Na última sexta-feira, a Internet cruzou as portas do fim de semana, mas não da melhor maneira. Vários sites importantes, entre eles Twitter, Netflix, Reddit e Spotify, começaram a exibir erros de acesso, embora nada houvesse de errado com suas infraestruturas. O novo ciberataque afetou a Dyn, uma das companhias mais importantes do mundo na distribuição de DNS. O ataque se concentrou especialmente sobre os Estados Unidos, e os dados disponíveis nas últimas 72 horas apontam para uma botnet baseada em um malware chamado Mirai.
O ataque à Dyn
Sabia-se que outro ciberataque estava prestes a golpear a infraestrutura da Internet. Por maiores que tenham sido os últimos eventos registrados, nunca desapareceu a sensação de que seus responsáveis "treinavam", preparando-se para algo enorme. Bem, ao que parece esse "algo" aconteceu na última sexta-feira, quando metade da Internet nos Estados Unidos e uma parte da Europa simplesmente desapareceu. Dezenas de sites com perfil muito alto foram afetados, alcançando todo tipo de gêneros e serviços: Netflix, Amazon, Spotify, HBO, PayPal, Twitter, Reddit, The Elder Scrolls Online, Electronic Arts, Starbucks, Quora, portais de notícias... a lista continua. O mais chamativo é que o ataque não foi dirigido a esses sites, mas sim a comprometer o sistema que nos permite acessá-los. Em outras palavras, atacou-se a companhia distribuidora de DNS Dyn, que muitos conheciam anteriormente como DynDNS.
Mirai: o malware dos zumbis
De acordo com o relatório publicado pela própria Dyn, o ataque DDoS começou pouco antes das 11:10 (UTC/GMT) da última sexta-feira e foi declarado como "resolvido" onze horas depois. Acreditou-se que o ataque tinha sido mitigado em duas ocasiões, mas a pausa média foi de cerca de três horas. Os efeitos do ataque atingiram os servidores da Dyn na costa leste dos Estados Unidos, embora na prática afetasse quase todo o território do país e parte da Europa. Com o passar do tempo, várias firmas de segurança conseguiram determinar que a botnet responsável pelo ciberataque estava baseada no malware chamado Mirai. Se o nome soa familiar, é porque se trata do mesmo malware utilizado contra o portal Krebs on Security e no DDoS recorde que derrubou o provedor francês OVH. A habilidade especial do Mirai é converter dispositivos como câmeras de vigilância, monitores de bebê e outros acessórios da famosa Internet das Coisas em um exército de zumbis capaz de desdobrar um poder devastador. Se isso parece pouco, o responsável pelo malware Mirai, que atende pelo pseudônimo "Anna-sempai", liberou seu código nas últimas semanas de setembro. Embora isso não signifique que a mesma botnet tenha participado dos três ataques, a intervenção do Mirai em todos os casos é muito clara.
Dispositivos inseguros
A firma de segurança Flashpoint compartilhou detalhes adicionais sobre os "zumbis" que atacaram a Dyn. Embora não se tenha descartado a possibilidade de múltiplas botnets combinadas terem participado do ataque, Flashpoint advertiu que os dispositivos baseados no hardware de uma companhia chinesa, XiongMai Technologies, foram os mais afetados. Isso nos lembra a falta de segurança e responsabilidade por parte de fabricantes que não protegem seus produtos corretamente. Todos esses acessórios saem à venda com uma senha interna de fábrica (hardcoded) que não pode ser alterada pelo usuário, e mais grave ainda é que deixam aberto o acesso a eles via telnet ou SSH, manjares servidos em bandejas de prata para o malware. Um simples varredura em busca de hardware vulnerável permitiu à Flashpoint encontrar mais de meio milhão, e ninguém sabe quantos um malware com persistência poderia achar. É exatamente como Martin McKeay, da Akamai, antecipou após o ataque à OVH: Apagões na Internet.
O futuro incerto
A dura verdade é que isso não vai terminar. Uma vez que se entendam completamente as capacidades do Mirai, talvez se possa contê-lo, mas as pessoas responsáveis pelos ataques são muito inteligentes e só precisam pegar seu código para criar algo mais astuto ainda. Talvez seja hora de colocar no banco dos réus a Internet das Coisas e implementar certificações obrigatórias que os fabricantes deverão seguir com o objetivo de garantir que seus produtos não comprometam o que já é uma infraestrutura muito delicada. Claro, isso se traduz em maiores gastos. A ideia de substituir hardware defeituoso e inseguro será resistida de ponta a ponta, no entanto, a mecânica de "correções e mitigação" está chegando ao seu limite.
Comunicado oficial: Dyn Status.
Fonte: Sophos Naked Security.
