Trace Id is missing

Defender a Ucrânia: Primeiras Lições da Guerra Cibernética

As operações de ciberinfluência são uma tática imperante a ser utilizada na guerra contra a Ucrânia

A história registada de todas as guerras normalmente inclui um relato dos primeiros tiros e quem os testemunhou. Cada relato fornece um vislumbre não só do início de guerra, mas da natureza da era em que as pessoas viviam.

Os historiadores que discutem os primeiros tiros da Guerra Civil Americana em 1861, descrevem normalmente mosquetes, canhões e veleiros à volta de um forte perto de Charleston, Carolina do Sul.

Eventos escalaram para o início da Primeira Guerra Mundial em 1914 quando terroristas à vista de todos numa rua em Sarajevo usaram granadas e uma pistola para assassinar o arquiduque do Império Austro-húngaro.

Foi preciso esperar até aos julgamentos de guerra de Nuremberga para compreender totalmente o que aconteceu perto da fronteira polaca 25 anos mais tarde. Em 1939, tropas da SS nazi vestiram uniformes polacos e encenaram um ataque contra uma estação de rádio alemã. Adolf Hitler citou tais ataques para justificar uma invasão de guerra-relâmpago que combinou tanques, aviões e tropas para arrasar cidades e civis polacos.

Cada um destes incidentes também fornece um relato da tecnologia dos tempos, tecnologia que teria um papel na guerra que se seguiu e nas vidas das pessoas que a viveram.

A guerra na Ucrânia segues este padrão. As forças armadas russas atravessaram a fronteira ucraniana a 24 de fevereiro de 2022, com uma combinação de tropas, tanques, aviões e mísseis cruzeiro. Mas os primeiros tiros foram na verdade disparados horas antes quando o calendário ainda dizia 23 de fevereiro. Envolveram uma ciberarma chamada “Foxblade” que foi lançada contra computadores na Ucrânia. Refletindo a tecnologia do nosso tempo, os primeiros a observar o ataque estavam do outro lado do mundo, a trabalhar nos Estados Unidos em Redmond, Washington.

Acima de tudo, isto captura a importância de dar um passo atrás e pensar cuidadosamente nos primeiros meses da guerra na Ucrânia, que tem sido devastadora para o país em termos de destruição e perda de vida, incluindo civis inocentes. Embora ninguém possa prever quanto tempo esta guerra durará, já é evidente que reflete uma tendência testemunhada noutros grandes conflitos dos últimos dois séculos. Os países fazem guerra utilizando a tecnologia mais recente, e as guerras em si aceleram alterações tecnológicas. É, portanto, importante avaliar continuamente o impacto da guerra no desenvolvimento e na utilização da tecnologia.

A invasão russa depende, em parte, de uma estratégia cibernética que inclui, pelo menos, três esforços distintos e, por vezes, coordenados: ciberataques destrutivos na Ucrânia, penetração em redes e espionagem fora da Ucrânia e operações de ciberinfluência a visar pessoas em todo o mundo. Este relatório fornece uma atualização e uma análise de cada uma destas áreas e da coordenação entre as mesmas. Também oferece ideias sobre como contrariar melhor estas ameaças nesta guerra e além, com novas oportunidades para governos e o setor privado trabalharem melhor em conjunto.

Os aspetos cibernéticos da guerra atual estende-se muito além da Ucrânia e refletem a natureza única do ciberespaço. Quando países enviam código para a batalha, as suas armas movem-se à velocidade da luz. Os caminhos globais da Internet significam que as ciberatividades eliminam muita da proteção de longa data fornecida por fronteiras, muros e oceanos. E a própria Internet, ao contrário da terra, do mar e do ar, é uma criação humana que depende de uma combinação de operação, proteção e propriedade dos setores público e privado.

Isto, por seu turno, requer uma nova forma de defesa coletiva. Esta guerra opõe a Rússia, um grande poder cibernético, não só contra uma aliança de países. A ciberdefesa da Ucrânia depende criticamente de uma coligação de países, empresas e ONGs.

O mundo pode agora começar a avaliar os pontos fortes e fracos iniciais e relativos das ciberoperações ofensivas e defensivas. Onde é que as defesas coletivas estão a frustrar com êxito os ataques e onde estão a ser insuficientes? Que tipos de inovações tecnológicas estão a acontecer? E, criticamente, que passos são necessários para defender eficazmente contra ciberataques no futuro? Entre outras coisas, é importante basear estas avaliações em dados precisos e não nos deixarmos enganar por uma falsa sensação de tranquilidade devido à perceção externa de que a ciberguerra na Ucrânia não tem sido tão destrutiva como alguns temiam.

