Paper Técnico de Autoria de Marcelo Branquinho apresentado durante o Congresso SAFE 2017, realizado em Roma, Itália.

1. RANSOMWARE EM INFRAESTRUTURAS CRÍTICAS. O
QUE NOS ESPERA DEPOIS DOS ATAQUES GLOBAIS
POR WANNACRYPT0R E NOTPETYA?
Marcelo Ayres Branquinho 1
Resumo
A segurança cibernética das infraestruturas críticas mundiais foi colocada em teste no último dia
12 de maio com o ataque global via Wannacry, um Ransomware tecnicamente simples e que
usava de uma vulnerabilidade antiga do sistema operacional Windows para se propagar.
Embora tenha sido um ataque importante e com sérias consequências, ele foi um ataque que
pôde ser contido com uso de contramedidas básicas como a simples atualização do sistema
operacional Windows.
Este trabalho objetiva detalhar as serías consequências de uma infecção por Ransomware em
redes de sistemas de controle industrial (ICS) de infraestruturas críticas.
O trabalho foi desenvolvido baseado nas boas práticas da norma ANSI/ISA-99 (atual IEC
62443) e tem como objetivo aumentar o nível de consciência das empresas globais quanto à
necessidade imediata de investimentos em segurança cibernética em redes industriais.
Para ilustrar as consequências de um ataque por Ransomware em ICS, foram elencados estudos
de caso de dois ataques em sistemas de controle industriais Brasileiros. O primeiro ataque
ocorreu em uma fábrica de móveis e o segundo em um centro de controle de uma importante
concessionária de energia. Em ambos os casos este estudo detalhou o tipo de Malware usado, as
consequências do ataque, prejuizos financeiros ocorridos e as contramedidas realizadas para o
retorno à operação.
A conclusão do trabalho provoca a reflexão sobre o que ainda está por vir após os ataques dos
Ransomwares Wannacry e Petya, mencionando os ataques que estão sendo desenvolvidos neste
momento, e qual impacto se deve esperar caso estes novos ataques atinjam redes de
infraestruturas críticas com baixo nível de segurança cibernética implementada.
Keywords: Ransomware, SCADA, Security, Malware, Attacks.
1 CEO da TI Safe Segurança da Informação Ltda, Brasil (http://br.linkedin.com/in/marcelobranquinho)

2. INTRODUÇÃO: O VULNERÁVEL AMBIENTE DAS REDES DAS
INFRAESTRUTURAS CRÍTICAS
Infraestruturas críticas são as instalações, serviços e bens que, se forem interrompidos ou
destruídos, provocarão sério impacto social, econômico e/ou político. Aqui, podemos citar
alguns exemplos, como empresas dedicadas a:
• Geração e distribuição de eletricidade;
• Telecomunicações;
• Fornecimento de água;
• Produção de alimentos e distribuição;
• Aquecimento (gas natural, óleo combustível);
• Saúde Pública;
• Sistemas de Transportes;
• Serviços financeiros;
• Serviços de Segurança (polícia, exército)
As infraestruturas críticas tem o papel de manter a nossa sociedade e economia funcionando,
seja fornecendo energia para nossas casas e nosso trabalho, roteando nossas chamadas
telefônicas, purificando a água que bebemos, aquecendo ou refrescando nossas residências,
cuidando dos nossos doentes ou mantendo nosso bancos funcionando de forma a facilitar o
giro de capital pela nossa economia, ou até mesmo nossas forças armadas que nos defendem das
ameaças externas, em suma, todas aquelas atividades que, mesmo que não percebamos, são
engrenagens que, sem as quais, a grande máquina que é nosso país, deixaria de funcionar ou o
faria de forma precária. Sendo assim é importante destacar quais são esses ativos, suas
localizações e como protegê-los, quer seja em um ataque terrorista, uma guerra ou mesmo um
desastre natural.
Os sistemas SCADA atuais que compoem as redes de controle das infraestruturas críticas
pouco se parecem com suas primeiras versões, lançadas nos anos 1970. Naquela época, quando
uma empresa era automatizada, as operações eram implementadas separadamente, em “ilhas”, e
seres humanos eram os responsáveis para sincronizar as etapas da produção. Atualmente, os
sistemas supervisórios apresentam funcionalidades complexas, integrando essas “ilhas” e
compondo uma base de dados fundamental para tomadas de decisão. Como consequência
natural, sistemas de ERP das redes corporativas (de Tecnologia da Informação – T.I.) foram
conectadas ao ambiente de automação para o provisionamento e controle da produção.

