Trace Id is missing

Defendendo a Ucrânia: as primeiras lições da guerra cibernética

As operações de influência cibernética são uma tática predominante usada na guerra contra a Ucrânia

A história registrada de cada guerra normalmente inclui um relato dos primeiros tiros disparados e de quem os testemunhou. Cada relato oferece um vislumbre não apenas do início de uma guerra, mas da natureza da época em que as pessoas viviam.

Os historiadores que discutem os primeiros tiros na Guerra Civil Americana em 1861 geralmente descrevem armas, canhões e navios à vela em torno de um forte perto de Charleston na Carolina do Sul.

Os eventos geraram uma espiral para o início da Primeira Guerra Mundial em 1914, quando terroristas à vista de todos em uma rua da cidade de Sarajevo usaram granadas e uma pistola para assassinar o arquiduque do Império Austro-Húngaro.

Os julgamentos de guerra de Nuremberg demorariam a entender completamente o que aconteceu perto da fronteira polonesa 25 anos depois. Em 1939, tropas nazistas da SS se vestiram com uniformes poloneses e realizaram um ataque contra uma estação de rádio alemã. Adolf Hitler citou esses ataques para justificar a invasão blitzkrieg que usou tanques, aviões e tropas para invadir as cidades e os civis poloneses.

Cada um desses incidentes também fornece um relato da tecnologia da época, tecnologia que desempenharia um papel na guerra que se seguiu e na vida das pessoas que a viveram.

A guerra na Ucrânia segue esse padrão. Os militares russos atravessaram a fronteira ucraniana em 24 de fevereiro de 2022, com uma combinação de tropas, tanques, aeronaves e mísseis de cruzeiro. Mas os primeiros tiros foram de fato disparados horas antes, quando o calendário ainda indicava 23 de fevereiro. Eles envolveram uma arma cibernética chamada "Foxblade" que foi lançada contra computadores na Ucrânia. Refletindo a tecnologia de nosso tempo, os primeiros a observar o ataque estavam a meio mundo de distância, trabalhando nos Estados Unidos, em Redmond, Washington.

Isso mostra a importância de dar um passo atrás e fazer um balanço dos primeiros meses da guerra na Ucrânia, que foi devastadora para o país em termos de destruição e perda de vidas, inclusive de civis inocentes. Embora ninguém possa prever quanto tempo essa guerra durará, já está claro que ela reflete uma tendência observada em outros grandes conflitos nos últimos dois séculos. Os países travam guerras usando a tecnologia mais recente, e as próprias guerras aceleram a mudança tecnológica. Portanto, é importante avaliar continuamente o impacto da guerra no desenvolvimento e no uso da tecnologia.

A invasão russa depende, em parte, de uma estratégia cibernética que inclui pelo menos três esforços distintos e, às vezes, coordenados, ataques cibernéticos destrutivos dentro da Ucrânia, penetração de rede e espionagem fora da Ucrânia e operações de influência cibernética direcionadas a pessoas em todo o mundo. Este relatório fornece uma atualização e análise de cada uma dessas áreas e a coordenação entre elas. Ele também fornece ideias sobre como combater melhor essas ameaças nesta guerra e depois dela, com novas oportunidades para que os governos e o setor privado trabalhem melhor juntos.

Os aspectos cibernéticos da guerra atual vão muito além da Ucrânia e refletem a natureza única do espaço cibernético. Quando os países enviam códigos para a batalha, suas armas se movem na velocidade da luz. Os caminhos globais da Internet significam que as atividades cibernéticas eliminam grande parte da proteção de longa data fornecida por fronteiras, muros e oceanos. E a própria Internet, diferentemente da terra, do mar e do ar, é uma criação humana que depende de uma combinação de propriedade, operação e proteção dos setores público e privado.

Isso, por sua vez, exige uma nova forma de defesa coletiva. Essa guerra coloca a Rússia, uma grande potência cibernética, não apenas contra uma aliança de países. A defesa cibernética da Ucrânia depende fundamentalmente de uma coalizão de países, empresas e ONGs.

O mundo agora pode começar a avaliar os pontos fortes e fracos iniciais e relativos das operações cibernéticas ofensivas e defensivas. Onde as defesas coletivas estão conseguindo impedir os ataques e onde não estão conseguindo? Que tipos de inovações tecnológicas estão ocorrendo? E, o que é mais importante, quais são as medidas necessárias para uma defesa eficaz contra ataques cibernéticos no futuro? Entre outras coisas, é importante basear essas avaliações em dados precisos e não se deixar enganar por uma sensação injustificada de tranquilidade devido à percepção externa de que a guerra cibernética na Ucrânia não foi tão destrutiva quanto alguns temiam.

