Várias agências de cibersegurança em todo o mundo, lideradas pelos Estados Unidos, emitiram um aviso conjunto sobre uma campanha contínua de piratas informáticos estatais da Rússia. Segundo o alerta publicado pelo IC3, o grupo associado ao Centro 16 do serviço federal de segurança russo (FSB) foca-se em equipamentos de rede com configurações fracas para se infiltrar nas infraestruturas críticas internacionais.
O documento, coassinado pela NSA, FBI, CISA e 15 outras agências governamentais de países como a Austrália, Reino Unido, Canadá, Nova Zelândia, Estónia, Finlândia, França e Itália, detalha o método exato dos atacantes. Conhecidos por designações como Berserk Bear, Energetic Bear, Crouching Yeti, Dragonfly, Ghost Blizzard e Static Tundra, estes elementos examinam ativamente intervalos de endereços IP ligados à internet em busca de qualquer router que ainda aceite credenciais de autenticação padrão do Simple Network Management Protocol (SNMP).
O roubo de configurações como ponto de entrada
Assim que encontram um equipamento vulnerável, os piratas informáticos emitem comandos utilizando endereços IP falsificados para copiar os ficheiros de configuração do dispositivo. Estes dados sensíveis são posteriormente extraídos através do Trivial File Transfer Protocol (TFTP) para servidores sob o controlo do Centro 16. Os setores que correm o maior risco com estas invasões incluem a energia, as comunicações, a saúde, os serviços financeiros, a defesa e as entidades governamentais.
Falhas antigas continuam a ser exploradas
O Centro Nacional de Cibersegurança do Reino Unido sublinhou na segunda-feira que o grupo também explora ativamente falhas amplamente conhecidas. Em agosto de 2025, o FBI já tinha alertado que esta mesma força estatal russa estava a visar o setor crítico tirando partido de uma vulnerabilidade severa na funcionalidade Smart Install do software Cisco IOS e Cisco IOS XE (identificada como CVE-2018-0171), numa atividade ilícita detetada desde novembro de 2021.
Para ajudar os administradores de sistemas a protegerem os seus ambientes, as autoridades publicaram diretrizes rigorosas. É imperativo que as organizações atualizem as comunicações para o SNMPv3, desativem o Cisco Smart Install, imponham palavras-passe únicas e fortes, e bloqueiem o tráfego TFTP e SNMP nas firewalls de perímetro. Todos os equipamentos em fim de vida útil devem ser substituídos imediatamente.
Um histórico de desmantelamento de operações
Este aviso global surge na sequência de uma intervenção policial internacional que desmantelou a FrostArmada, uma campanha independente atribuída ao grupo APT28 (também conhecido como Fancy Bear ou Forest Blizzard, ligado à unidade 26165 dos serviços secretos militares russos da GRU). Até dezembro de 2025, esta operação paralela tinha comprometido 18.000 equipamentos em 120 países.
Na campanha da FrostArmada, os piratas alteraram as definições de DNS em terminais de pequenos escritórios e redes domésticas das marcas MikroTik e TP-Link. O objetivo era redirecionar o tráfego de autenticação para servidores maliciosos e roubar credenciais e tokens OAuth do serviço Microsoft 365. A intervenção contou com o apoio do Departamento de Justiça dos EUA, do governo polaco e de várias empresas de cibersegurança, permitindo às autoridades norte-americanas remover remotamente as configurações maliciosas e forçar a ligação a resoluções legítimas de DNS.
Nenhum comentário
Seja o primeiro!