Brasil está no radar de grupos chineses contra operadoras de telecom, diz Crowdstrike

O setor de telecomunicações entrou no foco de grupos ligados a Estados-nação, e o Brasil já faz parte desse cenário. Tratam-se de organizações de ciberespionagem ou ciberataque que atuam com apoio direto ou indireto de um governo. A avaliação foi feita ao TELETIME pelo vice-presidente sênior de operações contra adversários da CrowdStrike, Adam Meyers, com base no último relatório de busca de ameaças da empresa.

De acordo com o material, houve um aumento de 130% na atividade de Estados-nação contra o setor de telecomunicações globalmente no último ano. "A América Latina faz parte desse cenário, com certeza", afirmou Meyers. "Grupos ligados à China são sofisticados, ativos e suas táticas não respeitam fronteiras", comentou. 

"As operadoras no Brasil e em toda a região devem presumir que adversários sofisticados estão sondando suas redes com a mesma intensidade observada na América do Norte, Europa e Ásia", disse Meyers. "A América Latina faz parte desse cenário, com certeza", disse o executivo.

Um exemplo seria o grupo Glacial Panda, vinculado à China. Ele se destaca em ataques de "longo prazo" contra empresas de telecom, "modificando binários legítimos como o OpenSSH para permanecer oculto por meses ou anos". Meyers explicou que esse tipo de ação tem o objetivo de acessar dados sensíveis e o uso das redes das operadoras como "portais para que os adversários alcancem empresas clientes".

Conexões

"As empresas de telecomunicações têm redes complexas. Talvez mais do que outros ambientes. Muitas vezes, essas empresas precisam suportar versões legadas como 2G ou 3G, que não foram mantidas ou atualizadas ativamente em seu caminho para a obsolescência", comentou Meyers.

Segundo o porta-voz da CrowdStrike, as conexões diretas entre as operadoras são os alvos principais para grupos de ataque que buscam se mover de forma silenciosa entre as vítimas. Ele justificou a afirmação mencionando o grupo Limial Panda, que obtém acesso a redes por meio de servidores eDNS usados em roaming entre provedores.

Entre as medidas de proteção, Meyers destacou a necessidade de "implantar agentes avançados de detecção e resposta de endpoint (EDR) em tempo real", além de "auditar continuamente as políticas de controle de acesso à rede interna" e "manter a visibilidade sobre sistemas legados e não gerenciados com tecnologia Next-Gen SIEM".

O relatório também mostra que os ataques atuais acontecem de forma mais coordenada e rápida. Em vez de focar em um único sistema, os invasores conseguem se mover entre contas de usuários, serviços em nuvem e dispositivos conectados. Isso, segundo Meyers, é o que torna a detecção mais difícil.

Identidade

Para reduzir esse risco, ele disse que as empresas precisam acabar com a separação entre áreas e ferramentas de segurança. Para o executivo da CrowdStrike, só é possível identificar uma invasão a tempo quando há uma visão completa e integrada de toda a rede. Isso inclui desde o login dos funcionários aos sistemas em nuvem e servidores internos.

Inclusive, esse é o principal erro que empresas de telecomunicações brasileiras ainda cometem, segundo Meyers: tratar a identidade (nomes de usuário e senhas) como algo secundário.

"A identidade é o novo perímetro, e os adversários sabem disso. Eles roubam credenciais ou usam engenharia social para se passar por usuários confiáveis e, em seguida, usam esse acesso confiável para se infiltrar em sistemas de nuvem e endpoint, evitando a detecção", disse.

Dessa forma, a recomendação da companhia é adotar soluções de detecção e resposta a ameaças de identidade (ITDR) para evitar que o acesso legítimo de um usuário seja transformado em violação.