A Kaspersky anunciou a descoberta de uma operação de ciberespionagem chamada de “Red October”, tão ameaçadora como as já conhecidas Stuxnet e Flame. A rede não parece ser patrocinada por um país. É um trabalho freelance, e bem profissional.

Embora tenha sido descoberta recentemente, a Red October vem trabalhando desde 2007, de acordo com os nomes de domínio e vários detalhes escavados do código executável. Entre as ações da rede estão coleta de grandes quantidades de informações qualificadas e retiradas de alvos importantes por todo o mundo, incluindo os EUA, mas a maioria deles no Leste Europeu e na Ásia Central.

A Red October infecta seus alvos através de vulnerabilidades no Word e no Excel. Uma vez invadidos, os dispositivos se conectam a servidores de comando e recebem pacotes personalizados de malware, assinados com códigos de vinte dígitos específicos para cada vítima. A partir daí, coletam dados de instituições governamentais, embaixadas, empresas de pesquisa, instalações militares e fornecedoras de energia, incluindo nuclear. Em meia década, a Red October foi capaz de se aprofundar em locais estratégicos usando seu estoque sempre crescente de credenciais e logins furtados para inteligentemente driblar a segurança.

A alta periculosidade da rede está no fato de que ela não apenas infecta, rouba e faz keylogging em computadores, mas também tem a capacidade de entrar em celulares (iOS, Windows Mobile e Nokia) quando eles se conectam às máquinas infectadas e de copiar contatos, ligações, mensagens e histórico de navegação. Além disso, ela pode varrer equipamentos de rede e discos removíveis, copiar bancos de dados de e-mail do Outlook e outros servidores POP/IMAP, e mesmo pegar arquivos deletados de pendrives usando seu próprio mecanismo de recuperação.

Ainda não se sabe quem está por trás de tudo isso. Segundo a Kaspersky, os golpes tiveram origem provavelmente na China, e gírias e termos russos em algumas partes do código indicam que os operadores falam russo. A maioria dos servidores de controle e comando e domínios pode ser localizada na Rússia e na Alemanha, mas uma cadeia de proxies pode muito bem estar mascarando o QG real da operação. E, mesmo tendo tamanho e complexidade dignos de operações bancadas por governos, não há dados que os liguem a eles de alguma forma. A Red October é uma colecionadora solitária, sentada sozinha numa cibersala, rodeada de pilhas de informações confidenciais.

A intenção da rede de espionagem ainda é desconhecida. As infecções são mais proeminentes na Rússia (35), mas Afeganistão (10), Irã (7), EUA (6) e até mesmo a Suíça (5) também estão no mapa. Mas não há como dizer o que foi feito com as informações. (mais…)