Redes de energia elétrica de ataque cibernético:
Uma nova arma estratégica
Dr. Edward M. Roche
Força-Tarefa EMP em Segurança Nacional e Interna
4 de julho de 2021 – Tradução: Google
Índice
ANÁLISES PRINCIPAIS ……………………………………………………………………………… .1
ANTECEDENTES ………………………………………………………………………………… .2
ATACANDO AS REDES ELÉTRICAS – UMA FERRAMENTA DE CONFLITO ESTRATÉGICO ………………… .4
CYBER TEM ESPIONAGEM AUTOMATIZADA …………………………………………………… .6
A ESCOLHA DOS VETORES DE ATAQUE CIBERNÉTICO DEPENDE DO ALVO ………………… .. 7
RECOLHA DE INTELIGÊNCIA PRÉ-ATAQUE SELECCIONA O ALVO …………………… 8
UMA ARMA CIBERNÉTICA É CONSTRUÍDA COM UMA CARGA E VETOR ……………………… .13
OBTER ACESSO AO SITE REQUER RECURSOS DE INTELIGÊNCIA ………………… ..15
O ATAQUE CIBERNÉTICO DA REDE ELÉTRICA PODE TER MÚLTIPLOS OBJETIVOS … 16
LIÇÕES APRENDIDAS COM ATAQUES CIBERNÉTICOS ANTERIORES CONTRA AS REDES ELÉTRICAS… ..16
O PRIMEIRO ATAQUE CIBERNÉTICO DO MUNDO À INFRAESTRUTURA CRÍTICA …………… 17
O TEXAS BLACKOUT MOSTRA O QUE PODE ACONTECER E COM QUE RAPIDEZ ……………… 21
BLACKOUT MUMBAI CONFIRMA AMEAÇA DE MALWARE PRÉ-POSICIONADO … 23
ATAQUES À REDE DA AMÉRICA VIRÃO DE NAÇÕES E TERRORISTAS …. 26
ATORES NÃO ESTATAIS TÊM MEIOS LIMITADOS
MAS PODE CAUSAR DANOS SUBSTANCIAIS …………………………………………………… .27
O IRÃ TEM UM REGISTRO COMPROVADO DE GRANDES ATAQUES CIBERNÉTICOS ………………………… .27
NO CIBERNÉTICO, A CHINA É UMA AMEAÇA MORTAL PARA OS ESTADOS UNIDOS ………………… .29
A RÚSSIA ESTÁ MELHOR PREPARADA PARA DEFENDER CONTRA ATAQUE CIBERNÉTICO
E USE O CIBER COMO UMA ARMA ESTRATÉGICA …………………………………………… .. 31
Sobre o autor ……………………………………………………………………………… ..38
ANÁLISES PRINCIPAIS
Os Estados Unidos enfrentam o perigo iminente de um ciberataque devastador contra sua energia elétrica
grade. Este ataque é mais provável porque uma revolução nos assuntos militares enfraqueceu o
dissuasão tradicionalmente associada a armas convencionais e nucleares, mudou a escalada
escada e, conseqüentemente, abaixou a barreira para o conflito intenso entre as superpotências.
Uma nova forma de ataque cibernético contra a rede elétrica surgiu na forma de um “não-tiro”
guerra entre os Estados-nação. Este tipo de ataque pode ocorrer entre superpotências como
algo que carece de uso de força convencional ou nuclear.
Existe um mito popular de que as armas cibernéticas podem ser feitas “por qualquer adolescente em um porão usando
software baixado da web. ” Isso não é verdade se considerarmos o alvo. Não é
todos que podem escrever o código específico necessário para desativar uma rede de energia elétrica. Apesar de
habilidades de programação, eles precisam ter excelente conhecimento da própria grade, como ela funciona e
equipamento específico sendo o alvo do ataque. Eles devem entender o funcionamento
procedimentos do estabelecimento específico visado.
A Rússia está mais bem preparada para se defender contra ataques cibernéticos e usa o ciberataque como arma estratégica.
Durante uma crise internacional extrema, um ataque cibernético massivo da Rússia contra todos os Estados Unidos
rede elétrica antes da eclosão da guerra convencional ou nuclear é provável, para deter ou derrotar o
EUA com “agressão de zona cinzenta” em vez de ou antes da eclosão de uma “guerra de tiro real”:
consistente com a doutrina militar da Rússia de que a guerra cibernética é uma ação sem precedentes e decisiva
Revolution in Military Affairs.
É provável que a China faça um ataque cibernético massivo contra toda a rede elétrica dos Estados Unidos antes do
surto de guerra convencional ou nuclear, ou durante uma crise internacional extrema, para deter ou derrotar
os EUA com “agressão de zona cinzenta” em vez de ou antes da eclosão de uma “guerra de tiro real”:
consistente com a doutrina militar da China de que a guerra cibernética é uma ação sem precedentes e decisiva
Revolution in Military Affairs.
O Irã tem uma chance moderada de infligir danos temporários, mas substanciais à rede elétrica,
principalmente em suas operações de processamento de informações de suporte. É improvável que o Irã fosse
capaz de atacar ciberneticamente toda a rede de energia elétrica dos Estados Unidos.
O ator não estatal não tem as capacidades de uma superpotência ou de qualquer Estado-nação. Isto
carece de habilidades de engenharia, dinheiro e infraestrutura para desenvolver uma arma cibernética tão complexa e
sofisticado como o Stuxnet. Ataques cibernéticos de atores não estatais contra toda a rede elétrica dos Estados Unidos
são um evento improvável. Ataques cibernéticos contra redes elétricas regionais (ou municipais) são mais prováveis, mas
seria pouco sofisticado e primitivo.
Para as relações dos EUA com a Rússia e a China, o surgimento de caminhos viáveis para
ataques contra infraestrutura crítica como uma nova arma estratégica reduziu as barreiras para
conflito, e apresenta um perigo elevado com o potencial de interromper o conflito de longa data
cálculo de equilíbrio dependente da dissuasão nuclear.
2
BLACKOUT WARFARE
Redes de energia elétrica de ataque cibernético: uma nova arma estratégica
Fundo
Os Estados Unidos enfrentam o perigo iminente de um ataque cibernético devastador contra sua rede elétrica.
Este ataque é mais provável porque uma revolução nos assuntos militares enfraqueceu a dissuasão
tradicionalmente associado a armas convencionais e nucleares, mudou a escada de escalada e
consequentemente, diminuiu a barreira para o conflito intenso entre as superpotências.
Em abril de 2021, a Rússia concentrou tropas na fronteira com a Ucrânia, aparentemente ameaçando uma invasão,
levantando alarmes nos EUA e na OTAN. Ventriloquismo para o Kremlin, intimo e diretor de Putin
dos gigantes da mídia internacional estatal da Rússia, RT e Sputnik, Margarita Simonyan, em uma TV
entrevista declarada:
“A Rússia invadirá a Ucrânia, desencadeando um conflito com os EUA que forçará cidades inteiras a
apagões … Guerra cibernética total, apagões forçados em todo o país. ” 1
“A guerra é inevitável”, de acordo com Simonyan da Rússia, “não acredito que esta seja uma grande
escala de guerra quente, como a Segunda Guerra Mundial, e eu não acredito que haverá uma longa Guerra Fria. Será uma
guerra do terceiro tipo: a guerra cibernética. ” 2
Simonyan da Rússia:
– “Na guerra convencional, podemos derrotar a Ucrânia em dois dias. Mas será outro tipo de guerra.
Faremos isso e, em seguida, [os EUA] responderão desligando a energia de [uma grande cidade russa como]
Voronezh. ”
– “A Rússia precisa estar pronta para esta guerra, que é inevitável, e é claro que ela começará em
Ucrânia.”
– A Rússia é “invencível no que diz respeito à guerra convencional, mas esqueça a guerra convencional … ela
será uma guerra de infraestruturas, e aqui temos muitas vulnerabilidades. ”
– “Tenho agitado e até exigido que tomemos Donbass [leste da Ucrânia]. Nós precisamos
consertar nossas vulnerabilidades o mais rápido que pudermos, e então podemos fazer o que quisermos. ”
– “Só perdemos se não fizermos nada”, concordou o entrevistador da TV russa Vladimir Soloviev. “Ele argumentou
que absorvendo partes da Ucrânia – ou todo o país – a Rússia seria capaz de remover o
zona de influência americana mais longe de suas fronteiras ”, relata Julia Davis. 3
A TV russa descreveu opções de ciberataque que vão desde ameaças de pequena escala até ameaças existenciais,
incluindo: apagamento de parte da cidade de Nova York (Harlem foi mencionado) ou apagamento do estado
1 Julia Davis, “Top Kremlin Mouthpiece Warns of ‘Inevitable’ War with US Over Another Ukraine Land Grab”
www.thedailybeast.com (13 de abril de 2021).
2 Ibid.
3 Ibid.
3
da Flórida, ou apagando todo o território continental dos Estados Unidos. Para derrotar os EUA, de acordo com
Simonyan da Rússia: “Nós nem mesmo precisamos das armas nucleares.” 4
Poucas semanas após as ameaças cibernéticas russas acima, em maio de 2021, o Oleoduto Colonial dos EUA foi
hackeado, desligamento temporário. Ataques cibernéticos podem destruir pipelines, fazendo com que explodam.