Este relatório fornece cinco conclusões resultantes dos primeiros quatro meses da guerra:

Primeira conclusão: a defesa contra uma invasão militar exige agora, para a maioria dos países, a capacidade de desembolsar e distribuir operações digitais e ativos de dados através das fronteiras e em outros países.

Não foi surpresa a Rússia alvejar o data center governamental da Ucrânia em um ataque inicial com mísseis de cruzeiro, e outros servidores locais também ficaram vulneráveis a ataques com armas convencionais. A Rússia também direcionou seus ataques destrutivos "wiper" para redes de computadores locais. Mas o governo ucraniano conseguiu sustentar suas operações civis e militares agindo rapidamente para desembolsar sua infraestrutura digital para a nuvem pública, onde ela foi hospedada em data centers em toda a Europa.

Isso envolveu medidas urgentes e extraordinárias de todo o setor de tecnologia, inclusive da Microsoft. Embora o trabalho do setor de tecnologia tenha sido vital, também é importante pensar nas lições mais duradouras resultantes desses esforços.

Segunda conclusão: os recentes avanços na inteligência contra ameaças cibernéticas e na proteção de pontos de extremidade ajudaram a Ucrânia a resistir a uma alta porcentagem de ataques cibernéticos russos destrutivos

Como as atividades cibernéticas são invisíveis a olho nu, elas são mais difíceis de serem rastreadas pelos jornalistas e até mesmo por muitos analistas militares. A Microsoft viu os militares russos lançarem várias ondas de ataques cibernéticos destrutivos contra 48 agências e empresas ucranianas distintas. Eles tentaram penetrar os domínios de rede comprometendo inicialmente centenas de computadores e, em seguida, espalhando malware projetado para destruir o software e os dados de milhares de outros.

As táticas cibernéticas russas na guerra foram diferentes das utilizadas no ataque NotPetya contra a Ucrânia em 2017. Aquele ataque usou um malware destrutivo "tipo worm" que podia saltar de um domínio de computador para outro e, portanto, atravessar fronteiras para outros países. Em 2022, a Rússia teve o cuidado de limitar o "software wiper" destrutivo a domínios de rede específicos dentro da própria Ucrânia. Mas os ataques destrutivos recentes e contínuos foram sofisticados e mais difundidos do que muitos relatórios informaram. E o exército russo continua a adaptar esses ataques destrutivos às necessidades em constante mudança da guerra, inclusive combinando ataques cibernéticos com o uso de armas convencionais.

Um aspecto determinante desses ataques destrutivos até agora tem sido a força e o sucesso relativo das defesas cibernéticas. Embora não sejam perfeitas e alguns ataques destrutivos tenham sido bem-sucedidos, essas defesas cibernéticas se mostraram mais fortes do que as capacidades cibernéticas ofensivas. Isso reflete duas tendências importantes e recentes. Primeiro, os avanços na inteligência contra ameaças, incluindo o uso de inteligência artificial, ajudaram a tornar possível detectar esses ataques de forma mais eficaz. E, em segundo lugar, a proteção de pontos de extremidade conectados à Internet possibilitou a distribuição rápida de códigos de software de proteção para serviços em nuvem e outros dispositivos de computação conectados para identificar e desativar esse malware. As inovações e medidas em andamento durante a guerra com o governo ucraniano fortaleceram ainda mais essa proteção. No entanto, provavelmente serão necessárias vigilância e inovação contínuas para manter essa vantagem defensiva.

Terceira conclusão: como uma coalizão de países se uniu para defender a Ucrânia, as agências de inteligência russas intensificaram as atividades de penetração de rede e espionagem visando governos aliados fora da Ucrânia.

Na Microsoft, detectamos esforços russos de invasão de rede em 128 organizações em 42 países fora da Ucrânia. Embora os Estados Unidos tenham sido o alvo número um da Rússia, essa atividade também priorizou a Polônia, onde grande parte da entrega logística de assistência militar e humanitária está sendo coordenada. As atividades russas também tiveram como alvo os países bálticos e, nos últimos dois meses, houve um aumento de atividades semelhantes direcionadas a redes de computadores na Dinamarca, Finlândia, Noruega, Suécia e Turquia. Também observamos um aumento de atividades semelhantes direcionadas aos ministérios de relações exteriores de outros países da OTAN.