Este relatório oferece cinco conclusões dos primeiros quatro meses da guerra:

Primeiro, a defesa contra uma invasão militar requer agora para a maioria dos países a capacidade de desembolsar e distribuir operações digitais e recursos de dados além de fronteiras e para outros países.

A Rússia, sem surpresa, visou o datacenter governamental da Ucrânia num ataque antecipado de mísseis cruzeiro, e outros servidores no local estavam similarmente vulneráveis a ataques de armas convencionais. A Rússia também direcionou os seus ataques destrutivos “wiper” para redes de computador no local. Mas o governo da Ucrânia manteve com êxito as operações civis e militares ao agir rapidamente para desembolsar a sua infraestrutura digital para a cloud pública, onde tem estado alojada em datacenters em toda a Europa.

Isto envolveu passos urgentes e extraordinários do setor de tecnologia, incluindo da Microsoft. Embora o trabalho do sector de tecnologia tenha sido vital, também é importante pensar sobre as lições duradouras que resultam destes esforços.

Segundo, avanços recentes em informações sobre ciberameaças e proteção de pontos finais ajudaram a Ucrânia a resistir a uma elevada percentagem de ciberataques destrutivos russos

Uma vez que as ciberatividades são invisíveis ao olho nu, são mais difíceis para jornalistas e até para muitos analistas militares monitorizarem. A Microsoft viu as forças armadas russas lançar múltiplas vagas de ciberataques destrutivos contra 48 agências e empresas ucranianas distintas. Estes procuraram penetrar domínios de rede ao comprometer inicialmente centenas de computadores e, depois, espalhar malware desenhado para destruir o software e dados em milhares de outros.

As táticas cibernéticas russas na guerra têm diferido daquelas implementadas no ataque de NotPetya contra a Ucrânia em 2017. Esse ataque utilizou malware destrutivo “wormable” que podia saltar de um domínio de computador para outro e, assim, atravessar fronteiras para outros países. A Rússia tem sido cuidadosa em 2022 para limitar “software wiper” destrutivo a domínios de rede específicos dentro da própria Ucrânia. Mas os próprios ataques destrutivos recentes e em curso têm sido sofisticados e mais amplos do que muitos relatórios reconhecem. E as forças armadas russas continuam a adaptar estes ataques destrutivos a necessidades bélicas em constante alteração, incluindo ao associar ciberataques com a utilização de armas convencionais.

Um aspeto determinante destes ataques destrutivos até agora tem sido a força e o êxito relativo das ciberdefesas. Embora sem serem perfeitas, e alguns ataques destrutivos tiveram êxito, estas ciberdefesas mostraram-se mais fortes do que as capacidades cibernéticas ofensivas. Isto reflete duas tendências importantes e recentes. Primeiro, os avanços em informações sobre ameaças, incluindo a utilização de inteligência artificial, ajudaram a tornar possível detetar estes ataques mais eficazmente. E segundo, a proteção de pontos finais ligados pela Internet tornou possível distribuir código de software protetor rapidamente, tanto para serviços cloud como para outros dispositivos de computação ligados, para identificar e desativar este malware. As inovações e medidas durante a guerra no governo ucraniano fortaleceram ainda mais esta proteção. Mas vigilância e inovação contínuas serão provavelmente necessárias para sustentar esta vantagem defensiva.

Terceiro, à medida que uma coligação de países se tem juntado para defender a Ucrânia, as agências de inteligência russas intensificaram as atividades de penetração de rede e espionagem visando governos aliados fora da Ucrânia.

Na Microsoft, detetámos iniciativas russas de intrusão em redes em 128 organizações em 42 países fora da Ucrânia. Embora os Estados Unidos tenham sido o alvo número um da Rússia, esta atividade também priorizou a Polónia, onde muita da entrega logística de ajuda militar e humanitária está a ser coordenada. As atividades russas também visaram os países bálticos, e durante os últimos dois meses tem havido um aumento em atividade semelhante a visar redes de computador na Dinamarca, na Noruega, na Finlândia, na Suécia e na Turquia. Também vimos um aumento de atividade semelhante a visar os ministérios dos negócios estrangeiros de outros países da OTAN.