O oleoduto colonial é crucial para abastecer as capacidades de projeção de poder militar dos EUA a partir do leste
costa para proteger a OTAN, ou para ajudar a Ucrânia, durante uma invasão russa. 5 É por isso que o colonial
Pipeline foi realmente visado, não pelos milhões pagos em resgate, mas como uma demonstração da
ciber-poder.
O ciberataque Colonial Pipeline prova que a Rússia não está blefando.
Golpe nocaute da Guerra Cibernética de Moscou – apagando as redes elétricas dos EUA e outras
infraestruturas, foi planejado há anos:
– Março de 2016, o Alerta Técnico Conjunto do Governo dos EUA alertou o ataque cibernético da Rússia, Dragonfly:
“Entidades governamentais direcionadas e vários centros de infraestrutura crítica dos EUA, incluindo o
energia, nuclear, instalações comerciais, água, aviação e setores críticos de manufatura. ” 6
– 2017, o Departamento de Segurança Interna (DHS) divulgado, conforme manchete de Wall Street
Journal and Newsweek: “Hackers russos podem ter causado apagões de eletricidade nos EUA” 7
– Março de 2018, a Reuters relatou: “Altos funcionários da inteligência dos EUA disseram … o Kremlin acredita nisso
pode lançar operações de hacking contra o Ocidente com impunidade. ” Rússia “encenou malware … e
obteve acesso remoto às redes do setor de energia. ” 8
– Julho de 2018, o DHS alertou sobre as penetrações cibernéticas da Rússia em centenas de concessionárias de energia elétrica nos Estados Unidos.
Esses ataques cibernéticos foram provavelmente a “ponta da lança” simulada para o VOSTOK-18, uma grande articulação
Exercício estratégico Rússia-China realizado em setembro de 2018, praticando a III Guerra Mundial. 9
–Dezembro de 2020, o DHS divulgou que o ataque cibernético Solar Winds da Rússia penetrou 18.000 nos Estados Unidos
Órgãos governamentais e do setor privado e empresas, incluindo o Departamento de Defesa e
Agência de Segurança Cibernética e Infraestrutura dos EUA. O dano ainda está sendo avaliado. 10
No domingo, 11 de abril de 2021, o mundo acordou com reclamações alarmistas do Irã sem provas
culpando Israel por um ataque à sua rede elétrica. Fornecimento de energia ao processamento nuclear de Natanz
instalação desapareceu. Ao mesmo tempo, os jornais de Israel se gabavam de que um ataque cibernético
4 Ibid.
5 “Quando a América se protegerá contra ataques de EMP, Cyber e Ransomware?” The Hill (21 de maio de 2021).
6 Dustin Volz e Timothy Gardner, “Em primeiro lugar, os EUA culpam a Rússia pelos ataques cibernéticos à rede de energia” Reuters (15
Março de 2018). CISA, Alerta TA18-074A (15 de março de 2018) us-cert.cisa.gov/ncas/alerts/TA18-074A
7 Jason Murdock, “Russian Hackers ‘Could Have Cause Electricity Blackouts’ in the US” Newsweek (24 de julho de 2018).
8 Dustin Volz e Timothy Gardner, “Em primeiro lugar, os EUA culpam a Rússia pelos ataques cibernéticos à rede de energia” Reuters (15
Março de 2018).
9 Dr. Peter Vincent Pry “Understanding VOSTOK-18” publicado originalmente como “O Perigo das Maiores Forças Armadas da Rússia
Exercício ”Newsmax Platinum (8 de outubro de 2018) danhappel.com .
10 Terry Thompson, “The Colonial Pipeline Ransomware Attack and the SolarWinds Hack Were All But Inevitable”
news.yahoo.com (10 de maio de 2021).
4
projetado por seus cientistas e serviço secreto foram responsáveis por este desastre. 11 dos três
partes da rede elétrica –a) Geração; b) Transmissão; ec) Distribuição – aqui o ataque
tinha estado no lado da distribuição. Uma “subestação elétrica localizada de 40 a 50 metros abaixo do solo”
foi destruído. “[T] centenas de centrífugas” usadas para separar o Urânio-235 do Urânio-238
tinha sido posto fora de serviço, pelo menos temporariamente. 12
As implicações estratégicas eram graves. A
rede elétrica estava sendo usada como uma arma estratégica para impedir o caminho do Irã, em violação de seu
obrigações decorrentes do Tratado de Não-Proliferação Nuclear para a criação de uma bomba atômica. 13
Aqui, a interferência com a rede elétrica foi usada não para perturbar a economia e a sociedade do Irã, mas
em vez de ferir uma instalação militar estratégica com extrema precisão. Enquanto a imprensa continuava a
reverberando a história, a discussão se ampliou para considerar os ataques cibernéticos como um meio de guerra.
De acordo com o Escritório do Diretor de Inteligência Nacional:
“As ameaças cibernéticas dos estados-nação … permanecerão agudas. Estados estrangeiros usam operações cibernéticas para …
danos … físicos … infraestrutura crítica. … [Nós] continuamos muito preocupados com a Rússia, China,
Irã e Coreia do Norte. ” 14
De 1965-2020, houve 68 blecautes nos Estados Unidos afetando 100.000 ou mais pessoas
por pelo menos 1 hora e compreendendo pelo menos 1.000.000 pessoas-hora de interrupção. Pode um ciber-
ataque ser usado para transformar uma rede elétrica em uma arma estratégica? Se sim, que tipo de planejamento
precisaria ser feito por um rival efetivamente para prejudicar os Estados Unidos?
Atacando redes elétricas – uma ferramenta de conflito estratégico
Os Estados Unidos são uma superpotência. Até mesmo seus inimigos sabem que não deve ser atacado levianamente. Lá
deve haver uma razão, e essa razão deve se encaixar na grande estratégia do atacante. No coração de
a questão é “por quê?”. Qual é a lógica estratégica? Que tipo de crise internacional seria grave
o suficiente para levar um Estado-nação rival a lançar um grande ataque cibernético contra a rede elétrica da América
rede? Sabemos que as motivações variam, assim como as capacidades e ousadia dos invasores. Para o
11 A análise subsequente mostrou que a interrupção do fornecimento de energia em Natanz foi causada não pelo ciberespaço, mas por
desencadeando uma explosão subterrânea para destruir um transformador. Isso foi feito recrutando de alguma forma um indivíduo
para realizar este ataque. No entanto, a imprensa mundial continuou a circular a história, mudando para mais geral
argumentos sobre a vulnerabilidade da rede. Veja Yonah Jeremy Bob, Lahav Harkov, Tzvi Joffre “Mossad atrás
ataque à instalação nuclear de Natanz do Irã ”The Jerusalem Post online (13 de abril de 2021 10:12):“ Fontes ocidentais disseram que o
instalação foi atingida por um ataque cibernético, mas o The Jerusalem Post soube que foi um ataque físico confirmado. ”
12 Tzvi Joffre, Yonah Jeremy Bob, “Explosão no site nuclear de Natanz: a TV estatal iraniana identifica o homem por trás do ataque”
Jerusalem Post (17 de abril de 2021 13:44) citando autoridades iranianas. O homem-bomba foi identificado como Sr. Reza Karimi.
O que é surpreendente é que o governo iraniano apresentou um cartão “Procurado pela Interpol” sobre o homem-bomba, significando
que ele foi capaz de realizar o bombardeio e sair do Irã. É provável que a história do ataque cibernético tenha sido um
cortina de fumaça para permitir que o homem-bomba escape do Irã . Observe em particular que não há “milhares” de centrífugas
nessa instalação.
13 O Irã ainda estava aprendendo que nenhum Estado-nação tem o “direito” de construir esse tipo de arma.
14 Escritório do Diretor de Inteligência Nacional, Avaliação Anual de Ameaças da Comunidade de Inteligência dos EUA , p. 20
(9 de abril de 2021 doravante denominado “ODNI 2021 Rpt”).
5
entretanto, vamos supor que a razão esteja lá. Se for esse o caso, a questão passa a ser
“Que tipo de ataque cibernético?”
Claro, existem diferentes níveis de ataque, variando de pequenas ações de escaramuças irritantes a
um grande ataque que visa tirar energia elétrica para uma região da América ou um único grande
área metropolitana. No extremo superior está uma tentativa total de desativar todo o sistema elétrico da nação
grade com o objetivo de mergulhar o país em uma escuridão caótica e horripilante. Para um pequeno Estado-nação,
é duvidoso que eles possam reunir capacidade suficiente com sucesso para lançar um ataque cibernético
em todo o país contra uma rede elétrica gigante em sua totalidade. Uma das superpotências rivais da América
poderia.
Os ataques cibernéticos por tradição são divididos em duas classes. Um tipo é o “suplementar”
variedade, o outro é “autônomo”. Na forma complementar, os ataques cibernéticos são usados para ajudar
projeção da força militar. O cyber se torna uma das muitas ferramentas em um confronto militar. O
os alvos de mais alta prioridade geralmente são os sistemas de comando e controle das forças armadas inimigas. Apenas
se o conflito atinge um nível mais alto de intensidade, torna-se uma possibilidade de envolver a sociedade civil
alvos. Se houvesse ciberataques a alvos militares e civis, e estes estivessem sendo
implantado como um suplemento à força militar nacional, isso significaria que as partes estavam engajadas
em uma “Guerra Total”. 15 Este é o nível mais alto e infeliz de conflito, mas se seguirmos o
conceitos tradicionais e aceitos sobre a dissuasão nuclear, este cenário é improvável entre
os superpoderes. De acordo com a teoria de defesa estratégica tradicional, ocorreria um conflito cibernético total
apenas como um complemento para uma guerra convencional ou nuclear.