Os alvos russos priorizaram os governos, especialmente entre os membros da OTAN. Mas a lista de alvos também incluiu think tanks, organizações humanitárias, empresas de TI e fornecedores de energia e de outras infraestruturas essenciais. Desde o início da guerra, os alvos russos que identificamos foram invadidos em 29% das vezes. Um quarto dessas invasões bem-sucedidas levou à exfiltração confirmada dos dados da organização, embora, conforme explicado no relatório, isso provavelmente subestime o grau de sucesso russo.

Continuamos mais preocupados com os computadores do governo que estão sendo executados no local e não na nuvem. Isso reflete o estado atual e global da espionagem cibernética ofensiva e da proteção cibernética defensiva. Como o incidente da SolarWinds demonstrou há 18 meses, as agências de inteligência da Rússia têm recursos extremamente sofisticados para implantar códigos e operar como uma APT (ameaça avançada persistente) que pode obter e exfiltrar informações confidenciais de uma rede de forma contínua. Houve avanços substanciais na proteção defensiva desde aquela época, mas a implementação desses avanços continua mais desigual nos governos europeus do que nos Estados Unidos. Como resultado, permanecem fraquezas defensivas coletivas significativas.

Quarta conclusão: em coordenação com essas outras atividades cibernéticas, as agências russas estão realizando operações globais de influência cibernética para apoiar seus esforços de guerra.

Estas combinam táticas desenvolvidas pela KGB ao longo de várias décadas com novas tecnologias digitais e a Internet para proporcionar às operações de influência estrangeira um alcance geográfico mais amplo, maior volume, direcionamento mais preciso e maior velocidade e agilidade. Infelizmente, com planejamento e sofisticação suficientes, essas operações de influência cibernética estão bem posicionadas para aproveitar a abertura de longa data das sociedades democráticas e a polarização pública característica dos tempos atuais.

Com o avanço da guerra na Ucrânia, as agências russas estão concentrando suas operações de influência cibernética em quatro públicos distintos. Eles têm como alvo a população russa com o objetivo de manter o apoio ao esforço de guerra. Também têm como alvo a população ucraniana com o objetivo de minar a confiança na disposição e na capacidade do país de resistir aos ataques russos. Eles estão visando as populações americanas e europeias com o objetivo de minar a unidade ocidental e desviar as críticas dos crimes de guerra militares russos. E estão começando a visar populações em países não alinhados, possivelmente em parte para sustentar seu apoio nas Nações Unidas e em outros locais.

As operações russas de influência cibernética se baseiam e estão conectadas a táticas desenvolvidas para outras atividades cibernéticas. Assim como as equipes de APT que trabalham dentro dos serviços de inteligência russos, as equipes de APM (manipuladores avançados persistentes) associadas a agências governamentais russas agem por meio de redes sociais e plataformas digitais. Eles estão pré-posicionando narrativas falsas de forma semelhante ao pré-posicionamento de malware e outros códigos de software. Em seguida, estão lançando "reportagens" amplas e simultâneas dessas narrativas a partir de sites gerenciados e influenciados pelo governo e amplificando suas narrativas por meio de ferramentas tecnológicas criadas para explorar os serviços de redes sociais. Exemplos recentes incluem narrativas sobre laboratórios de armas biológicas na Ucrânia e vários esforços para ofuscar ataques militares contra alvos civis ucranianos.

Como parte de uma nova iniciativa da Microsoft, estamos usando IA, novas ferramentas de análise, conjuntos de dados mais amplos e uma equipe crescente de especialistas para rastrear e prever essa ameaça cibernética. Usando esses novos recursos, estimamos que as operações de influência cibernética russa aumentaram com sucesso a disseminação da propaganda russa após o início da guerra em 216% na Ucrânia e 82% nos Estados Unidos.

Essas operações russas em andamento se baseiam em esforços sofisticados recentes para disseminar narrativas falsas sobre a COVID-19 em vários países ocidentais. Isso incluiu operações de influência cibernética patrocinadas pelo Estado em 2021, que buscavam desencorajar a adoção da vacina por meio de relatórios na Internet em inglês e, ao mesmo tempo, incentivar o uso da vacina por meio de sites em russo. Nos últimos seis meses, operações similares de influência cibernética russa procuraram ajudar a inflamar a oposição pública às políticas da COVID-19 na Nova Zelândia e no Canadá.

