Entenda o ataque do exército Eletrônico Sírio ao site do The New York Times

O Exército Eletrônico Sírio (EES) hackeou na terça-feira (27/08) nove sites, incluindo o The NewYork Times, Twitter e seu site de imagens, o Twimg. Alguns visitantes dos sites afetados foram redirecionados para servidores controlados pelos invasores que tinham a intenção de iniciar ataques com malwares.

Durante toda a terça e quarta-feira, muitos dos sites continuavam indisponíveis ou intermitentes, enquanto isso uma batalha entre hackers e equipes de segurança se desenrolava, com cada um tentando ganhar controle ajustando definições de DNS. A invasão dos sites variou geograficamente, devido aos registros de DNS estarem em várias partes do mundo, recebendo os updates em intervalos diferentes.

Os domínios afetados são todos registrados pela Melbourne IT, da Austrália, que confirmou na quarta-feira (28/8) que seus sistemas foram comprometidos. No mesmo dia, a empresa confirmou que os dados haviam sido restaurados, os registros travados para evitar mudanças e as contas legítimas usadas pelos hackers desabilitadas. Além disso, continua a investigação sobre a invasão.

Os ataques acontecem no momento em que os Estados Unidos e seus aliados – Liga Árabe, Austrália, Reino Unido, França, Itália, Arábia Saudita, e Turquia – discutem sobre uma possível intervenção militar em resposta uso de armas químicas no subúrbio de Damasco. Os ataques, com mais de mil pessoas mortas, foram atribuídos ao regime do Presidente Bashar al-Assad, entretanto o governo nega a autoria.

O conselheiro de segurança da F-Secure Labs, Sean Sullivan, diz que os ataques do EES foram um aviso aos Estados Unidos. “Resumindo: se os Estados Unidos lançarem um míssil contra a Síria, vai haver uma resposta cibernética”, escreveu Sullivan, no Twitter.

O EES já hackeou sites jornalísticos e perfis do Twitter para promover o que eles dizem ser uma visão negativa do regime Sírio. Entre as vítimas desses ataques estão a Associated Press, os canais CBS, NPR e BBC. Também já atacou o site de jornalismo satírico, The Onion.

Na quarta-feira pela manhã, o site próprio do EES estava inacessível, sugerindo um ataque de DDoS.

Os primeiros sinais do ataque DNS do Exército Eletrônico Sírio apareceram quando o The Times ficou fora do ar. Pouco tempo depois, a porta-voz do site, Eileen Murphy, disse pelo Twitter que a queda era “provavelmente resultado de um ataque externo”. Mais detalhes foram divulgados no próprio site, mas tanto o artigo quanto as outras páginas ficaram boa parte do dia inacessíveis.

As configurações de DNS e alguns detalhes de registro foram modificados pelos hackers, o nome de usuário virou SEA (sigla em inglês para o EES), o endereço para “Syrian Arab Republic” e o e-mail para [email protected]. Antes da conexão ser fechada, o site do The New York Times apresentava a mensagem “Hackeado pelo EES”.

Twitter e Huffington Post

O EES também assumiu a autoria dos ataques via Twitter. “Olá @Twitter, olhe seu domínio, é propriedade da #SEA =)”, dizia a mensagem com link para os registros da rede social. Após comprometer o DNS de vários sites, o EES redirecionou os visitantes para servidores hackeados e pode também ter interceptado o tráfego de e-mail das páginas comprometidas. “Os três domínios são registrados pela Melbourne IT. Uma vez que conseguem o registro, o EES pode redirecionar todos os DNS, e-mails e visitantes para esses sites usando o servidor que eles escolherem”, explica o chefe de pesquisas da Rapid7, HD Moore.

Jaime Blasco, do Alien Vault, disponibilizou uma lista com todos os sites que aparentemente redirecionavam para servidores controlados pelo EES. Além do The New York Times, outro jornal também entrou na lista: Huffington Post.

Batalha online

Durante a terça-feira, os administradores do Times travaram uma batalha com o EES, para ver quem ficava com o controle do site. O CEO da CloudFlare, Matthew Prince, diz que sua companhia estava ajudando a resolver o problema junto com duas das maiores empresas provedoras de DNS, a OpenDNS e o Google, para prevenir que os usuários fossem redirecionados para sites maliciosos. “Técnicos das três empresas estavam em uma conference call e descobriram o que parecia ser um malware que redirecionava o Times”, explica Prince. “Os times trabalharam para corrigir os registros de DNS dos clientes”.

Inúmeros outros sites – incluindo Google.com, Microsoft.com e Yahoo.com – também estão registrados na Melbourne IT, o que leva eles a crer que o EES pode realizar mais ataques. “Esses domínios não mostram nenhum indício de estarem comprometidos, mas se os invasores encontrarem uma fraqueza no sistema, eles podem estar em risco”, pontua Moore.

A Melbourne IT diz ter rastreado o ataque a uma conta nos Estados Unidos. “O que sabemos é que o nome de usuário é válido e a senha foi utilizada para acessar nossos sistemas”, diz o executivo chefe da empresa ao Australia’s Financial Review. “Como os invasores conseguiram o usuário, não sabemos com certeza. Estamos trabalhando com o pessoal dos Estados Unidos para descobrir o que acontece e se a vulnerabilidade está no nosso lado, no lado deles ou com o usuário”.

De acordo com pronunciamento da Melbourne IT, nem todas as tentativas de invasão do DNS foram bem sucedidas, graças a alguns usuários terem controles de segurança adicionais. “Para domínios críticos aconselhamos o uso de outros fatores de segurança, o que evitou o acesso dos invasores”.

Qualquer possível alvo do EES deve aumentar a segurança de seus registros DNS, especialmente agora que o grupo pode aumentar os ataques online.

Política

Segundo as Organização das Nações Unidas, a guerra civil Síria já tirou mais de 100 mil vidas. Muitos especialistas em assuntos sobre o Oriente Médio veem que o vencedor do conflito vai ganhar muito poder na região. A Bloomberg reportou, em junho, que os Estados Unidos e seus aliados se recusaram a intervir no país, pois acreditavam que os dias de poder do presidente Assad estavam contados. Em vez disso, com o apoio do Irã, o regime conseguiu vitórias significativas.

Agora uma intervenção militar parece certa, após a Liga Árabe condenar o governo sírio de ser autor dos ataques com armas químicas e por 2 anos de “crimes de genocídio”. Os 22 membros do Conselho de Segurança da ONU devem agir, e dizem que a situação “demanda que todos os responsáveis por esse crime hediondo sejam apresentados aos tribunais internacionais para julgamento”.