Essa lógica ainda é válida? E quanto a outros tipos de ataque? Na forma autônoma, ataques cibernéticos
são lançados de um Estado-nação para outro sem ser um complemento ao uso contínuo de
força militar convencional ou nuclear. Esses são ataques “apenas cibernéticos”. Não associado a um
guerra declarada, eles geralmente são anônimos. Afinal, um atacante mais fraco não deseja um mais forte
poder de saber que são a fonte do problema, pois isso os exporia a retaliações.
Para evitar tal resposta, os alevinos menores tendem a “voar sob o radar” em um esforço para se esconder no
vastidão mal iluminada do ciberespaço.
Uma nova forma de ataque cibernético contra a rede elétrica surgiu na forma de um “não-tiro”
guerra entre os Estados-nação. Este tipo de ataque pode ocorrer entre superpotências como
algo que carece de uso de força convencional ou nuclear. Alguns argumentam que “não cinético”
ataques cibernéticos não são um “ataque armado” segundo o direito internacional e, portanto, não há direito dado a
um Estado-nação para legítima defesa nos termos do artigo 51 da Carta das Nações Unidas. 16 Consequentemente,
eles argumentam, isso diminui a chance de retaliação cinética. Com menos com que se preocupar, o resultado tem
foi um relaxamento percebido das inibições que governam o uso de ataques cibernéticos pelos Estados Nacionais. Para
exemplo, um observador afirmou que, em algumas circunstâncias, a Rússia pode tomar medidas para ferir
a rede elétrica americana em resposta a um movimento dos Estados Unidos em apoio ao
15 Ver Erich Ludendorff, Der Totale Krieg (Munique: Ludendorffs Verlag, 1935); Definição: guerra total uma guerra que
é irrestrito em termos de armas utilizadas, o território ou combatentes envolvidos, ou os objetivos perseguidos,
especialmente aquele em que as leis da guerra são desconsideradas. ( Referência Oxford ).
16 Essa briga legal nunca foi resolvida de forma satisfatória.
6
Governo da Ucrânia. Tal cenário pode ocorrer nesta sequência: 17 a) As áreas separatistas
da Ucrânia oriental envolvem-se em uma luta interna com seu governo; b) Quando a violência
aumenta, a Rússia se move para proteger a maioria da população de nacionalidade russa, que talvez
está exigindo um plebiscito para se separar da Ucrânia e se tornar um estado independente
ou ingressar na Rússia; c) Os Estados Unidos cometem o erro de intervir nesta guerra civil e
lança um ataque cibernético contra a rede elétrica da Rússia ou partes dela, como uma cidade; d) Ter
atacado, a Rússia sempre responde, então lança um contra-ataque cibernético contra o continente
dos Estados Unidos e retira uma parte equivalente da rede elétrica americana.
De acordo com um comentarista da televisão estatal russa:
“Não acredito que esta seja uma guerra quente em grande escala, como a Segunda Guerra Mundial, e não acredito
que haverá uma longa Guerra Fria. Será uma guerra do terceiro tipo: a ciberguerra ”. 18
Os danos infligidos seriam aquém de uma guerra convencional ou nuclear, e conforme o esperado para imprudentes
conselheiros de segurança nacional que não viram uma guerra real, as barreiras para a adoção de uma estratégia expressa
como um ataque cibernético contra a rede elétrica, consequentemente, pareceria ser menor. Este é um novo
desenvolvimento em teoria de defesa estratégica. Ele prevê uma guerra central entre as superpotências
sem recorrer a forças convencionais ou nucleares. Em vez disso, eles contarão com ataques cibernéticos.
Cyber possui espionagem automatizada
O Cyber possui espionagem automatizada. Agora é centenas de milhares de vezes mais eficaz do que qualquer
outro tipo de espionagem. 19 A coleta de Inteligência 20 visa a Sociedade Civil do oponente e
governo, incluindo suas forças militares. Desde meados da década de 1990, uma grande quantidade de informações
foi exfiltrado até mesmo de nossos alvos mais protegidos e “seguros”. O furtado
as informações abrangem uma ampla gama de tópicos, incluindo militares, tecnológicos, políticos,
industrial, estratégico, pessoal e outros. A espionagem cibernética mais do que provou seu valor. Isto é
“custo-beneficio.” Isso seria lindo em outro contexto, mas aqui, são os Estados Unidos que
foi a vítima mais prejudicada. Um paradoxo do ciberespaço é que os Estados-nação mais avançados
são os mais vulneráveis a ataques com esta arma peculiar e assimétrica.
Para compreender os ataques cibernéticos contra a rede elétrica, devemos observar um
importante subclasse de espionagem – a prática de reunir inteligência técnica a respeito do
redes e dispositivos interconectados dentro do território do oponente. A princípio, isso soa
como uma tarefa gigantesca e opressora, especialmente se alguém está pensando em mapear e fazer
sentido das redes dentro de um Estado-nação inteiro. Na verdade, é isso. No entanto, com o uso
17 Ver declarações de Margarita Simonyan e Vladimir Soloviev na televisão estatal russa, relatadas por Julia Davis
“O principal porta-voz do Kremlin adverte sobre a guerra ‘inevitável’ contra os EUA por causa de outra aquisição de terras na Ucrânia: ‘Nem preciso
the Nukes ‘” www.thedailybeast.com (13 de abril de 2021).
18 Margarita Simonyan citado por Davis, Ibid.
19 Inteligência Humana (HUMINT); SIGINT; MASINT; ELINT, etc.
20 Em muitos modelos, esta parte do processo é referida como “Reconhecimento”, mas esse termo se refere a
vigilância da rede dentro de uma organização, uma vez que foi penetrada, é um subconjunto de inteligência
reunião.
7
de automação, é de fato possível mapear tais infraestruturas gigantes, e até desenvolver um banco de dados
que contém informações básicas sobre muitos, senão todos os dispositivos conectados. 21 claro com
desenvolvimentos tecnológicos, como a Internet das Coisas (IoT), 22 e IPv6, 23 o número de inter-
dispositivos conectados teoricamente podem se aproximar de 10 27 dispositivos por pessoa , mas este grande número também é
dentro da faixa de mapeamento automatizado.
Além da magia tecnológica do mapeamento automatizado, esta forma de espionagem tem um
função importante e séria. Torna possível identificar os melhores alvos para atacar.
O mapeamento automatizado pode localizar os dispositivos de controle conectados à Internet em uma rede elétrica. Uma vez
isso é feito, a identidade desses dispositivos críticos pode ser determinada. Sua identidade conhecida, interna
componentes ciberdependentes podem ser dissecados. Quando um hacker sabe como algo funciona, ele
pode descobrir como impedi-lo de funcionar.
Em seguida, o malware pode ser criado e, em seguida, inserido na infraestrutura externa. Em alguns casos, tais
o malware é projetado apenas para estar lá, caso seja necessário. Ele permanece adormecido. Este é um tipo de
pré-posicionamento que permite a um Estado-nação ter o código pronto dentro da infraestrutura de um
oponente. É seguro presumir que a infraestrutura dos Estados Unidos foi mapeada,
penetrado e está cheio de códigos pré-posicionados de inimigos prontos para atacar. 24
Mesmo que não haja um pré-posicionamento de malware, o uso de inteligência cibernética para identificar as chaves
tecnologias de controle de rede elétrica permitiram que inimigos escrevessem códigos que podem ser usados para transformá-los
dispositivos no equivalente a bombas.
A escolha de vetores de ataque cibernético depende do alvo
Não importa qual seja o propósito subjacente, existem diferentes tipos de ataques cibernéticos. Alguns são
indiscriminado; outros visavam alvos específicos. Aqui, assumimos que um ataque contra o
21 Existem muitos exemplos. Consulte Internet-map.net.
22 A Internet das Coisas (IoT) descreve a rede de objetos físicos – “coisas‚ ou objetos “- que estão incorporados
com sensores, software e outras tecnologias com a finalidade de conectar e trocar dados com outros
dispositivos e sistemas pela Internet.
23 O protocolo da Internet versão 6 está aumentando enormemente o número de endereços da Internet e, portanto, o número de
possíveis dispositivos interconectados. Em 1998, a Internet Engineering Task Force formalizou o sucessor
protocolo. Ele projetou o IPv6 para usar um endereço de 128 bits, teoricamente permitindo 2 128 , ou aproximadamente 3,4 x 10 38
endereços. O antigo IPv4 usava um espaço de endereço de 32 bits e permitia 2 32 endereços exclusivos.
24 Tem havido “múltiplas intrusões nas ferramentas US ICS / SCADA e smart grid [para] … reunir [] inteligência [e]
desenvolver capacidades para atacar. ” Ver Timothy M. Wintch, “Perspective: Cyber and Physical Threats to the US Power
Grid and Keepng the Lights On ”Homeland Security Today (20 de abril de 2021) citando o Mission Support Center, Cyber
Análise de Ameaças e Vulnerabilidades do Setor Elétrico dos EUA , Laboratório Nacional de Idaho, 22 (2016), 22; Existem
rumores de que os Estados Unidos pré-posicionaram código destrutivo adormecido nas redes elétricas de seus rivais, mas este
é impossível determinar com qualquer confiabilidade.