3. Apesar da evolução dos sistemas, a Tecnologia de Automação (T.A.) não incorporou controles
de segurança conhecidos na Tecnologia da Informação (T.I.), conferindo vulnerabilidades que,
quando exploradas, podem gerar danos à saúde, ao ambiente e a infraestrutura da planta, além
de interrupções na produção. Na integração das redes de T.A. (Tecnologia de Automação) e
T.I., as plataformas de desenvolvimento também sofreram (e continuam sofrendo) um processo
de migração. Dos antigos sistemas supervisórios desenvolvidos em plataformas operacionais em
sistemas Unix, executados em máquinas específicas como os Digital Vax e Alpha, observa-se a
mudança para sistemas desenvolvidos para plataformas em arquitetura x86 (como Windows
Server e Linux). Esta migração permitiu a redução de custos com infraestrutura e de
desenvolvimento de aplicativos, além de reduzir drasticamente o tempo de desenvolvimento dos
projetos. No entanto, as mudanças fizeram com que as redes de automação passassem a
conviver com novas vulnerabilidades para as quais não foram projetadas para lidar1
.
O HACKING ONTEM E HOJE
Nos Primórdios da computação, jovens passavam dias e noites estudando cada bit em busca de
vulnerabilidades e outras falhas pontuais nos programas da época. O sonho de todos eles era
explorar algum sistema de uma empresa famosa, ou de alguma organização do governo, seus
objetivos eram os mais variados, alguns relatam que gostavam da adrenalina, outros de vencer
desafios, alguns apenas buscavam fama e reconhecimento por parte da comunidade, tudo não
passava de aventura e jogos de ego. Com o tempo, os interesses, não só por parte dos jovens
nerds foram mudando, pessoas do mundo corporativo começaram a ver nisso uma enorme
fonte de espionagem e um mercado seleto e lucrativo.
A atividade de hackers e hacktivistas (ativistas que usam-se de meios digitais para praticar
seus atos) do mundo inteiro em sistemas de empresas e governos são divulgados pela
imprensa todos os dias. Estes ataques chamam a atenção principalmente porque mostram
como suas ferramentas de ataque estão cada vez mais poderosas e disponíveis ao público
geral habilitando até pessoas de menor conhecimento a desferir ataques contra seus alvos.
Sites institucionais, bases de usuários e senhas e os famosos “defacements”
(pixaçõespichações) já não parecem ser tão atraentes e os atacantes já perceberam que seus
ataques podem ser bem mais poderosos e destrutivos se realizados contra sistemas
industriais pois possuem uma segurança muito rasa – quando existente – além de terem
consequenciasconsequências muito maiores.

4. Se imaginarmos que a água que bebemos, a eletricidade que chega às nossas casas, a
sinalização dos transportes de massa (inclusive aéreos), o controle de usinas hidroelétricas e
nucleares, são controlados por sistemas de computação que podem ser potenciais alvos de
hackers, temos um cenário com um risco potencialmente grande. O que aconteceria por
exemplo no caso de uma invasão em sistemas de controle de uma estação de tratamento
de águas responsável pelo controle dos reagentes químicos que são misturados para
purificar a água que a população bebe? E se um ataque hacker fosse capaz de desabilitar,
mesmo que temporariamente, usinas hidroelétricas e nucleares causando blecautes nas
cidades? Todas estas ameaças à infraestrutura crítica são hoje bastante reais.
MALWARE, A ARMA DOS HACKERS
Malware, do termo em inglês “malicious software” – ou software malicioso, é um termo
comum no mundo da segurança da informação porém, porém um pouco confuso para os
demais profissionais. Comumente conhecido e generalizado como Vírus, malware agrupa
todo software ou programa criado com a intenção de abrigar funções para penetrar em
sistemas, quebrar regras de segurança, roubar informações e servir de base para demais
operações ilegais e/ou prejudiciais. O desenvolvimento de Malware moderno é hoje a
principal atividade hacker exercida no mundo pois permite a eles um rápido retorno
financeiro, principalmente através de ataques por um tipo específico de malware, o
Ransomware.
Ransomware é um tipo de malware que restringe o acesso ao sistema infectado e cobra um
resgate (normalmente em bitcoins) para que o acesso possa ser restabelecido, caso não
ocorra o pagamento do resgate, arquivos podem ser perdidos e até mesmo expostos na
Internet.
O Ransomware pode se propagar dentro de uma rede de uma infraestrutura crítica de
diferentes formas, dentre elas:
• Através de exploits. Softwares ou scripts projetados para explorar determinada
vulnerabilidade e ganhar execução de código.
• Através de mídias removíveis (Pen Drives, HD Externos) com autorun habilitado,
exploits para o navegador de arquivos, injeção de DLL ou execução deliberada.
• Através de pastas compartilhadas na rede, da mesma forma que as mídias
removíveis.