Continuaremos a expandir o trabalho da Microsoft nesse campo nas próximas semanas e meses. Isso inclui o crescimento interno e o acordo que anunciamos na semana passada para adquirir a Miburo Solutions, uma empresa líder em análise e pesquisa de ameaças cibernéticas, especializada na detecção e resposta a operações de influência cibernética estrangeira.

Estamos preocupados com o fato de que muitas operações atuais de influência cibernética russa passam meses sem a devida detecção, análise ou relatório público. Isso afeta cada vez mais uma ampla variedade de instituições importantes nos setores público e privado. E quanto mais a guerra durar na Ucrânia, mais importantes essas operações provavelmente se tornarão para a própria Ucrânia. Isso se deve ao fato de que uma guerra mais longa exigirá a manutenção do apoio público diante do inevitável desafio de maior desgaste. Isso deve aumentar a urgência da importância de fortalecer as defesas ocidentais contra esses tipos de ataques de influência cibernética estrangeira.

Por fim, as lições da Ucrânia exigem uma estratégia coordenada e abrangente para fortalecer as defesas contra todas as variedades de operações cibernéticas destrutivas, de espionagem e de influência.

Como a guerra na Ucrânia mostra, embora existam diferenças entre essas ameaças, o governo russo não as utiliza como esforços separados e não devemos colocá-las em silos analíticos separados. Além disso, as estratégias defensivas devem considerar a coordenação dessas operações cibernéticas com operações militares em andamento, como ocorreu na Ucrânia.

São necessários novos avanços para impedir essas ameaças cibernéticas, e eles dependerão de quatro princípios comuns e, pelo menos a um nível elevado, de uma estratégia comum. O primeiro princípio defensivo deve reconhecer que as ameaças cibernéticas russas estão sendo promovidas por um conjunto comum de atores dentro e fora do governo russo e dependem de táticas digitais semelhantes. Como resultado, serão necessários avanços em tecnologia digital, IA e dados para combatê-los. Refletindo isso, o segundo princípio deve reconhecer que, diferentemente das ameaças tradicionais do passado, as respostas cibernéticas devem contar com uma maior colaboração pública e privada. O terceiro princípio deve abranger a necessidade de uma colaboração multilateral intensa e comum entre os governos para proteger as sociedades abertas e democráticas. E o quarto e último princípio defensivo deve defender a liberdade de expressão e evitar a censura em sociedades democráticas, mesmo que sejam necessárias novas medidas para lidar com toda a variedade de ameaças cibernéticas que incluem operações de influência cibernética.

Uma resposta eficaz deve se basear nesses princípios com quatro pilares estratégicos. Isso deve aumentar as capacidades coletivas para melhor (1) detectar, (2) defender-se, (3) interromper e (4) deter ameaças cibernéticas estrangeiras. Essa abordagem já está refletida em vários esforços coletivos para lidar com ataques cibernéticos destrutivos e espionagem cibernética. Ela também se aplica ao trabalho crítico e contínuo necessário para lidar com ataques de ransomware. Agora precisamos de uma abordagem semelhante e abrangente com novos recursos e defesas para combater as operações de influência cibernética da Rússia.

Conforme discutido neste relatório, a guerra na Ucrânia oferece não apenas lições, mas também um chamado à ação para medidas eficazes que serão vitais para a proteção do futuro da democracia. Como empresa, temos o compromisso de apoiar esses esforços, inclusive por meio de investimentos novos e contínuos em tecnologia, dados e parcerias que apoiarão governos, empresas, ONGs e universidades.

Para saber mais, leia o relatório completo.

Artigos relacionados

Relatório Especial: Ucrânia

A Microsoft compartilha insights sobre os ataques cibernéticos contra a Ucrânia, destacando os detalhes do ataque e o contexto em torno do escopo, da escala e dos métodos dos atacantes estado-nação baseados na Rússia.

Relatório de Resiliência Cibernética

A Segurança da Microsoft realizou uma pesquisa com mais de 500 profissionais de segurança para entender as tendências de segurança emergentes e as principais preocupações dos CISOs.

Insights de trilhões de sinais de segurança diários

Os especialistas em segurança da Microsoft esclarecem o panorama de ameaças atual, oferecendo insights sobre tendências emergentes, bem como ameaças que perduram ao longo do tempo.