8
a rede elétrica seria direcionada, não indiscriminada. Isso restringe os tipos de ataque que
pode ser usado. Por exemplo, um ataque DDoS 25 indiscriminado seria descartado. 26
Um ataque direcionado contra um importante ativo de segurança nacional, como a rede elétrica,
requerem várias fases. O alvo deve ser identificado e sua função compreendida. Preparação
deve ser feita, e uma estratégia para obter acesso ao alvo deve ser elaborada. Aquele ser
realizado, o ataque pode ser lançado. Vamos examinar isso com mais detalhes.
A coleta de inteligência pré-ataque seleciona o alvo
Dependendo do alvo, a coleta de inteligência pode ser fácil ou difícil, ou talvez impossível.
Felizmente para seus inimigos, os Estados Unidos são um dos alvos de inteligência mais fáceis do mundo. A
sonho do analista. Muita informação está disponível gratuitamente. No anel Chi Mak Spy, por exemplo,
os espiões descobriram que, a fim de lidar com as informações técnicas furtadas roubadas da Boeing,
foi necessário alugar várias vans para conduzir as caixas sobre as caixas de documentação até o
Consulado da China em San Francisco. 27 Caminhões de informações, e que usando o antigo
Tipo de espionagem “tijolo e argamassa”.
Existem outras fontes importantes. Os vazamentos são abundantes. Em “Game of Thrones”, vencedor implacável –
ambiente leva tudo de Washington, DC, funcionários do governo dos EUA que procuram promover um
agenda ou outro vazamento rotineiro de informações altamente técnicas e estrategicamente sensíveis, geralmente
tornando-o disponível na World Wide Web. No mundo cibernético, o próprio governo rotineiramente
publica detalhes sobre explorações de computador importantes, quando os hackers usam essas informações para
conduzir seu trabalho. As indústrias da América também contribuem para o processo de amolecimento porque
gostam de divulgar suas realizações e vendas. Como consequência, quando tudo é adicionado
juntos, este oceano de informações disponíveis nos Estados Unidos dá uma incompreensível
vantagem para os rivais. Vá para um país como a Rússia, e a situação é completamente diferente.
As informações que os americanos consideram rotineiras são mantidas fora de vista.
Ao se preparar para um ataque, a análise da inteligência cibernética passa por um estreitamento
processar. Primeiro, há uma varredura geral estendida do ambiente. Aqui, envolveria
sondar e compilar uma análise do Estado-nação alvo como um todo. Em algum momento, uma decisão
é feito para acertar a Rede Elétrica. 28 Depois disso, a espionagem cibernética se torna mais específica. Isto
restringe as atividades de coleta para examinar minuciosamente a natureza do alvo específico. Para o
25 Negação de serviço distribuída (inundando um servidor com tantas solicitações que ele fica sobrecarregado, tornando assim
é impossível para clientes / visitantes regulares receberem seu serviço)
26 Um modelo mais restritivo é o “Cyber Kill Chain” desenvolvido pela Lockheed Martin. Envolve a) Reconhecimento
(coleta de endereços de e-mail, informações da conferência, etc.); b) Armamento (exploração de acoplamento com backdoor em
carga útil a ser entregue); c) Entrega (entrega de pacote armado para a vítima via e-mail, web, USB, etc.);
d) Exploração (Exploração de uma vulnerabilidade para executar código no sistema da vítima); e) Instalação (instalação de malware em
o ativo); f) Comando e Controle (C2) (Canal de comando para manipulação remota da vítima); e g) Ações sobre
Objetivos (com acesso “Mãos no teclado”, os invasores realizam seus objetivos originais).
27 Ver Edward M. Roche, Snake Fish: The Chi Mak Spy Ring (Nova York: Barraclough Ltd., 1996).
28 A rede elétrica pode ser o único alvo; ou apenas um de muitos alvos.
9
rede elétrica nos Estados Unidos, levaria apenas um curto período de tempo para determinar o
escala gigantesca da rede e sua organização em várias unidades, como a) Ocidental
Conselho Coordenador de Eletricidade; b) Southwest Power Pool; c) Entidade de Confiabilidade do Texas;
d) Confiabilidade em primeiro lugar; e) SERC Reliability Corporation; 29
f) Poder do Nordeste
Conselho Coordenador; eg) Conselho de Coordenação de Confiabilidade da Flórida.
Em uma rede elétrica, existem quatro sistemas cibernéticos principais que podem servir como alvos para ataques, incluindo
a) Sistemas de Controle de Supervisão e Aquisição de Dados (SCADA) responsáveis por gerenciar
medições de tempo de subestações e envio de sinais de controle para equipamentos como circuito
disjuntores ou outros sistemas de controle; b) Sistemas de automação de subestação encarregados de
controle de equipamentos locais (em uma única instalação); c) Sistemas de gestão de energia responsáveis por
análise em tempo real da confiabilidade dos sistemas, geralmente tomando amostras contínuas de propagação
ondas de eletricidade, por exemplo, monitoramento de frequência; e d) Sistemas de mercado que são responsáveis por
compra e venda de eletricidade por atacado e consumidor, incluindo o mercado spot.
A maior prioridade para um ataque cibernético é o equipamento SCADA. Eles podem desligar a energia
e possivelmente desencadear uma cascata de apagões. 30
Qualquer um desses sistemas fornece um ambiente rico para o lançamento de um ataque cibernético. Por exemplo, um
O Sistema de Automação de Subestação (SAS) conecta em uma rede muitos dispositivos de subestação
incluindo a) Dispositivos Eletrônicos Inteligentes (IED); b) Comutadores de rede (ethernet); c) Banco de dados e
servidores de aplicativos; d) Processadores front-end (equipamento de comunicação que liga uma informação
sistema para uma ou mais redes); e) Gateways de telecomunicações (equipamento que conecta um
rede para outra e às vezes traduz de um protocolo para outro); e f) Estações de Trabalho
para engenheiros e operadores, às vezes referido como “HMI” ou “Interface Homem-Máquina”. 31
Para um sistema de tamanho modesto projetado para fornecer 1.500 MW de energia, a Subestação Automação
O sistema precisará ser capaz de processar, no mínimo, 50.000 pontos de dados transmitidos de
mais de 600 Dispositivos Eletrônicos Inteligentes (IEDs).
É comum usar o protocolo de comunicação IEC 61850. Aparelho de distribuição tem relés numéricos ligados
este padrão e os disjuntores são gerenciados através do Sistema de Controle Distribuído (DCS). 32 A
grande quantidade de informações viaja de um lado para o outro, relatando a) Status do sistema
componentes (disjuntor aberto / fechado; disjuntor em uma rotina de teste ou em serviço; motor
interruptor de velocidade); b) Dados de proteção (posições do disjuntor; aviso térmico; elemento de disparo de bloqueio de carga;
Subtensão de fase; contagem de operação do disjuntor); e c) Dados de medição importantes (R-, Y-, e
Corrente da fase B; RYB Tensão e frequência; potência; medições de corrente de fase). 33
29 Quatro organizações no sudeste – CARVA Pool, Tennessee Valley Authority (TVA), Southern Company,
e o Grupo de Coordenação de Energia Elétrica da Flórida – se combinam para formar o SERC.
30 Para obter um exemplo de blecaute em cascata, veja abaixo uma descrição do recente blecaute no Texas.
31 Ver Saroj Chelluri, Diego Rodas, Ala Harikrishna “Considerações de integração para sistemas IEC 61850 em larga escala”
2ª Conferência Mundial Anual de Proteção, Automação e Controle (Dublin 27-30 de junho de 2011).
32 Um DCS tem alta confiabilidade porque o processamento de controle é distribuído para diferentes nós no sistema, em vez de
ter um único processador que pode derrubar todo o sistema.
33 Ibid.
10
Uma vez que todos esses são fatores cruciais para a compreensão da operação da usina, devem
relatar pontos de dados ser perturbados, existe o risco de interrupção de energia. Além disso, se esses dados
pontos poderiam ser interceptados, então o status das operações da planta poderia ser feito para parecer diferente de
o que realmente é. Muitos desses sistemas também fazem parte de um sistema de alarme subjacente, e se
desativado anularia qualquer denúncia para os operadores da planta de um problema.
Por exemplo, engenheiros orgulhosos que descrevem a operação da Super Energia Térmica Indira Ghandi
O projeto em Jajjar anunciou ao mundo uma séria vulnerabilidade potencial em sua fábrica: “Moderna
relés numéricos … capturar todos os dados do alimentador, relatar eventos, monitorar o equipamento … Tão perto
dados em tempo real do sistema auxiliar completo … exibidos em uma interface homem-máquina (MHI)
ajudar a monitorar o sistema de locais remotos. ” 34
Infelizmente, esses caminhos de dados devem ser configurados para acesso remoto, há um potencial cibernético
problema de segurança porque os hackers podem “discar” e fazer sua sabotagem. Isso é o que aconteceu em
o incidente de 2015 na Ucrânia.
