Este grupo foi identificado como Void Blizzard pela Microsoft e Laundry Bear pelas autoridades holandesas.
Quem são os alvos?
Segundo os investigadores, os alvos incluem organizações dos setores governamental, defesa, saúde, media, transporte, educação e comunicação, tanto na Europa como na América do Norte. Os hackers têm usado credenciais roubadas e ferramentas disponíveis nos próprios sistemas das vítimas para recolher dados, muitas vezes sem serem detetados.
Nos Países Baixos, o grupo conseguiu aceder a várias agências estatais, incluindo a Polícia Nacional, tendo roubado dados de contacto de funcionários.
Além disso, empresas do setor militar, como contratantes da defesa e fabricantes de equipamentos aeroespaciais, também foram visadas. O objetivo principal parece ser recolher informação sobre a produção e envio de armas para a Ucrânia, bem como tecnologias militares que estão atualmente proibidas de exportação para a Rússia devido a sanções internacionais.
Técnicas simples, mas eficazes
Apesar de serem uma ameaça sofisticada, os hackers utilizam métodos relativamente simples, conhecidos como "living off the land" – aproveitam ferramentas legítimas já instaladas nos sistemas das vítimas para se infiltrar e evitar deteção.
A Microsoft observou que o grupo também utiliza APIs de serviços na cloud para aceder a caixas de email e até mensagens no Microsoft Teams. Em alguns casos, os hackers conseguiram ler emails e mensagens de múltiplos utilizadores, explorando permissões partilhadas entre contas.
Desde abril, começaram a usar também ataques de phishing personalizados para roubar palavras-passe.
Preocupações crescentes com a ciberespionagem russa
Este ataque faz parte de um esforço mais amplo da Rússia para interferir nas linhas de abastecimento da Ucrânia, numa altura em que o conflito com Moscovo continua. Outros grupos russos, como o Fancy Bear, também têm tentado sabotar o envio de armas para Kyiv, segundo os EUA e aliados.
O governo holandês alerta que o grupo tem sido difícil de detetar e que os seus métodos se confundem com outros ataques russos já conhecidos.
O que as organizações devem fazer?
A Microsoft recomenda às organizações as seguintes medidas para reforçar a sua cibersegurança:
- Ativar autenticação multifator (MFA);
- Implementar políticas de login baseadas em risco;
- Usar sistemas de gestão de identidade centralizados;
- Aplicar o princípio do mínimo privilégio nas contas de utilizador;
- Monitorizar regularmente a atividade de email.
Uma ameaça invisível, mas eficaz
John Hultquist, analista da Google, sublinha que este é mais um exemplo de como os cibercriminosos contribuem para as operações de espionagem estatal russa, mesmo usando ferramentas e técnicas comuns, tendo afirmado que “é um lembrete de que o ecossistema do crime digital é um multiplicador de força poderoso para os espiões cibernéticos russos”.
