Você se lembra daquele documento malicioso que aproveitava uma vulnerabilidade no Word para baixar malware sem deixar rastros? A boa notícia é que a Microsoft lançou seu patch no dia 11 de abril, e sua instalação é recomendada com extrema urgência. A má notícia é que o bug foi descoberto em julho de 2016 e, durante os nove meses seguintes, foi usado em ataques na Rússia, Ucrânia, Austrália e Israel.
A designação oficial para a vulnerabilidade é CVE-2017-0199. Do ponto de vista técnico, ela já foi corrigida, e aqueles que usam as versões mais recentes do pacote Office (a partir da edição 2007 SP3) já devem estar protegidos. No entanto, sabemos muito bem que, por diferentes razões, muitos usuários e administradores decidem adiar a aplicação de hotfixes. Talvez o ambiente corporativo seja muito restrito, ou simplesmente usam cópias ilegais com sistemas de ativação que são neutralizados por meio do Windows Update. Mas os bugs não discriminam, e o que em outras circunstâncias seria um patch de rotina se transformou em uma odisseia que durou nove meses.
A história por trás do 0-day
A história nos leva a julho de 2016, quando o consultor Ryan Hanson descobriu o 0-day. Durante os três meses seguintes, ele trabalhou no bug para avaliar sua gravidade e potencial de combinação com outras falhas, antes de reportá-lo à Microsoft. Ao ver os resultados, a Microsoft concluiu que um patch rápido não seria suficiente para neutralizá-lo, e também não poderia compartilhar muitos dados sobre o assunto, ou alertaria os hackers. Naquele momento não havia indícios de que o 0-day estivesse exposto, mas isso mudou em janeiro deste ano, o que nos leva ao relatório original da FireEye. CVE-2017-0199 foi utilizado por “múltiplos agentes” para espalhar pelo menos três formas de malware, começando com FinSpy, Latentbot e Dridex. O caso do FinSpy é muito particular, já que também o conhecemos como FinFisher, um spyware usado por dezenas de governos ao redor do mundo.
As primeiras vítimas se limitaram à Rússia e à Ucrânia, demonstrando certo nível de precisão na campanha. Após acumular evidências adicionais, a FireEye entrou em contato com a Microsoft, mas a confirmação pela McAfee em 7 de abril essencialmente mudou o jogo, anunciando ao mundo inteiro a existência do 0-day. Dois dias depois, o mercado negro já oferecia variantes que exploravam a CVE-2017-0199 para distribuir o Dridex. Os ataques se deslocaram para a Austrália e outros países, com o objetivo de roubar fundos de contas bancárias. A Universidade Ben-Gurion, em Israel, anunciou que vários de seus funcionários foram hackeados “pós-patch” por atacantes ligados ao governo iraniano, que aparentemente assumiram o controle de suas contas de e-mail e ampliaram a distribuição de documentos maliciosos para mais de 250 alvos.
Desconhece-se o número final de pessoas afetadas e a quantia de dinheiro roubado. Além de a demora poder ser justificada, é imperativo o desenvolvimento de uma plataforma universal que permita coordenar melhor a comunicação entre pesquisadores de segurança independentes e corporações.