O padrão de atraso na obtenção de sinais desses dispositivos é de 10 milissegundos ou menos. 35 o acesso
aos Dispositivos Eletrônicos Inteligentes (IED) é através dos switches Ethernet que alimentam o
Servidores SCADA e estações de trabalho do Operador.
Como essa análise de inteligência pode funcionar? Uma análise de rede, com base em amplamente disponíveis
ferramentas de varredura, revelariam que a rede elétrica dos Estados Unidos poderia ser quebrada pela metade
com dez ataques direcionados ao longo de uma linha vertical ao norte do ponto intermediário entre El Paso e
Tucson. Além disso, pelo estudo de documentos como o North American Electric Reliability
Corporation (NERC) 36 Critical Infrastructure Protection (CIP) Normas 37 para a eletricidade em massa
Sistema 38 , seria fácil identificar todas as atividades de defesa cibernética em andamento em cada uma das principais
instalação. Para um hacker empreendedor, pode ser possível penetrar no sistema de informação do
NERC e obter cópias dos auto-estudos e avaliações comparando os Padrões CIP como
bem como detalhes de violações do padrão de confiabilidade. Isso levaria rapidamente ao IEC 61850
padrão da Comissão Eletrotécnica Internacional. 39
Isso, por sua vez, levaria ao
conhecimento detalhado encontrado em documentos como a) IEC TR 61850-90-1: 2010 para comunicação
entre subestações; b) IEC TR 61850-90-2: 2016 para comunicação entre subestações e
34 Ibid.
35 Ibid. (observando que o atraso para cabos CAT 5e / 6 é de 0,55 milissegundos por 100 metros; para fibra óptica de 0,49 e para
sem fio 0,33)
36 Corporação de confiabilidade elétrica norte-americana (NERC). Criado pelo governo dos EUA e projetado para
proteger parte da infraestrutura elétrica dos Estados Unidos.
37 Esses padrões se aplicam especificamente à segurança cibernética do sistema elétrico em massa.
38 Sistema elétrico a granel (BES): A menos que modificado pelas listas mostradas abaixo, todos os elementos de transmissão operaram em 100
kV ou superior e recursos de potência real e reativa conectados a 100 kV ou superior. Isso não inclui
instalações utilizadas na distribuição local de energia elétrica. Consulte NERC, Referência de Definição de Sistema Elétrico em Massa
Documento , ver. 3 (agosto de 2018).
39 Trabalho de seu Comitê Técnico 57.
11
centros de controle; c) IEC TR 61850-90-5: 2012 para transmissão de informações de sincrofasores; 40 e
d) IEC TR 61850-90-7: 2013 para conversores de energia em sistemas de recursos de energia distribuída (DER).
Saber o equipamento a ser direcionado e sua possível vulnerabilidade é insuficiente. É necessário
saber o endereço IP preciso do equipamento na rede interna da instalação. Pode ser
necessário exfiltrar esses dados após obter acesso preliminar ao sistema local. No
O modelo de cibersegurança da Lockheed é chamado de fase de “reconhecimento”.
Por exemplo, de acordo com o Relatório E-ISAC Ucrânia sobre o ciberataque da Rússia na Ucrânia
rede elétrica: “Depois que os atacantes conseguiram a necessária liberdade de movimento e ação no
Infraestrutura de TI, eles começaram a exfiltrar as informações necessárias e descobrir os hosts e
dispositivos para desenvolver um conceito de ataque para sequestrar o SCADA DMS para abrir disjuntores e causar uma energia
interrupção. ” 41
A análise de inteligência seria capaz de encontrar a localização de todas as unidades de medição fasorial ativas. 42
Talvez usando a revisão da imprensa especializada, o invasor correlacionaria as vendas do padrão IEC
equipamento compatível com várias empresas de serviços públicos (e suas localizações). Talvez tivesse como alvo
sites de sincrofasores. Ou talvez visasse um software da Schweitzer Engineering Laboratories
Instalação de rede definida para aumentar o tempo de resposta da arquitetura “Negar por padrão” de
<0,1 milissegundos a> 0,5 ms ou mesmo a> 30 ms. Isso deve resolver. Existem muitas opções para
escolha.
A determinação inicial da escala preferida de um ataque cibernético é essencial. Felizmente para o atacante,
eles podem determinar que a rede elétrica nos Estados Unidos está sujeita a um apagão em cascata
efeito. Está repleto de pontos críticos que, se perturbados, produzirão uma reação em cadeia de um
apagão causando outro que, por sua vez, causa outro. Isso foi visto em 10 de agosto de 1996 no
Noroeste dos Estados Unidos (7,5 milhões de clientes) e 14 de agosto de 2003 no Nordeste dos Estados Unidos
Estados e Canadá (50 milhões de clientes). 43
As cascatas acontecem porque, conforme cada linha é desligada, a eletricidade deve ser transferida para outra
rota de transporte. “Uma linha sobrecarrega se a quantidade absoluta de energia fluindo nela exceder um determinado
40 Sincrofasor é um dispositivo (unidade de medida de fasor ou PMU) que estima o tamanho e o ângulo de fase de um dispositivo elétrico
quantidade fasorial (tensão; corrente) usando uma fonte de tempo comum para sincronização. Ele mede a frequência em
a rede elétrica. A medição típica é de 120 vezes por segundo. Um fasor (“vetor de fase”) é um número complexo
incorporando (1) amplitude (A); (2) frequência angular; e (3) fase inicial.
41 Ver Robert M Lee, Michael J. Assante, Tim Conway, “Analysis of the Cyber Attack on the Ukrainian Power Grid”
E-ISAC (18 de março de 2016) p. 15, parágrafo 5
42 Veja, por exemplo “Os três fornecedores diferentes de D [istribuição] M [sistema] de gerenciamento foram detectáveis via open-
pesquisa de fonte. ” em Robert M Lee, Michael J. Assante, Tim Conway, “Analysis of the Cyber Attack on the
Rede elétrica ucraniana ”E-ISAC (18 de março de 2016) p. 10, fn. 28 ( doravante denominado “Relatório E-ISAC Ucrânia” que descreve o
identificação da tecnologia usada na Ucrânia em 2015).
43 Ver Ian Dobson, “Cascading Network Failure in Power Grid Blackouts,” Encyclopedia of Systems and Control
(Londres: Springer-Verlag, 2014).
12
limite da linha. ”Isso leva a uma“ interrupção imediata da linha correspondente ”. 44
Então se o
eletricidade é passada para uma linha sem capacidade, o circuito será encerrado, apenas como um
medida de segurança.
O potencial para apagões em cascata na rede elétrica nos Estados Unidos é um presente para o
inimigo . Não seria necessário desativar todos os utilitários ou pontos de comutação de transmissão
em todo o país. Em vez disso, deveria ser possível prejudicar os Estados Unidos, sua economia e seu
pessoas simplesmente localizando um punhado de pontos que causariam uma cascata de falhas de energia.
Simulações confirmaram essa abordagem. Por exemplo, um estudo em 2005 descobriu que “uma eficiência
perda (dano) de até 25% é possível após a perda de um único gerador ou transmissão
subestação ”. 45 Outro estudo de efeitos em cascata na rede elétrica descobriu que apenas um quinto
de todas as falhas foram primárias e as demais secundárias, ou seja, foram causadas por um apagão
em algum outro lugar da rede, geralmente na porta ao lado. 46 O estudo descobriu que cascatas maiores podem ser
gerado por um ataque de vários nós que estão próximos uns dos outros e perto dos vulneráveis
definir:
“[Há um] conjunto de componentes de rede que são vulneráveis a falhas em cascata em qualquer
fora de [idade] de múltiplas condições. … [O] conjunto vulnerável consiste em um pequeno, mas topologicamente
porção central da rede … [L] cascatas de arge são desproporcionalmente mais prováveis de ser
desencadeada por falhas iniciais próximas a este conjunto. … [L] cascatas de arge tendem a ser desencadeadas por
perturbações adjacentes ao conjunto de ‘adotantes iniciais’. ” 47
Aqui, o termo ‘adotantes iniciais’ refere-se às partes da grade que foram apagadas primeiro. Uma vez que estes
pontos vitais na rede elétrica são identificados, então o trabalho de inteligência pode ser focado
penetração de suas instalações de apoio. Nos Estados Unidos, esses pontos vulneráveis no
rede elétrica foram identificados, mas surpreendentemente não parecem ter sido tornados públicos.
No entanto, devemos assumir que, por meio de espionagem, os inimigos roubaram cópias desses
classificados estudos e saber exatamente onde acertar.
A coleta de inteligência também pode se concentrar no pessoal nos locais de destino. Fornecendo a Nação
Estado tem os recursos, esta informação pode levar a um recrutamento ou outro incentivo para
cooperar por parte das pessoas com acesso às instalações. Ao longo do tempo, os agentes podem ser
colocados em instalações-chave.
44 Ver Tommaso Nesti, Alessandro Zocca e Bert Zwart “Emergent Failures and Cascades in Power Grids: A
Perspectiva Física Estatística ”120 Physical Review Letters 258301-1 (2018).
45 Ver R. Kinney, P. Crucitti, R. Albert, V. Latora “Modeling Cascading Failures in the North American power grid”
European Physical Journal B, Vol. 46 (2005) pp. 101-107, (“[O] primeiro nó removido causa o maior dano, enquanto
cada remoção sucessiva faz pouco para piorar a eficiência média. Comportamento semelhante é registrado para
geradores. ” p. 106, parágrafo 2).
