Pelo menos uma das redes da Petrobrás e uma da Agência Nacional de Petróleo (ANP) podem se tornar alvos de intrusões a qualquer momento: um cibercriminoso está comercializando na dark web as informações sobre uma vulnerabilidade que supostamente pode dar acesso a elas. Para os dados de acesso à rede da Petrobrás o valor cobrado pelo hacker é de US$ 11 mil e para a rede da ANP US$ 2 mil, para depósito por meio de bitcoins.
Segundo a troca de mensagens na dark web à qual o CISO Advisor teve acesso, a vulnerabilidade nos dois casos é uma blind OOB RCE (ou Blind Out-of-band Remote Code Execution). Porém, o vendedor afirma que o acesso pode ser convertido para um verdadeiro RCE (remote code execution). Ele garante que no caso de conversão para RCE, de acordo com uma ‘técnica particular’ que ele ensinará, o privilégio de acesso às redes é de ‘root’.
Veja isso
Sites do governo brasileiro sob ataque
EUA comunicam ataque cibernético contra empresa de gás
O cibercriminoso que está vendendo as informações tem conhecimento do que sejam a ANP e a Petrobrás e sua importância para o país; ele define a ANP como um alvo de perfil elevado: “a ANP (Agência Nacional de Petróleo), um órgão do governo brasileiro que inspeciona e regula o petróleo no Brasil”. Numa FAQ, ele explica que na comparação com sua primeira venda, um acesso à rede do Ministério da Defesa da Sérvia, o preço para o acesso à rede da Petrobrás é de fato elevado.
O ponto de contato oferecido para a negociação é um endereço do protonmail.
O CISO Advisor informou o assunto às assessorias de imprensa da ANP e da Petrobrás, solicitando manifestação das organizações. A assessoria da ANP respondeu apenas, num e-mail sem a assinatura do jornalista, que a agência “tem mecanismos permanentes de proteção de segurança. O caso relatado será investigado. Agradecemos o reporte”.
Em e-mail ao CISO Advisor em 18 de setembro, a Petrobrás informou: “Os serviços de inteligência cibernética da Petrobras já haviam identificado esses anúncios em fóruns abertos na internet. A Petrobras conta com processos sólidos de proteção do seus ambientes digitais, alinhados as melhores práticas de mercado e aprimorando constantemente as ações preventivas. Em resumo, os sistemas da Petrobras foram protegidos, não identificando dano material, perda de integridade ou vazamento de dados”.
