NotPetya: Um dos maiores ataques hackers da história

Introdução

Você já imaginou um ataque hacker em larga escala capaz de se propagar tão subitamente a ponto de paralisar sistemas críticos no mundo inteiro? E o pior: um ataque cibernético motivado por interesses geopolíticos, disfarçado sob a fachada de um simples pedido de resgate. Na madrugada de 27 de junho de 2017, um evento bizarro deu início a esse pesadelo: em uma empresa na Ucrânia, um computador ligou, moveu um arquivo suspeito para a pasta do Windows e reinicia, sozinho. Esse foi o gatilho para o NotPetya, um malware devastador que rapidamente se espalhou, infectando sistemas de empresas, bancos e até órgãos governamentais. O resultado foi um verdadeiro caos nos sistemas de informação da Ucrânia e dezenas de outros países, causando prejuízos estimados em bilhões de dólares. Neste texto, vamos explorar a fundo a anatomia desse ataque, entender por que ele foi tão destrutivo e desvendar seus reais objetivos.

Contextualização Geopolítica

A escalada de tensões e conflitos entre Rússia e Ucrânia precede o ataque cibernético. Desde 2014, com a deposição de um presidente ucraniano pró-Rússia, os confrontos armados se intensificaram. Com a evolução da tecnologia da informação, esses conflitos ganharam uma nova e perigosa dimensão. Para as agências governamentais russas, ficou claro que ataques cibernéticos seriam uma forma mais simples, barata e eficiente de atingir a Ucrânia, podendo comprometer redes industriais, sistemas elétricos e, principalmente, a economia do país. Dentro desse cenário, um nome se destaca: a agência de inteligência militar russa (GRU). Este grupo se tornou o principal vetor da guerra digital, operando sob o codinome Sandworm (Verme de Areia). Atraindo alguns dos hackers mais talentosos do mundo, o Sandworm demonstrou grande interesse em reinventar as estratégias de guerra por meio do ciberespaço. Foi esse grupo que se tornou responsável por criar o NotPetya, um poderoso malware que seria utilizado para invadir os sistemas ucrânianos no dia 27 de junho de 2017. A escolha da data do ataque, não foi aleatória. O ataque ocorreu na véspera do Dia da Constituição da Ucrânia. Esta jogada estratégica visava maximizar o dano simbólico e garantir que empresas e órgãos governamentais estivessem menos preparados para responder, devido ao feriado nacional.

O NotPetya

Agora, vamos mergulhar na anatomia do próprio NotPetya e como ele funciona. O nome NotPetya (Não Petya) foi dado por ter sido construído sobre o código-base do ransomware Petya, mas com uma diferença crucial de intenção. O Petya original era, de fato, um ransomware clássico: seu objetivo era criptografar dados confidenciais e valiosos, exigindo um resgate financeiro em troca da chave de recuperação. O NotPetya, contudo, não visava o lucro. Ele possuía um caráter puramente destrutivo. A ideia central era iniciar o processo de criptografia de dados de forma irreversível, sem salvar as chaves de descriptografia. Dessa forma, mesmo que a vítima pagasse o resgate, a recuperação dos dados era tecnicamente impossível.

Hackear as redes de um país inteiro é uma tarefa complexa, dada a dificuldade de encontrar uma vulnerabilidade de conexão e contornar os mecanismos de defesa. No entanto, os hackers do Sandworm encontraram um método incrivelmente engenhoso, explorando o software M.E.Doc. Este programa de administração de impostos era de uso obrigatório para praticamente todas as empresas na Ucrânia. Isso o tornou o vetor perfeito para alcançar milhares de sistemas corporativos de uma só vez.

Os atacantes comprometeram, de forma silenciosa, o sistema do M.E.Doc. Em seguida, usaram uma atualização legítima do software para distribuir o malware para os computadores de inúmeras empresas ucranianas. Uma vez que um único computador era infectado, o NotPetya iniciava sua missão de propagação interna, agindo como um worm devastador em três etapas:

1. Propagação Interna (Rede Local): Ele tentava se espalhar por meio da rede local (LAN)

.2. Roubo de Credenciais (Mimikatz): Em seguida, ele utilizava o Mimikatz, uma ferramenta criada originalmente pelo engenheiro Benjamin Delpy para provar uma falha de segurança do Windows. O NotPetya utilizava essa ferramenta para roubar as credenciais de usuários e administradores armazenadas no sistema e se mover lateralmente na rede com privilégios.