46 Ver Yang Yang, Takashi Nishikawa, Adilson E. Motter “Small Vulnerable Sets Determine Large Network Cascades
in Power Grids ”358 Science, eaan3184 (2017).
47 Ibidem, p. 5
13
O trabalho final na fase de inteligência seria uma análise dos efeitos de um ataque cibernético.
Isso desativaria um alvo pretendido, como uma fábrica ou base militar? O que seria
será a resposta do Estado da nação alvo se o invasor for identificado? Uma vez que esta parte do
a análise é pouco mais do que suposições sofisticadas, será feita rapidamente.
No entanto, o resultado primário da fase de inteligência desta operação seria um
identificação dos alvos, bem como a técnica mais promissora para o lançamento de um
ataque cibernético que teria o efeito desejado. A má notícia é que este trabalho provavelmente já tem
feito por inimigos.
Uma arma cibernética é construída com uma carga útil e um vetor
Na próxima fase da operação, o atacante deve a) construir a arma cibernética; b) determinar como
para obtê-lo entregue; c) continuar avaliando os efeitos posteriores de seu uso; d) desenvolver contingências
para a operação se as coisas não saírem como planejado.
O efeito de um ataque cibernético pode ser menos sério do que o previsto ou pode se tornar muito
maior do que o previsto. Ao mesmo tempo, o monitoramento de inteligência, se possível, deve continuar a
detectar quaisquer mudanças materiais nas condições subjacentes, seja em termos de tecnologia, politicamente ou como um
mudança detectável nos níveis de segurança em um site de destino.
A parte mais importante da fase de preparação é construir o malware (“ciber-arma”) que
será usado. As armas cibernéticas são semelhantes a um vírus biológico; existem dois componentes cruciais.
Um vírus como o Covid-19 possui dois elementos essenciais. Primeiro, o RNA a ser injetado na célula
permitindo que ele cause a replicação do próprio vírus. Em segundo lugar, um caminho (“vetor”) deve estar disponível
para passar o RNA para a célula-alvo. Qualquer malware de arma cibernética também tem dois tipos essenciais
componentes. O primeiro é a “carga útil”. Isso se refere ao código [computador] que irá realizar o
operações do malware. No Stuxnet, o software de carga útil foi responsável por prejudicar o
centrífugas em Natanz, Irã. Em segundo lugar, o “Vetor”. Isso se refere ao “exploit” que será usado para
injetar o código prejudicial no sistema de informação de destino. Exploits são um “bug” no funcionamento
sistema, aplicativos ou dispositivos controlados por firmware conectados. Pode ser explorado para entrar sorrateiramente no
carga útil não detectada.
Há muita criatividade notável na escrita de façanhas. O recente ataque SolarWinds usou um
novo vetor de ser colocado em software comercial antes de ser distribuído da fábrica para
clientes. 48
48 Ver Dina Temple-Raston, A ‘Worst Nightmare’ Cyberattack: The Untold Story Of the SolarWinds Hack ”NPR
site (16 de abril de 2021). Na atribuição do ataque, o autor escreve que era “ Acredita-se que os hackers sejam direcionados
pelo serviço de inteligência russo ”responsável (ênfase adicionada). Não há indicação quanto à identidade do
quem acreditava que o ataque se originava na Rússia e por que eles chegaram a essa conclusão. Isso significa que a atribuição
para a Rússia é o produto da análise dos serviços de inteligência dos EUA ou propaganda que se apresenta como um “vazamento” para o alimentador
jornalistas. É impossível dizer. Tudo o que sabemos é que nenhuma evidência foi apresentada. Como poderia alguém
sabe os detalhes precisos de como o SVR na Rússia estava dirigindo um grupo de hackers na Rússia ? (SVR “ Sluzhba
vneshney razvedki Rossiyskoy Federatsii ”, Serviço de Inteligência Estrangeira da Federação Russa).
14
A obtenção desses dois componentes é completamente diferente. Na maior parte, exploits (“vetores”)
para entrega de uma carga útil pode ser obtido na Dark Web (“Mercado Negro”), onde eles estão
leiloada ao licitante com lance mais alto. Esses mercados operam com anonimato, ou pelo menos dão o
aparência de fazê-lo. Se essas explorações ainda não forem conhecidas pelos fornecedores do software, eles
recebem o nome de exploits “Zero Day”. 49
O design da carga útil é mais complexo. Aqui, o código deve ser escrito com precisão
especificações que realizarão a sabotagem pretendida. Para fazer isso, o hacker deve primeiro obter
um testbed realista para usar para garantir que o software funcionará. 50 Uma força de trabalho diversificada e qualificada é
necessário. É um esforço de equipe, não individual. Deve haver talento de programação, mas também
conhecimento de eletricidade e operação da rede, e também conhecimento da engenharia específica
características do dispositivo que será penetrado e manipulado para infligir o
dano.
Existe um mito popular de que as armas cibernéticas podem ser feitas “por qualquer adolescente em um porão usando
software baixado da web. ” Isso não é verdade se considerarmos o alvo. Não é
todos que podem escrever o código específico necessário para desativar uma rede elétrica. Apesar de
habilidades de programação, eles precisam ter excelente conhecimento da própria grade, como ela funciona e
equipamento específico sendo o alvo do ataque. Eles devem entender o funcionamento
procedimentos do estabelecimento específico visado.
Por exemplo, no malware Stuxnet usado para inibir o refinamento ilegal de urânio (separação de U-
235 do U-238) no Irã, os Estados Unidos passaram por várias etapas, incluindo
a) Interceptação em alto mar de centrífugas de gás idênticas que estavam sendo enviadas do Norte
Coréia para a Líbia; b) Transporte do equipamento apreendido para um de seus laboratórios nacionais,
provavelmente Oak Ridge; c) Configurar as centrífugas e fazer com que funcionem para que possam ser
estudado e usado como uma cama de teste; d) Estudo intensivo dos sistemas SCADA controlando o
equipamento; e) Desenvolvimento de um plano de ataque para o malware (o ataque deveria permanecer
escondido, para que as centrífugas parecessem quebrar aleatória e naturalmente); f) Desenvolvimento de um
plano de projeto de sistemas para criar o software para realizar a tarefa pretendida; g) Teste extensivo do
malware; h) Vigilância intensiva da instalação alvo no Irã com a finalidade de determinar o
método para entregar o malware; i) Adquirir os exploits Zero-Day para servir como vetores para o
carga útil de malware; então j) Teste Final.
Se a descoberta e análise forense do Stuxnet servir de guia, a experiência em programação para o seu
o desenvolvimento exigia pelo menos dois domínios separados da ciência da computação, incluindo a) Tradicional
programação familiarizada com sistemas operacionais e de rede de equipamentos TIC padrão; e
49 Uma vez que um exploit é descoberto (ou comprado) pelo fornecedor, eles rapidamente retificam a vulnerabilidade e emitem um
atualizar (“patch”) para seu software. Depois disso, a contagem regressiva para o exploit começa. Com o passar dos dias, os usuários ao redor
o mundo vem gradualmente instalar a atualização em seu sistema. Quando eles fazem isso, o valor do malware
diminui. Nem todo mundo corrige seu sistema em tempo hábil. Portanto, mesmo que um determinado exploit seja conhecido, e um
solução emitida em uma atualização, ainda permanece um grande número de usuários que são negligentes em fazer o
atualizar. Como consequência, eles permanecem vulneráveis.
50 Veja “Os adversários provavelmente tinham sistemas em sua organização que podiam avaliar e testar seus
contra o firmware antes da execução em 23 de dezembro. ” Relatório E-ISAC Ucrânia, p. 10, parágrafo 5 (ênfase adicionada).
15
b) Programação de máquina especializada dos sistemas SCADA, escrita em diferentes linguagens, e
contando com um conjunto geralmente separado de habilidades.
Isso nem mesmo leva em conta todo o conhecimento de engenharia necessário de como operar um
centrifugar. Além de todo esse esforço extenso, houve uma atividade significativa de inteligência colocada
em vigor, incluindo tanto a coleta, quanto o desenvolvimento ou preparação das redes humanas
que seria usado para introduzir o malware no Irã. Se essas atividades forem adicionadas à conta, e
considerando o trabalho de inteligência mais o trabalho de engenharia, o Stuxnet provavelmente custou um bilhão de dólares
arma.
Em suma, este era o tipo de trabalho que só poderia ter sido feito por um Estado-nação e definitivamente
não por alguém em um porão usando malware de prateleira comprado de comerciantes desprezíveis
à espreita na Dark Web.
A obtenção de acesso ao site requer análise e recursos de inteligência
A próxima fase pode muito bem começar quando a fase de preparação está terminando. A fim de
realizar este tipo de penetração de uma instalação de rede elétrica sensível, o invasor pode usar um
variedade de técnicas testadas e confiáveis.
Existem dois métodos de acesso para uma arma cibernética. Primeiro, pode ser introduzido por meio do
Internet. Se os sistemas atacados estiverem na web, eles podem ser atacados.
O spearphishing é a forma mais comum que os hackers usam para se firmar dentro de um sistema de destino.