A Rússia tem priorizado governos, especialmente entre membros da OTAN, como alvos. Mas a lista de alvos também incluiu equipas de especialistas, organizações humanitárias, empresas de TI e fornecedores de energia e outra infraestrutura crítica. Desde o começo da guerra, a escolha de alvos russa que identificámos tem tido êxito 29 por cento das vezes. Um quarto destas intrusões com êxito levou a extração não autorizada confirmada de dados de uma organização, embora, como é explicado no relatório, estes números provavelmente fiquem aquém do êxito russo real.

A nossa principal preocupação continua a ser sobre computadores governamentais em execução no local em vez de na cloud. Isto reflete o estado atual e global da ciberespionagem ofensiva e da ciberproteção defensiva. Como o incidente da SolarWinds demonstrou há 18 meses, as agências de inteligência da Rússia têm capacidades extremamente sofisticadas para implantar código e operar como Ameaça Avançada Persistente (APT que pode obter e transferir informações confidenciais de uma rede de forma contínua. Tem havido avanços substanciais na proteção defensiva desde essa altura, mas a implementação destes avanços continua mais desequilibrada em governos europeus do que nos Estados Unidos. Como resultado, fraquezas defensivas coletivas significativas mantêm-se.

Quarto, em coordenação com estas outras ciberatividades, as agências russas estão a realizar operações de ciberinfluência globais para apoiar os seus esforços bélicos.

Estas combinam táticas desenvolvidas pelo KGB durante várias décadas com novas tecnologias digitais e a Internet para dar às operações de influência no estrangeiro um alcance geográfico mais amplo, um maior volume, alvos mais precisos e grande velocidade e agilidade. Infelizmente, com planeamento e sofisticação suficientes, estas operações de ciberinfluência estão bem posicionadas para tirar partido da abertura de longa data de sociedades democráticas e da polarização pública que é característica dos tempos atuais.

À medida que a guerra na Ucrânia tem progredido, as agências russas estão a concentrar as suas operações de ciberinfluência em quatro alvos distintos. Estão a visar a população russa com o objetivo de manter o apoio à guerra. Estão a visar a população ucraniana com o objetivo de corroer a confiança na disponibilidade e na capacidade do país de resistir aos ataques russos. Estão a visar as populações americanas e europeias com o objetivo de enfraquecer a união ocidental e desviar críticas aos crimes de guerra das forças armadas russas. E estão a começar a visar populações de países não alinhados, potencialmente, em parte, para manter o apoio dos mesmos na Nações Unidas e noutros foros.

As operações de ciberinfluência baseiam-se e estão ligadas a táticas desenvolvidas para outras ciberatividades. Tal como as equipas de APT que trabalham nos serviços de inteligência russos, as equipas Manipuladoras Persistentes Avançadas (APM) associadas a agências do governo russo agem através de redes sociais e plataformas digitais. Estão a pré-posicionar narrativas falsas de formas semelhantes ao pré-posicionamento de malware e outro código de software. Depois, estão a lançar “notícias” amplas simultâneas destas narrativas desde sites geridos e influenciados pelo governo e a amplificar as narrativas através de ferramentas de tecnologia concebidas para explorar serviços de redes sociais. Exemplos recentes incluem narrativas sobre laboratórios biológicos na Ucrânia e várias iniciativas para ofuscar ataques militares contra alvos civis ucranianos.

Como parte duma nova iniciativa na Microsoft, estamos a utilizar IA, novas ferramentas de análise, conjuntos de dados mais amplos e uma crescente equipa de especialistas para monitorizar e prever esta ciberameaça. Com estas novas capacidades, estimamos que as operações de ciberinfluência russas aumentaram com êxito a propagação de propaganda russa desde o início da guerra em 216 por cento na Ucrânia e 82 por cento nos Estados Unidos.

Estas operações russas contínuas usam esforços sofisticados recentes para espalhar falas narrativas relacionadas com a COVID-19 em vários países ocidentais. Estas incluem operações de ciberinfluência financiadas pelo estado em 2021 que procuravam desencorajar a adoção da vacina em reportagens da Internet em inglês, ao mesmo tempo que encorajavam a utilização da vacina em sites em russo. Durante os últimos seis meses, operações de ciberinfluência russas semelhantes procuraram ajudar a inflamar a oposição pública a políticas relacionadas com a COVID-19 na Nova Zelândia e no Canadá.

