
Um exercício militar internacional, realizado em março em uma base
militar na Estônia, tentou prever as consequências de um novo tipo de
conflito, uma guerra cibernética. A operação Locked Shields não envolveu
explosões, tanques ou armas. Na operação, uma equipe de especialistas
em TI atacou outras nove equipes, espalhadas em toda a Europa.
Nos terminais da equipe de ataque, localizados no Centro de
Excelência da Otan em Defesa Cibernética Cooperativa, foram criados
vírus ao estilo "cavalo de Troia" e outros tipos de ataques pela
internet que tentavam sequestrar e extrair dados das equipes inimigas. O
objetivo era aprender como evitar estes ataques em redes comerciais e
militares e mostrou que a ameaça cibernética está sendo levada a sério
pela aliança militar ocidental.
O fato de a Otan ter estabelecido seu centro de defesa na Estônia
também não é por acaso. Em 2007 sites do sistema bancário, da imprensa e
do governo do país foram atacados com os chamados DDoS (sigla em inglês
para "distribuição de negação de serviço") durante um período de três
semanas, o que agora é conhecido como 1ª Guerra da Web.
Os responsáveis seriam hackers ativistas, partidários da Rússia,
insatisfeitos com a retirada de uma estátua da época da União Soviética
do centro da capital do país, Tallinn. Os ataques DDoS são diretos:
redes de milhares de computadores infectados, conhecidas como botnets,
acessam simultaneamente o site alvo, que é sobrecarregado pelo tráfego e
fica temporariamente fora de serviço.
Os ataques DDoS são, no entanto, uma arma primitiva quando comparados
com as últimas armas digitais. Atualmente, o temor é de que a 2ª Guerra
da Web, se e quanto acontecer, possa gerar danos físicos, prejudicando a
infraestrutura e até causando mortes.
Trens descarrilados e blecautes
Para Richard A. Clarke, assistente de combate ao terrorismo e segurança
cibernética para os presidentes americanos Bill Clinton e George W.
Bush, ataques mais sofisticados podem fazer coisas como descarrilar
trens em todo o país, por exemplo. "Eles podem causar blecautes, e não
apenas cortando o fornecimento de energia, mas danificando de forma
permanente geradores que levariam meses para serem substituídos. Eles
podem fazer coisas como causar explosões em oleodutos ou gasodutos. Eles
podem fazer com que aeronaves não decolem", disse.
No centro do problema estão interfaces entre os mundos físico e
digital conhecidas como sistemas Scada, ou Controle de Supervisão e
Aquisição de Dados, na sigla em inglês. Estes controladores
computadorizados assumiram uma série de tarefas que antes eram feitas
manualmente. Eles fazem de tudo, desde abrir as válvulas de oleodutos a
monitorar semáforos.
Em breve estes sistemas serão comuns em casas, controlando coisas
como o aquecimento central. O detalhe importante é que estes sistemas
usam o ciberespaço para se comunicar com os controladores, receber a
próxima tarefa e reportar problemas. Caso hackers consigam entrar nestas
redes, em teoria, conseguiriam também o controle da rede elétrica de um
país, do fornecimento de água, sistemas de distribuição para indústria
ou supermercados e outros sistemas ligados à infraestrutura.
Dispositivos vulneráveis
Em 2007, o Departamento de Segurança Nacional dos Estados Unidos
demonstrou a potencial vulnerabilidade dos sistemas Scada. Com um
software, o departamento entrou com comandos errados e atacou um grande
gerador a diesel. Vídeos da experiência mostram o gerador chacoalhando
violentamente e depois a fumaça preta toma toda a tela.

O temor é de que, um dia, um governo hostil, terroristas ou até
hackers que apenas querem se divertir possam fazer o mesmo no mundo
real. "Nos últimos meses temos vistos várias coisas", disse Jenny Mena,
do Departamento de Segurança Nacional. "Atualmente existem mecanismos de
buscas que podem encontrar aqueles dispositivos que estão vulneráveis a
um ataque pela internet. Além disso, vimos um aumento no interesse
nesta área na comunidade de hackers e de hackers ativistas."