3. A Exploração (EternalBlue): Se as alternativas anteriores falharem, o NotPetya recorria a uma das vulnerabilidades mais notórias: o EternalBlue. Essa falha de segurança no Windows explorava o protocolo SMB (usado para compartilhamento de informações em rede) para executar código malicioso e se espalhar de forma autônoma.

Enquanto o malware se propagava, ele executava seu objetivo principal: a criptografia. Em vez de criptografar arquivo por arquivo, o NotPetya visava o Registro Mestre de Inicialização (MBR) do sistema, impedindo que o computador inicializasse. Após essa criptografia destrutiva, ele forçava a reinicialização. Ao ligar, a tela exibia uma mensagem padrão de ransomware, solicitando $300 em Bitcoin para o resgate. Essa tela, no entanto, era apenas uma cortina de fumaça, visto que os dados haviam sido destruídos sem possibilidade de recuperação.

Impactos

O NotPetya provou que a estratégia da agência russa de inteligência militar (GRU) foi bem-sucedida em seu objetivo de causar caos. A paralisação de inúmeros sistemas na Ucrânia gerou um prejuízo que rapidamente se tornou bilionário em diversos setores, reverberando globalmente.

Na Ucrânia, bancos e estabelecimentos foram forçados a interromper pagamentos e saques. Multinacionais que operam globalmente, mas com presença na Ucrânia, sofreram danos catastróficos. A gigante do transporte marítimo Maersk Line, por exemplo, teve que paralisar suas operações logísticas, resultando em perdas estimadas em até $ 300 milhões. O malware se espalhou por dezenas de países, incluindo a própria Rússia, acarretando em prejuízos que, na soma final, ultrapassaram os $ 10 bilhões, solidificando o NotPetya como o ataque cibernético mais caro da história.

Outro impacto crucial foi o acirramento das tensões geopolíticas entre a Rússia e diversos países do Ocidente. Após agências de inteligência atrelarem a autoria do ataque à Rússia, as relações internacionais ficaram ainda mais polarizadas no ciberespaço.

No entanto, o ataque do NotPetya também gerou alguns impactos positivos, funcionando como um despertar para o mundo corporativo e governamental. Ele forçou um maior foco e investimento na implementação de tecnologias de segurança da informação, na criação de planos de resiliência e na regulamentação dos setores de TI. O NotPetya deixou claro que o ciberespaço não é uma “terra sem lei” e que os riscos digitais causam danos reais e mensuráveis à infraestrutura e à economia global.

Conclusão

O NotPetya foi muito mais do que um ransomware destrutivo; foi um marco na história da guerra cibernética.

Ao expor a vulnerabilidade do software M.E.Doc e utilizar ferramentas poderosas como o EternalBlue, o grupo Sandworm demonstrou a capacidade de um ataque patrocinado por um estado-nação de causar prejuízos na casa dos bilhões de dólares e paralisar a infraestrutura global. O custo final do ataque não foi apenas medido em dinheiro, mas também na perda irreparável de dados essenciais em hospitais, empresas de logística e grandes corporações farmacêuticas.

No entanto, a verdadeira lição do NotPetya reside no “despertar” que ele provocou. Ele encerrou a ingenuidade de que a guerra se limita ao campo físico, provando que a infraestrutura crítica de qualquer país pode ser desestabilizada remotamente, com objetivos geopolíticos claros.

Graças a esse evento, a cibersegurança deixou de ser um custo operacional secundário e se tornou uma prioridade estratégica de negócios e de governo. Hoje, a vigilância constante, a aplicação imediata de patches de segurança e a implementação de planos robustos de resiliência são exigências mínimas para proteger redes contra o próximo grande evento de ciberataque, que pode estar sempre à espreita.

Fontes:

UOL:  Guerra entre Rússia e Ucrânia

VARONIS: O que é Mimikatz? Guia completo

1KOSMOS:O que é NotPetya? O maior ciberataque moderno da história?

Cybernews Brasil (youtube) :O hack mais destrutivo já usado: NotPetya