5. • Através da comunicação entre servidores de diferentes plantas de automação (OPC,
por exemplo)
• Pelo uso de redes móveis na rede de automação e da comunicação direta com a
internet sem filtros expondo a URLs maliciosas ou arquivos maliciosos.
• Através de anexos em emails e links maliciosos em redes sociais.
Infecções por Ransomware são um dos maiores pesadelos dos gestores de redes industriais.
Além das características destrutivas inerentes ao Ransomware, os mecanismos de
espalhamento normalmente inundam as redes de automação com pacotes de dados
indesejados e afetam gradativamente o tempo de resposta da rede de tempo real, até
paralisá-la por completo. Se comparado a uma rede de T.I., as consequências são muito
piores pois afetam diretamente as operações em sistemas SCADA ao:
• Bloquear o acesso às estações de supervisão e IHMs;
• Criptografar estações de programação SCADA;
• Criptografar bases de dados históricos e bancos de dados de produção;
• Criptografar estções de engenharia;
• Bloquear o acesso a sistemas de utilidades;
• Infectar outras plantas através da rede de automação e VPNs site-to-site;
2017, SURGEM OS PRIMEIROS ATAQUES GLOBAIS POR RANSOMWARE
O dia 12 de maio de 2017 foi marcado por uma série de ataques em escala global, fazendo
uso de versão atualizada do crypto-ransomware WanaCrypt0r. Notícias e relatórios
apontam que organizações públicas e privadas ao redor do mundo foram impactadas.
Os ataques WanaCrypt0r iniciam seu ciclo na organização através de um ataque de
phishing via E-mail, que inclui um link ou documento PDF maliciosos. O ataque de
phishing, obtendo sucesso, resulta na entrega do ransomware WanaCrypt0r na máquina
local e, consequentemente, tenta espalhar-se em larga escala na rede utilizando protocolo
SMB, atacando a vulnerabilidade ‘EternalBlue’ (CVE-2017-0144) em sistemas operacionais
Microsoft. Essa vulnerabilidade foi corrigida pela Microsoft em março de 2017 com o
patch MS17-010.

6. No Reino Unido, um pesquisador conhecido pelo apelido Malware Tech conseguiu
acidentalmente interromper a propagação do ataque. O pesquisador percebeu que o
programa tentava contatar um endereço de internet incomum
(iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com), que não estava registrado. Ele gastou o
equivalente a R$35,00 para comprar esse endereço e percebeu que a operação de registro
interrompeu o processo do programa de se propagar 2
.
No entanto, o estrago já havia sido feito e as consequências foram desastrosas para
empresas e governos ao redor do globo. Mais de 200.000 organizações em 150 países,
incluindo empresas de distribuição de energia, transportes ferroviários, indústrias
automobilíticas e governos foram afetados.
Como já era previsto, pouco tempo depois dos ataques por WannaCrypt0r, uma nova
geração de ataques ainda mais poderosa ocorreu no dia 27 de Junho de 2017, desta vez
baseado em uma nova geração de Ransomware denominado NotPetya.
O modus operandi do Ransomware NotPetya é basicamente o mesmo do WannaCrypt0r,
porém com uma importante diferença: o WannaCrypt0r criptografava o acesso aos
arquivos enquanto o NotPetya bloqueia completamente o acesso ao computador.
A máquina infectada pelo NotPetya perde imediatamente a capacidade de oferecer acesso
ao Windows. Enquanto o WannaCrypt0r fazia com que hospitais não tivessem acesso a
prontuários de seus pacientes, por exemplo, o NotPetya consegue ocultar o sistema
operacional e impedir a vítima de fazer qualquer uso da máquina3
.
Empresas situadas em diversos países também sofreram prejuízos com a onda de ataques.
Na Ucrânia ao tentar realizar um simples saque de dinheiro nos caixas eletrônicos, os
usuários eram saudados com uma mensagem dos hackers requisitando uma quantia
equivalente a 1 mil Reais para conseguir acessar sua conta bancária e realizar operações4
.
ESTUDOS DE CASO DE ATAQUES POR RANSOMWARE NO BRASIL
Para ilustrar as consequências de um ataque por Ransomware em infraestruturas críticas,
este estudo apresenta dois casos de ataques em sistemas de controle industriais Brasileiros.
O primeiro ataque ocorreu em uma fábrica de móveis localizada no estado de Goiás, no
centro-oeste do Brasil. Neste caso um tipo de Ransomware denominado cryptoRSA4096-
Ransomware infectou as estações de supervisão SCADA (baseadas no sistema operacional
Windows) e as máquinas de programação da indústria.

