizar operações eficazes além de ataques DDoS e tem histórico de fazer atribuições falsas, continuamos céticos sobre a suposta reivindicação de responsabilidade, afirmou.

Investigações e hipóteses

Ataques de negação de serviço distribuída, ou DDoS, funcionam inundando um site ou serviço online com tráfego de internet para tentar tirá-lo do ar ou torná-lo inacessível.

Autoridades de vários países estão investigando ativamente os ataques e alertando supermercados sobre possíveis ataques futuros.

Mas nenhuma atribuição formal foi feita.

Nenhuma das três empresas de cibersegurança que coletaram dados de honeypots descarta a possibilidade de o responsável ser um adolescente.

Mas, pelo grau de planejamento necessário, os especialistas concordam que teria de ser um grupo bem coordenado. Se for o caso, eles esperam que os responsáveis comecem a se vangloriar online em breve.

A Sekoia também disse que permanece a possibilidade de as três ondas terem sido realizadas por grupos diferentes e distintos ou por imitadores.