Mas os especialistas em segurança estão cientes desse problema há muito tempo e, como consequência, não
conectou muitas máquinas críticas da Internet aberta. Isso é feito configurando pequenos
Internets usando a mesma tecnologia e padrões básicos, mas sem gateways para o exterior
mundo. Se isso acontecer, uma maneira comum de cruzar essa “lacuna de ar” é por meio de um funcionário da
instalação (ou visitante) que pode receber o malware em seu próprio laptop ou em uma unidade USB. Um de
as histórias famosas a esse respeito são o Estado da Nação que colocou malware invisível em drives USB,
em seguida, espalhou-os nos estacionamentos dos funcionários do Departamento de Defesa, ao que estes
foram apanhados, levados para as instalações e, em seguida, plugados para que os curiosos (o “vetor” involuntário)
poderia ver seu conteúdo. Depois de conectado a uma rede, o malware escapou para o sistema fechado
e o entreferro foi rompido.
Existem outras técnicas de acesso também. Isso inclui a) Recrutamento de recursos humanos dentro
a instalação ; 51 b) Penetração da instalação com um operário usando alguma forma de engenharia social
(fingindo ser alguém que não é); c) Montagem de equipamentos embarcados nas instalações; ou
d) Algum outro método desconhecido . 52
51 O recrutamento de humanos é feito através da estrutura MICE: Dinheiro, Ideologia, Chantagem ou Ego. Ver randy
Burkett “Uma Estrutura Alternativa para o Recrutamento de Agentes: De MICE a RASCLS” 57 Estudos em Inteligência 7
(2013)
52 Ver “[I] t é provável que o adversário modifique as abordagens de ataque em campanhas de acompanhamento e essas mitigações
estratégias podem não ser suficientes ”. Relatório E-ISAC Ucrânia, p. 14, parágrafo 1
16
Todas essas técnicas para entrega do malware requerem recursos extensos, vigilância, análise
e sofisticação. É possível que um treinamento extensivo seja necessário, aumentando ainda mais o
complexidade e barreiras que inibem um ataque cibernético.
O ataque cibernético à rede elétrica pode ter vários objetivos
Finalmente, chega a hora de realizar o ataque. A forma como isso ocorre depende da maior
teatro de conflito. Em seu sentido mais simples, o ataque deve ser visto dentro do contexto de outro paralelo
ações – políticas, diplomáticas, militares, econômicas – ocorrendo ao mesmo tempo. Aqui, o mais
distinção fundamental é se um ataque cibernético contra a rede elétrica ocorre ou não como um
esforço autônomo, ou está dentro do contexto de um conflito maior envolvendo convencional ou nuclear
armas. Nas Guerras do Golfo, o ciberespaço foi amplamente usado para “suavizar” os alvos iraquianos antes
ataques cinéticos reais foram lançados. Neste modelo clássico, a exploração das vulnerabilidades em
sistemas de informação era apenas uma das muitas ferramentas usadas pelos militares na condução de sua
trabalho convincente.
Sob a nova lógica de defesa estratégica, é possível que um ataque cibernético contra as redes elétricas da América
grade pode ser disparada como um evento autônomo. Relatos de ataques repetidos da Rússia na Ucrânia
rede elétrica e o apagão de Mumbai, na Índia, na China, são ataques desse tipo. Muito depende de
o contexto político geral e os objetivos do atacante. Ataques autônomos podem ser direcionados a
cumprir uma série de objetivos, incluindo a) causar danos a uma região específica de um estado-nação,
talvez um que seja simbólico, como a capital do país; b) Envio de um “sinal de alerta” para dissuadir
alguma ação atual ou temida do Estado-nação sendo atacado; c) Como punição por um real ou
confronto percebido com o Estado-nação do agressor; 53 ou d) Como um prelúdio ou diversão em
preparação para um ataque em outro lugar. 54
Lições aprendidas com ataques cibernéticos anteriores contra redes elétricas
Nos Estados Unidos, os ataques cibernéticos representam uma grande ameaça à rede elétrica. 55 hackers têm
uma série de tipos de equipamentos que eles podem visar, incluindo a) Controle de Supervisão e Dados
Sistemas de aquisição (SCADA); b) Sistemas de Gestão de Emergências, incluindo a Energia
Sistema de Controle, Sistema de Gerenciamento de Transmissão e Sistema de Gerenciamento de Geração;
c) Sistemas de Controle Distribuído (DCS) encontrados nas usinas geradoras; d) Automação de Subestação
Sistemas, localizados em subestações de transmissão; ee) Sistemas de Automação de Distribuição, encontrados em
subestações de distribuição ou em topos de postes de distribuição. A maioria deles está conectada pela Internet
protocolos.
53 Quando houve uma colisão na costa da China entre um caça a jato chinês impulsionado de forma imprudente e um avião americano
aeronaves de reconhecimento, e também quando houve um bombardeio acidental da embaixada chinesa na Iugoslávia (7
Maio de 1999). Bombardeio da OTAN. Operação Força Aliada. Local: Belgrado: 3 mortos 27 feridos. Houve um feroz
ciberataque contra os Estados Unidos lançado pelos chamados “hackers patriotas” na China.
54 Esta lista não está completa.
55 Ver palestra Marcus H. Sachs “Protegendo a Rede Elétrica Norte-Americana”, RSA (Rivest-Shamir-Adelman)
Conferência, São Francisco (13-17 de fevereiro de 2017).
17
O primeiro ataque cibernético do mundo à infraestrutura crítica
Em dezembro de 2015, a Ucrânia sofreu uma série de ataques cibernéticos em sua sociedade. 56 um de
os ataques foram atrás de sua rede de energia elétrica.
A rede elétrica na Ucrânia é composta por mais de 14.230 milhas de linhas de alta tensão
e 135 Subestações. Em 2015, o consumo de eletricidade chegou a 187 TWh. 57 o pico
carga do sistema foi de cerca de 32 GW. 58 Era alimentado por 14 usinas térmicas (102 unidades de 800-
150 MW); 4 usinas nucleares (15 unidades 1000-440MW); 7 usinas hidrelétricas (94 unidades 117-19MW);
3 instalações de armazenamento bombeado (9 unidades 325-37 MW) e 3 plantas de cogeração (9 unidades 250-100 MW).
Parece haver uma única grande junção aproximadamente em Uman ligando o Leste com o Oeste
do país.
Em 23 de dezembro de 2015, a usina elétrica que atende Ivano-Frankivsk, Ucrânia, sofreu um
ataque cibernético. Sete (7) subestações de 110 kV e vinte e três subestações de 35 kV foram
desconectado: 59
“Começamos a receber ligações de diferentes operadoras regionais de energia, o que foi uma surpresa
porque eles não estavam conectados à rede. Isso significava que algo incomum estava acontecendo.
Quando olhamos nossos computadores, vimos que os cursores do mouse se moviam sozinhos,
aleatoriamente, e estavam desconectando a energia de diferentes subestações, desconectando interruptores,
linhas e transformadores. O que fazer? Recebemos informações de que houve interferência externa. ” 60
Este ciberataque deixou 225.000 ucranianos sem energia elétrica. Os atacantes usaram com privilégios
Acesso. Eles corromperam os sistemas ICS na sala de controle e no campo e limparam (apagaram) os servidores
em todo o ambiente de TI. Tudo isso foi realizado sem a necessidade de sequer um
atacante para colocar os pés dentro da instalação. Os passos para conduzir o ataque são os seguintes: a) Lança
56 , 6 de dezembro (Ministério das Finanças; Tesouro do Estado; Fundo de Pensões do Estado); 12 de dezembro (Executivo Estadual
Serviço; Provedor de serviços de Internet Volya); 13 de dezembro (Ministério da Defesa); 14 a 15 de dezembro (ferrovias); Dia 16
(Ministério da Infraestrutura); 20º (Autoridade Portuária; Bolsa de Valores).
57 Terawatt-hora (TWh) é 10 12 Watt-Hora.
58 GW é Gigawatt ou 10 9 Watts.
59 Dados de Kyivoblenergo. Este nome é uma abreviatura de “Organização de Energia da Região de Kiev” [Kiev-Oblast-
Energia-Organizatsi].
60 OTAN, O que acontece quando uma usina elétrica sofre um ataque cibernético ?, Vídeo, Entrevista com Bohdan Soicuk,
Serviço de despachante operacional, Prykarpattyaoblenergo Power Plant, 2016.
18
Phishing; 61 b) Estabelecer acesso remoto persistente; 62 c) KillDisk; 63 d) Colheita de credenciais; 64
e) Hack VPN; 65 f) Aprender operações; 66 e g) Ataque. 67 Estes são descritos abaixo:
Como todas as campanhas de Spear Phishing, começou com um documento inocente de aparência oficial enviado
de um endereço de e-mail aparentemente oficial. O e-mail começava “De acordo com o Presidente
Decreto 15/2015 ”, que é a abertura padrão para um documento oficial na Ucrânia. Isso então
continua mencionando a “mobilização” nacional para “fortalecer a Ucrânia”. 68
O malware era um
macro dentro de um documento do Microsoft Office. Assim que o anexo foi aberto, o malware foi
injetados, infectando assim os terminais no sistema de informação.
Isso deu aos invasores um compromisso das estações de trabalho em três controles de distribuição de eletricidade
centros. 69
Uma vez lá dentro, a próxima etapa foi colher as credenciais de acesso (login e senha
em formação). Estes incluíam ambas as credenciais das estações de trabalho locais, mas também aquelas usadas para
acesso remoto 70 aos sistemas SCADA. Com esse acesso, os invasores instalaram malware no
Sistemas SCADA.
