Violação cibernética dos sistemas de água e esgoto dos EUA

A Agência de Segurança Cibernética e de Infraestrutura (CISA) emitiu um alerta sobre uma ameaça cibernética em curso aos sistemas de água e esgoto dos EUA, destacando também cinco incidentes ocorridos entre março de 2019 e agosto de 2021. Essas instalações são utilizadas para gerenciar e fornecer água potável para comunidades em todo o país. Este alerta surge poucos dias depois de o Secretário de Segurança Interna dos EUA ter explicado que ataques como esses podem representar riscos para a saúde e segurança dos cidadãos americanos.

Visão geral da violação

Um relatório conjunto da CISA, FBI, EPA e NSA afirmou que essa atividade envolve esforços para comprometer a integridade do sistema por meio de acesso não autorizado. Os agentes maliciosos utilizaram duas vias para acessar os sistemas da WWS: spear-phishing e por meio de sistemas operacionais (SO) e softwares desatualizados ou sem patches.

O relatório também detalhou os cinco ataques cibernéticos diferentes de 2019 ao início de 2021 direcionados ao Setor WWS:

• Um ex-funcionário de uma instalação WWS no Kansas tentou acessar remotamente um computador da instalação em março de 2019 usando credenciais que não haviam sido revogadas
• Comprometimento de arquivos e potencial ransomware Makop observado em uma instalação WWS em Nova Jersey em setembro de 2020
• Uma variante desconhecida de ransomware foi implantada contra uma instalação WWS em Nevada em março de 2021
• Apresentando... Ransomware ZuCaNo no computador SCADA de águas residuais de uma instalação WWS sediada no Maine em julho de 2021
• A Ransomware fantasma ataque contra uma instalação WWS na Califórnia em agosto de 2021

O que são esses ataques e o que posso fazer?

Spear Phishing

O spear-phishing é uma forma de ataque de phishing que visa uma pessoa ou organização específica, buscando acesso a informações confidenciais. Semelhante ao phishing tradicional, o spear-phishing consiste no envio de um e-mail falsificado para um alvo específico, previamente pesquisado online, com conteúdo exclusivo relacionado ao indivíduo visado. O whaling, por sua vez, é similar ao spear-phishing, mas tem como alvo executivos de alto escalão, numa tentativa de obter acesso a seus dados confidenciais.

O que fazer?

Ataques de phishing são uma das coisas mais fáceis de treinar seus funcionários para identificar e evitar. Siga estas práticas recomendadas para reduzir a probabilidade de ser vítima de um ataque de spear-phishing.

1. Treine seus funcionários sobre como identificar, evitar e excluir ataques de phishing
2. Teste seus funcionários com ataques de teste de phishing; retreine aqueles que falharem em seus testes
3. Compre e treine seus funcionários sobre como usar um Gerenciador de Senhas. Se você visitar um site de phishing e tentar inserir suas credenciais de senha usando um Gerenciador de Senhas, NÃO conseguirá. Funcionários que reutilizam senhas certamente inserirão suas credenciais.
4. Para proteger a Internet de ataques de phishing usando seu nome de domínio, configure SPF, DKIM e Registros DMARC para bloquear o recebimento de e-mails disfarçados de seu nome de domínio

SO e software sem patches

As atualizações (ou patches) são geralmente implementadas para corrigir problemas em dispositivos ou soluções de software. Muitas vezes, os fornecedores lançam patches para solucionar falhas ou vulnerabilidades de segurança críticas . A aquisição de software comercial pronto para uso (COTS) ajuda a garantir um ciclo de desenvolvimento constante, que inclui patches para o software que sua empresa utiliza. No entanto, é importante estar ciente de que todo software pode chegar ao fim de sua vida útil e ao fim do suporte, o que significa que o desenvolvedor não lançará mais patches para corrigir problemas. Nessas situações, você precisará atualizar para uma versão mais recente do hardware ou software para continuar recebendo patches para sua infraestrutura de TI.

O que fazer?

Toda pequena ou média empresa (PME) deve ter um processo para lidar com alertas de vulnerabilidades críticas (e correções) a fim de avaliar rapidamente os riscos e tomar decisões importantes e urgentes sobre como reagir. Com um Processo de Gerenciamento de Alertas de Vulnerabilidades (VAMP) implementado, você terá um guia claro sobre quando e qual a intensidade da ação necessária para lidar com uma determinada vulnerabilidade ou exposição.

Para manter-se sempre atualizado, é importante implementar uma solução de gerenciamento de patches baseada em nuvem para atualizar automaticamente o software sempre que e onde for necessário. A maioria dos provedores de serviços gerenciados utiliza uma das três principais soluções de monitoramento e gerenciamento remoto (RMM) ( Connectwise , Datto e Kaseya) para aplicar patches em seus sistemas gerenciados. Essas soluções de RMM também oferecem monitoramento e acesso remoto, além de serviços de aplicação de patches testados e validados para seus clientes.

Soluções independentes de gerenciamento de patches para empresas que não utilizam as soluções RMM mencionadas acima incluem ManageEngine e Automox.

Identidade e Acesso Gestão

Em uma das violações relatadas, um funcionário demitido tentou acessar um sistema que continha sua conta ativa. Certifique-se de ter processos robustos de integração e desligamento para conceder e revogar acesso em tempo hábil. Combine isso com um processo de auditoria trimestral para garantir a conformidade. Adicione autenticação de dois fatores e recursos de logon único (SSO) à sua empresa para simplificar as verificações de conformidade e melhorar a segurança geral.

Ransomware

O ransomware é um tipo de software malicioso projetado para bloquear o acesso a um sistema de computador e, mais importante, aos dados críticos que ele contém, até que uma quantia em dinheiro ou resgate seja paga, afetando a " disponibilidade " dos dados. Recentemente, o ransomware evoluiu para permitir que os hackers exportem os dados bloqueados para sites de armazenamento online e ameacem divulgá-los caso o resgate não seja pago, afetando a " confidencialidade " dos dados.

Tradicionalmente, os atacantes solicitam pagamento em bitcoin. No entanto, como demonstrado nos ataques ao Colonial Pipeline, os pagamentos em bitcoin são realizados em uma blockchain pública, o que permitiu a recuperação da maior parte do valor. Desenvolvimentos recentes em ransomware mostram hackers migrando para pagamentos em "criptomoeda Monero ", pois a própria blockchain oculta o endereço da carteira, o valor da transação e a contraparte paga, proporcionando um anonimato muito maior aos pagamentos em criptomoeda, algo essencial para que os criminosos protejam seus pagamentos contra recuperação.

O que fazer?

A melhor abordagem para se defender contra ransomware é a seguinte:

• Adotar autenticação de dois fatores para evitar uma violação de senha da VPN da sua empresa, serviços de e-mail e qualquer outro serviço crítico que seja diretamente acessível pela Internet
• Faça backup dos dados regularmente seguindo o Método de backup 3-2-1 para fazer backup de todos os seus dados críticos e confidenciais
• Treinar funcionários sobre como identificar e evitar ataques de phishing, que são a principal forma de ocorrência de ataques de ransomware
• Tenha um documentado e testado Plano de Continuidade de Negócios e Recuperação de Desastres (BCDR)

Fontes: 

TheHackerNotícias

Relatório Conjunto da CISA

Leituras adicionais:

Agências alertam sobre ameaças cibernéticas contínuas às instalações de tratamento de água

Agências alertam para ameaças cibernéticas aos sistemas de água e esgoto.

PCMagazine alerta sobre ameaças de ransomware contra sistemas de tratamento de água

Descubra como o CyberHoot pode proteger seu negócio.

Agende uma demonstração