7. Figura 1: Impressão da tela da estação de supervisão SCADA infectada
Este ataque levou a indústria à parada de operação por 15 dias. Com isto a indústria perdeu
os dados de clientes e fornecedores, a folha de pagamento e a supervisão da produção.
Embora o valor do resgate pedido pelos hackers tenha sido relativamente baixo
(aproximadamente U$ 3061,00), a empresa se recusou a pagar, o que gerou um prejuízo de
aproximadamente U$ 100.000,00 por causa da parada na produção e atrasos nas entregas.
O segundo caso de ataque por Ransomware ocorreu em um centro de controle de uma
importante concessionária de energia localizada no sul do Brasil. Neste caso o Ransomware
usado para o ataque foi o CryptoLocker, que infectou máquinas de supervisão (HMIs)
dentro do centro de controle.
Figura 2: Impressão da tela da estação de supervisão (HMI)infectada

8. O Vetor de infecção foi um Pen drive usado na porta USB da estação de supervisão. O
Ransomware se espalhou através de arquivos compartilhados e pastas mapeadas na rede
infectando outras 3 estações de superviçsõ situadas no mesmo segmento da rede de
automação. A principal consequ~encia foi a perda momentânea da supervisçao e controle
da distribuição de energia.
Os hackers pediram um resgate de U$ 300,00 por máquina infectada (no caso 4 máquinas
foram infectadas), mas a concessionária de energia não pagou o resgate. Nenhuma perda
financeira ocorreu pois o controle foi automaticamente transferido para um segundo centro
de controle que não estava fisicamente conectado ao centro de controle principal. As
máquinas infectadas puderam ser reinstaladas através de backups limpos e atuais.
CONCLUSÃO: O QUE O FUTURO NOS RESERVA?
A análise dos códigos maliciosos do WannaCrypt0r e do NotPetya revela algo em comum:
ambos fizeram uso da mesma vulnerabilidade de segurança denominada EternalBlue. o
Exploit ficou em destaque como parte dos arquivos publicados pelo grupo de hacking
conhecido como Shadow Brokers. O grupo afirmou ter roubado o EternalBlue como parte de
uma série de ferramentas de hacking da Agência de Segurança Nacional dos EUA.
Acredita-se fortemente que a NSA tenha sido a responsável pelo desenvolvimento do
exploit - que é oficialmente conhecido como MS17-010 - ou comprado de outros.
Desde que o ShadowBrokers publicou o EternalBlue online, ele foi utilizado no
desenvolvimento de Malware por grupos hackers. As culminações deste desenvolvimento
foram WannaCrypt0r e o NotPetya5
.
Tudo indica que estes ataques globais foram apenas o começo de algo muito pior que vem
por aí. O sucesso dos primeiros ataques certamente incentivará grupos hackers de todo o
mundo a desenvolver Ransomwares cada vez mais poderosos e focados na paralisação de
serviços essenciais em redes de infraestruturas críticas. Assim como o EternalBlue, existem
muitos outros exploits (inclusive os que exploram vulnerabilidades do tipo zero day) que
serão usados por grupos hackers nos próximos ataques.
A tendência é que cada ataque global seja mais poderoso que o anterior, e que utilize de
vulnerabilidades ainda sem patches conhecidos, o que fará com que os ataques não possam
ser parados.
As infraestruturas críticas globais devem imediatamente se proteger aumentando o
investimento em segurança cibernética e aumentando a maturidade de suas defesas de

9. acordo com as boas práticas dos Frameworks de segurança globais, ou serão vítimas dos
novos e poderosos ataques que surgirão muito em breve.
REFERÊNCIAS BIBLIOGRÁFICAS
[1] Segurança de Automação Industrial e SCADA/ Marcelo Ayres Branquinho ... [et
al.]. 1. ed. - Rio de Janeiro : elsevier, 2014
[2] Ten Sistemas e Redes (No date) Ransomware e o ataque global do dia 12 de maio.
Available: http://www.ten.com.br/ransomware-e-o-ataque-global-do-dia-12-de-maio/
[Acessed August 1st 2017]
[3] Tecnologia IG (No date) Entenda por que o ataque com ransomware NotPetya é
mais grave que o WannaCry. Available: http://tecnologia.ig.com.br/2017-06-
27/ransomware-notpetya-wannacry.html. [Acessed August 1st 2017]
[4] Tecnoblogs Tecnologia e Informações (No date) Vírus Petya atinge Bancos,
Aeroportos Hospitais e até Chernobyl. Available: http://tecnoblogs.com.br/virus-petya-
atinge-bancos-aeroportos-hospitais-e-ate-chernobyl/ [Acessed August 1st 2017]
[5] Wired (No date) WannaCry and Petya are just the beginning. It's going to be an
'ugly few years'. Available: http://www.wired.co.uk/article/whats-next-petya-
ransomware-wannacry [Acessed August 1st 2017]