Continuaremos a expandir o trabalho da Microsoft nesta área nas semanas e nos meses adiante. Isto inclui crescimento interno e através do acordo que anunciámos na semana passada para adquirir a Miburo Solutions, uma empresa líder em investigação e análise de ciberameaças que se especialize na deteção de e na resposta a operações de ciberinfluência estrangeiras.

Estamos preocupados que muitas operações de ciberinfluência russas atuais decorram atualmente durante meses sem deteção, análise e relatos públicos adequados. Isto afeta cada vez mais uma vasta gama de instituições importantes tanto no setor público como no privado. E quanto mais tempo durar a guerra na Ucrânia, mais importantes se tornarão estas operações para a própria Ucrânia. Isto porque uma guerra mais longa exigirá manter o apoio da população face ao desafio inevitável de maior fadiga. Isto deve acrescentar urgência à importância de fortalecer as defesas ocidentais contra estes tipos de ataques de ciberinfluência.

Finalmente, as lições da Ucrânia exigem uma estratégia coordenada e abrangente para fortalecer as defesas contra a gama completa de operações cibernéticas destrutivas, de espionagem e de influência.

Como a guerra na Ucrânia demonstra, embora haja diferenças entre estas ameaças, o governo russo não as realiza como esforços separados, e não as devemos colocar em silos analíticos separados. Além disso, as estratégias defensivas têm de considerar a coordenação destas ciberoperações com operações militares cinéticas, como testemunhado na Ucrânia.

São necessários novos avanços para frustrar estas ciberameaças e dependerão de quatro princípios comuns e, pelo menos a um alto nível, uma estratégia comum. O primeiro princípio defensivo deve reconhecer que as ciberameaças russas estão a ser promovidas por um conjunto comum de atores dentro e fora do governo russo e dependem de táticas digitais semelhantes. Como resultado, avanços em tecnologia digital, IA e dados serão necessários para as contrariar. Refletindo isto, um segundo princípio deve reconhecer que, ao contrário das ameaças tradicionais do passado, as respostas cibernéticas têm de contar com maior colaboração pública e privada. Um terceiro princípio deve aceitar a necessidade de colaboração multilateral próxima e comum entre governos para proteger sociedades abertas e democráticas. E um quarto e último princípio defensivo deve apoiar a liberdade de expressão e evitar a censura em sociedades democráticas, mesmo que sejam necessários novos passos para abordar a gama completa de ciberameaças que incluem operações de ciberinfluência.

Uma resposta eficaz tem de se basear nestes princípios com quatro pilares estratégicos. Estes devem aumentar as capacidades coletivas para (1) detetar, (2) defender contra, (3) interromper e (4) desencorajar melhor ciberameaças estrangeiras. Esta abordagem já se reflete em muitos esforços coletivos para abordar ciberataques destrutivos e espionagem cibernética. Também se aplicam ao trabalho crítico e contínuo necessário para abordar ataques de ransomware. Agora precisamos de uma abordagem semelhante e abrangente com novas capacidades e defesas para combater as operações de ciberinfluência russas.

Como discutimos neste relatório, a guerra na Ucrânia proporciona não só lições, mas também um apelo a medidas eficazes que serão vitais para a proteção do futuro da democracia. Enquanto empresa, estamos comprometidos a apoiar estes esforços, incluindo através de investimentos contínuos e novos em tecnologia, dados e parcerias que apoiarão governos, empresas, ONGs e universidades.

Para saber mais, leia o relatório completo.

Artigos relacionados

Relatório Especial: Ucrânia

A Microsoft partilha informações sobre ciberataques contra a Ucrânia, destacando detalhes no ataque e o contexto em torno do âmbito, da escala e dos métodos de atacantes de estado-nação baseados na Rússia.

Relatório de Ciber-resiliência

O Microsoft Security realizou um inquérito com mais de 500 profissionais de segurança para compreender as tendências de segurança emergentes e as principais preocupações entre responsáveis pela segurança de sistemas de informação.

Informações de biliões de sinais de segurança diários

Peritos em segurança da Microsoft esclarecem o panorama de ameaças de hoje em dia, fornecendo informações sobre tendências emergentes, bem como ameaças persistentes historicamente.