A Direcção Australiana de Sinais e o Centro Australiano de Cibersegurança juntaram-se a instituições de cibersegurança dos EUA, Canadá e Nova Zelândia para alertar os profissionais de tecnologia locais para tomarem cuidado com os agentes de ameaças afiliados à China, incluindo o Salt Typhoon, que se infiltram na sua infra-estrutura crítica de comunicações.
A notícia chega semanas depois do Relatório Anual de Ameaças Cibernéticas 2023-2024 da Australian Signals Directorate, onde a agência alertou que os ciberatores patrocinados pelo estado têm visado persistentemente governos australianos, infraestrutura crítica e empresas que usam técnicas comerciais em evolução durante o período de relatório mais recente.
O que é o tufão de sal?
Recentemente, os EUA revelaram que um actor ameaçador ligado à China, Salt Typhoon, comprometeu as redes de pelo menos oito fornecedores de telecomunicações sediados nos EUA como parte de “uma ampla e significativa campanha de espionagem cibernética”. Mas a campanha não se limita às costas dos EUA.
As agências australianas não confirmaram se o Salt Typhoon atingiu as empresas de telecomunicações australianas. No entanto, Grant Walsh, líder da indústria de telecomunicações na empresa local de segurança cibernética CyberCX, escreveu que era “improvável que a ACSC – e as agências parceiras – emitissem orientações tão detalhadas se a ameaça não fosse real”.
“As redes de telecomunicações investiram em algumas das defesas cibernéticas mais maduras da Austrália. Mas o cenário de ameaças globais está a deteriorar-se”, escreveu ele. “As redes de telecomunicações são um alvo fundamental para grupos estatais de espionagem cibernética persistentes e altamente capazes, especialmente aqueles associados à China.”
VEJA: Por que os profissionais de segurança cibernética australianos deveriam se preocupar com ataques cibernéticos patrocinados pelo Estado
Salt Typhoon: Parte de um problema mais amplo de ameaças patrocinadas pelo Estado
Ao longo do ano passado, a ASD emitiu vários pareceres conjuntos com parceiros internacionais para destacar a evolução das operações de intervenientes cibernéticos patrocinados pelo Estado, especialmente de intervenientes patrocinados pela China.
Em Fevereiro de 2024, a ASD juntou-se aos EUA e a outros parceiros internacionais na divulgação de um comunicado. Avaliou que os intervenientes cibernéticos patrocinados pela China procuravam posicionar-se nas redes de tecnologias de informação e comunicação para ataques cibernéticos perturbadores contra infraestruturas críticas dos EUA no caso de uma crise grave.
A ASD observou que as redes de infraestrutura crítica australianas podem ser vulneráveis a atividades cibernéticas maliciosas patrocinadas pelo Estado, semelhantes às observadas nos EUA.
“Esses atores conduzem operações cibernéticas na busca de objetivos estatais, inclusive para espionagem, exercendo influência maligna, interferência e coerção, e na busca de pré-posicionamento nas redes para ataques cibernéticos perturbadores”, escreveu a ASD no relatório.
VEJA: Austrália aprova lei inovadora de segurança cibernética
No relatório cibernético anual da ASD, a agência disse que a escolha de alvos e padrão de comportamento da China é consistente com o pré-posicionamento para efeitos perturbadores, em vez de operações tradicionais de espionagem cibernética. No entanto, afirmou que os ciberatores patrocinados pelo Estado também têm objetivos de coleta de informações e espionagem na Austrália.
“Os intervenientes estatais têm um interesse duradouro em obter informações sensíveis, propriedade intelectual e informações pessoalmente identificáveis para obter vantagens estratégicas e tácticas”, afirma o relatório. “As organizações australianas muitas vezes detêm grandes quantidades de dados, por isso são provavelmente um alvo para este tipo de atividade.”
Técnicas comuns usadas por invasores patrocinados pelo Estado
De acordo com Walsh, atores patrocinados pela China, como o Salt Typhoon, são “atores avançados de ameaças persistentes”. Ao contrário dos grupos de ransomware, eles não procuram ganhos financeiros imediatos, mas “querem acesso aos componentes essenciais sensíveis de infraestruturas críticas, como telecomunicações, para espionagem ou mesmo para fins destrutivos”.
“Seus ataques não visam bloquear sistemas e extrair lucros rápidos”, segundo Walsh. “Em vez disso, trata-se de campanhas secretas de espionagem cibernética patrocinadas pelo Estado, que utilizam técnicas difíceis de detectar para entrar em infraestruturas críticas e permanecer lá, potencialmente durante anos. Eles estão esperando para roubar dados confidenciais ou até mesmo interromper ou destruir ativos no caso de um conflito futuro com a Austrália.”
A ASD alertou os defensores sobre as técnicas comuns que estes agentes de ameaças patrocinados pelo Estado utilizam.
Compromissos na cadeia de abastecimento
O compromisso das cadeias de abastecimento pode funcionar como uma porta de entrada para redes-alvo, de acordo com a ASD. A agência observou: “A gestão do risco da cadeia de abastecimento cibernética deve constituir um componente significativo da estratégia global de segurança cibernética de uma organização”.
Vivendo das técnicas da terra
Uma das razões pelas quais os actores patrocinados pelo Estado são tão difíceis de detectar, de acordo com a ASD, é porque utilizam “ferramentas de administração de rede integradas para cumprir os seus objectivos e evitar a detecção, misturando-se com as actividades normais do sistema e da rede”. Estas chamadas técnicas de “viver da terra” envolvem esperar para roubar informações da rede de uma organização.
Técnicas de nuvem
Os agentes de ameaças patrocinados pelo Estado adaptam as suas técnicas para explorar sistemas em nuvem para espionagem à medida que as organizações migram para infraestruturas baseadas em nuvem. A ASD disse que as técnicas para acessar os serviços em nuvem de uma organização incluem “ataques de força bruta e pulverização de senhas para acessar contas de serviços altamente privilegiadas”.
VEJA: Como a IA está mudando a equação de segurança da nuvem
Como se defender contra ameaças cibernéticas
Existem algumas semelhanças nas técnicas dos agentes de ameaças e nas fraquezas dos sistemas que exploram. A ASD afirmou que os ciberatores patrocinados pelo Estado utilizam frequentemente dados anteriormente roubados, tais como informações de rede e credenciais de incidentes de segurança cibernética anteriores, para promover as suas operações e reexplorar dispositivos de rede.
Felizmente, as empresas podem proteger-se contra ataques cibernéticos. No início deste ano, a TechRepublic consolidou conselhos de especialistas sobre como as empresas podem se defender contra as ameaças cibernéticas mais comuns, incluindo zero-days, ransomware e deepfakes. Essas sugestões incluíram manter o software atualizado, implementar soluções de segurança de endpoint e desenvolver um plano de resposta a incidentes.