Uma razão de os sistemas Scada terem uma possibilidade maior de
ataques de hackers é que, geralmente, engenheiros criam o software, ao
invés de programadores especializados. De acordo com o consultor de
segurança alemão Ralph Langner, engenheiros são especialistas em suas
áreas, mas não em defesa cibernética.
"Em algum momento eles aprenderam a desenvolver software, mas não se
pode compará-los a desenvolvedores de software profissionais que,
provavelmente, passaram uma década aprendendo", disse.
E, além disso, softwares de infraestrutura podem estar muito
expostos. Uma usina de energia, por exemplo, pode ter menos antivírus do
que um laptop comum. Quando as vulnerabilidades são detectadas, pode
ser impossível fazer reparos imediatos no software.
"Para isso, você precisa desligar e ligar novamente (o computador ou
sistema). E uma usina de energia precisa funcionar constantemente, com
apenas uma parada anual para manutenção", disse Langner. Portanto, até o
desligamento anual da usina, não se pode instalar novo software.
Stuxnet
Em 2010, Ralph Langner e outros dois funcionários de sua companhia
começaram a investigar um vírus de computador chamado Stuxnet e o que
ele descobriu foi de tirar o fôlego.
O Stuxnet parecia atacar um tipo específico de sistema Scada, fazendo
um trabalho específico e, aparentemente, causava pouco dano a qualquer
outro aplicativo que infectava.
Era inteligente o bastante para encontrar o caminho de computador em
computador, procurando sua presa. E também conseguia explorar quatro
erros de software, antes desconhecidos, no Windows, da Microsoft.
Estes erros são extremamente raros o que sugere que os criadores do Stuxnet eram muito especializados e tinham muitos recursos.
Langner precisou de seis meses para analisar apenas um quarto do
vírus. Mesmo assim, os resultados que conseguiu foram espantosos.
O alvo do Stuxnet era o sistema que controlava as centrífugas de urânio na usina nuclear de Natanz, no Irã.
Atualmente se especula que o ataque foi trabalho de agentes
americanos ou israelenses, ou ambos. Qualquer que seja a verdade,
Langner estima que o ataque o Stuxnet atrasou em dois anos o programa
nuclear iraniano e custou aos responsáveis pelo ataque cerca de US$ 10
milhões, um custo relativamente pequeno.

Otimistas e pessimistas
O professor Peter Sommer, especialista internacional em crimes
cibernéticos afirma que a quantidade de pesquisa e a programação
sofisticada significam que armas do calibre do Stuxnet estariam fora do
alcance da maioria, apenas disponíveis para governos de países
avançados. E governos, segundo o especialista, costumam se comportar de
forma racional, descartando ataques indiscriminados contra alvos civis.
"Você não quer causar, necessariamente, interrupção total. Pois os
resultados podem ser imprevistos e incontroláveis. Ou seja, apesar de
alguém poder planejar ataques que possam derrubar o sistema financeiro
mundial ou a internet, por quê alguém faria isto? Você pode acabar com
algo que não é tão diferente de um inverno nuclear."
No entanto, o consultor Ralph Langner afirma que, depois de infectar
computadores no mundo todo, o código do Stuxnet está disponível para
qualquer que consiga adaptá-lo, incluindo terroristas.
"Os vetores de ataque usados pelo Stuxnet podem ser copiados e usados
novamente contra alvos completamente diferentes. Até há um ano, ninguém
sabia de uma ameaça tão agressiva e sofisticada. Com o Stuxnet, isso
mudou. (…). A tecnologia está lá, na internet."
Langner já fala em uma certeza: se as armas cibernéticas se
espalharem, os alvos serão, na maioria, ocidentais, ao invés de alvos em
países como o Irã, que tem pouca dependência da internet.
E isto significa que as velhas regras de defesa militar, que
favoreciam países poderosos e tecnologicamente avançados como os Estados
Unidos, já não se aplicam mais.
BBC Brasil