Os primeiros ataques com o código malicioso Industroyer aconteceram por volta do Natal de 2016, quando piratas tentaram atingir uma estação de eletricidade em Kiev para apagar as luzes de parte da capital ucraniana. Desde então, a ferramenta não foi mais detetada até agora, durante a invasão russa, quando surgem indícios de que o coletivo Sandworm tentou um novo ataque com este código.
Autoridades ucranianas e a empresa eslovaca de cibersegurança ESET revelam ter detetado atividade da Unit 74455 da Sandworm e que estava a tentar atacar subestações ucranianas com o Industroyer 2, uma variante que pode interagir diretamente com o equipamento nas instalações elétricas e enviar comandos para controlar o fluxo de energia. Esta é a terceira tentativa do género detetada pelas autoridades.
A CERT-UA (autoridade ucraniana de resposta a emergências informáticas) revela que a atividade da Sandworm foi detetada na sexta-feira e interrompida a tempo de evitar que qualquer apagão pudesse ser provocado. A manobra de contingência passou também por divergir o fluxo desta estação para outras nove subestações, explica o ArsTechnica. Viktor Zhora, responsável pela agência ucraniana, afirma que “a tentativa de ataque informático não afetou o fornecimento de eletricidade. Foi prontamente detetada e mitigada”. A agência remete mais esclarecimentos para um comunicado a ser divulgado futuramente.
A intrusão no sistema da instalação elétrica já terá acontecido em fevereiro, mas a tentativa de desencadear uma nova fase do ataque só começou na sexta-feira passada. Além da disrupção, o código estava programado ainda para destruir dados presentes nos computadores de diversas formas, tentando atingir sistemas Linux, Solares e Windows. “Tivemos muita sorte em conseguir responder de forma atempada a este ciberataque”, assume Zhora.
Esta variante do malware comporta-se de forma semelhante ao original e foi alterada para também incluir um componente para desabilitar sistemas de proteção que interrompem o fornecimento de eletricidade caso sejam detetadas condições de perigo físico. As parecenças entre as duas ferramentas levam os especialistas a acreditar que os autores de ambas são os mesmos, embora ainda não se conheçam muitos detalhes sobre esta nova versão.
“O facto de que este grupo ainda usa e mantém esta ferramenta e utiliza-a para atacar sistemas de controlo industrial é significativo. Significa que estão a desenvolver ferramentas que lhes permitem interferir em aspetos como eletricidade e energia. Então, são definitivamente uma ameaça para outros países também”, adverte Jean-Ian Boutin, responsável da ESET.