Ao mesmo tempo, os invasores desativaram a fonte de alimentação ininterrupta protegendo o controle
centros. Mais tarde, quando os funcionários da sala de controle estavam tentando restaurar seus sistemas, houve
não havia poder.
Em seguida, o firmware corrompido foi carregado e colocado nos gateways Serial-para-Ethernet nas subestações.
Estes são os gateways que pegam as informações de detecção do equipamento e as colocam na Ethernet
a caminho da Interface Homem-Máquina utilizada nas estações de trabalho dos operadores. Uma vez que
firmware ruim foi instalado, os gateways foram bloqueados, tornando impossível para alguém tentar
depois para religar a eletricidade remotamente para fechar os disjuntores, porque esses comandos
não iria passar. “Fechar” um disjuntor significa conectar o circuito permitindo que a eletricidade para
fluxo.
61 Administradores de sistemas direcionados em empresas de serviços públicos locais; (os invasores fingiram ser fornecedores ou
funcionários do governo).
62 Instalação de RATs (“Trojan de acesso remoto”) para estabelecer o acesso backdoor.
63 Os invasores então instalaram o malware “KillDisk”, tornando possível sobrescrever a maioria dos arquivos sob o comando do
atacante, tornando o sistema não inicializável.
64 Os invasores então adivinharam e roubaram credenciais até conseguirem obter um administrador (“admin”)
credenciais (“Coleta de credenciais”).
65 invasores capturaram credenciais de Rede Privada Virtual; isso permitiu a eles acesso remoto à sala de controle
sistemas sem ter que estar dentro das instalações.
66 Usando esse acesso, os invasores monitoraram as operações por semanas, aprendendo como o sistema era operado.
67 Depois de entender o sistema, os invasores executaram um ataque altamente coordenado.
68 Tradução do autor.
69 Observe que este ataque de phishing estava sendo conduzido em toda a Ucrânia, não apenas contra a rede elétrica
alvos.
70 “Acesso remoto” é usado quando um trabalhador deseja acessar sua estação de trabalho de fora, como quando eles
estão trabalhando em casa.
19
Depois que o acesso foi verificado, um operador se conectou de fora usando o
sistema de acesso remoto comprometido. Eles se conectaram e desligaram a energia abrindo
os disjuntores. Esta era uma opção em “modo de diálogo” para um operador. Um disjuntor “aberto”
significa que o circuito está cortado. Usando essa técnica, a energia em todas as subestações foi desligada.
Já que agora os disjuntores não podiam mais ser fechados por comandos remotos (o upload do firmware
tinha bloqueado esta capacidade), a única maneira de restaurar a energia era enviar o pessoal de reparo real para
as subestações fechem manualmente os disjuntores, permitindo que a eletricidade volte a fluir, assim
perdendo muito tempo.
O sistema SCADA na sala de controle foi então derrubado por mais malware cibernético. Este foi
feito usando um programa “limpador”, que apaga todos os dados de uma máquina. Uma vez que os dados foram
apagado de um sistema, a situação poderia ter sido salva usando um programa de backup e re-
instalar todo o sistema. Mas aqui, isso não poderia acontecer porque a energia havia sido cortada e
seu backup, a fonte de alimentação ininterrupta, foi colocada fora de serviço. Lembre-se daquele corte
a energia também cortou a energia do próprio centro de controle.
O ataque permitiu que os invasores desconectassem os disjuntores de eletricidade e cortassem a energia nas regiões
em toda a Ucrânia. Eles também foram capazes de bloquear os operadores da sala de controle de seus próprios
software, tornando impossível para eles fazerem seu trabalho. 71
Este foi um ataque astuto porque foi capaz de usar o sistema de controle SCADA existente para desligar
desligue a energia com as credenciais de um operador autorizado. Apenas ganhando o controle do
estações de trabalho e as credenciais foram suficientes. Em certo sentido, este foi um ataque menos sofisticado
do que aquele que pode ter envolvido o uso de malware especial para corromper os sistemas SCADA e
fazer com que operem de forma imprevisível. Isso aconteceu em Natanz, no Irã, desde o
Ataque de malware StuxNet. Mas na Ucrânia, durante este ataque, os sistemas SCADA operaram
corretamente – eram os comandos falsos das estações de trabalho sequestradas que eram a fonte do
problema.
A natureza do ataque cibernético nos diz algo sobre os invasores. É claro que detalhado
pensou-se não apenas em desligar a energia, mas também em dificultar para o
operadores para restaurá- lo. Para realizar esta operação, os atacantes teriam que saber
os procedimentos de restauração, e talvez tenha eliminado o ataque em uma instalação de teste. O remoto
atacante fingindo ser um operador legítimo teria necessariamente sido treinado na operação do
sistema. Eles precisariam saber como emitir os comandos corretos e como ler o visor.
Se os atacantes estivessem operando de qualquer parte da ex-União Soviética, poderia ter sido mais fácil
para eles terem obtido este treinamento em uma bancada de teste paralela, uma vez que a Ucrânia usa principalmente
Equipamento russo para sua rede elétrica. 72
Este evento, o primeiro ataque cibernético do mundo contra uma instalação de infraestrutura crítica, poderia ter sido
evitado se a empresa ucraniana tivesse posto em prática uma série de precauções bem conhecidas
71 Fonte : CyberArk “Threat Analysis: The Ukraine Shutdown” Video (23 de março de 2017).
72 Isso é mera especulação, mas plausível.
20
incluindo a) Proteção contra o ataque de Spear Phishing, que é um dos mais comumente usados
maneiras de colocar malware em sistemas de informação de destino; b) Definição de segregação estrita da TI
rede da rede SCADA usando uma abordagem de separação total ou implementação de
um DMZ. 73 (Isso teria evitado que os invasores passassem pela rede e instalassem o
Software “Wiper” no sistema SCADA.); c) Bloqueio completamente qualquer acesso remoto ao
sistema ou melhorando a segurança do acesso remoto por meio de ações como dois fatores
autenticação, e o requisito de que qualquer sessão de acesso remoto seja aprovada cada vez por local
equipe, (instalações sensíveis provavelmente não devem permitir nenhum acesso remoto; nenhum mesmo); d) Adicionando
controles de segurança de rede bem conhecidos para os gateways Serial-para-Ethernet usando um firewall
ou uma lista de controle de acesso que, por exemplo, teria bloqueado a porta TCP que foi usada para
uploads de firmware (a vulnerabilidade “Boreas”); 74 e) Não Ter seu Poder Ininterrupto
Fornecimento conectado à rede deles, pois foi assim que os hackers desativaram o fornecimento de energia,
deixando a sala de controle escura quando deveria estar trabalhando na recuperação dos sistemas. 75
É lamentável que todas as precauções de segurança acima fossem bem conhecidas na época, e elas
teria sido eficaz, pelo menos contra este ataque cibernético em particular.
Em essência, este plano envolveu a) Assumir o controle total dos sistemas da Sala de Controle; b) Então
abertura de disjuntores, desativando a fonte de alimentação de reserva ininterrupta; atualizando o firmware em
subestações para desativar as comunicações para que depois ninguém seja capaz de emitir restauração
comandos; e ativar o malware KillDisk em todo o ambiente de TI, causando apagamento
de estações de trabalho; e como a cereja do bolo; ec) Lançar um ataque de negação de serviço por telefone
que evitaria que os clientes relatassem interrupções. Foi totalmente profissional e bem
executado ataque cibernético e, obviamente, pretendia enviar um “sinal” ao Governo do
Ucrânia. Este talvez tenha sido um tipo de ataque de “demonstração”. Em um conflito real, assume-se que
os apagões teriam sido muito mais extensos.
Portanto, além de o ataque à rede elétrica da Ucrânia ser o “primeiro ciberataque do mundo contra
infraestrutura crítica ”, também foi“ o primeiro uso mundial de um apagão da rede elétrica para enviar um
poderoso sinal diplomático. ” 76
73 Em segurança de computador, uma DMZ ou zona desmilitarizada (“rede de perímetro”; “sub-rede filtrada”) é uma sub-rede
que limita a exposição das partes da rede interna para o exterior. Pessoas de fora podem acessar apenas o que está exposto. Outro
as coisas estão escondidas.
74 Ver discussão em Goce Kiseloski, Dobre Blazhevski, Veno Pachovski “Protegendo Redes de Energia: Haverá Luz
In The Future ”Working Paper, School of Computer Science and Information Technology, Skpoje, observando:“ The
A vulnerabilidade dos dispositivos ICS tem suas raízes há uma década. Vulnerabilidade identificada pelo Departamento de Segurança Interna dos EUA
em ICSs em 2007 apelidado de Boreas. Esta vulnerabilidade permite a desativação permanente de controladores simplesmente carregando
firmware manipulado. ” (sem data). Veja também Ralph Langner Stuxnet und die F OLGEN Hamburgo: Langner
Communications GMBH (agosto de 2017) p. 38 par. 1
75 Fonte : Langner Group.
76 Isso pressupõe que a intenção de realizar a operação realmente era da Rússia e o contexto geral envolveu o
situação tensa no Leste da Ucrânia, de importância estratégica vital para a Rússia.
21
O apagão do Texas mostra o que pode acontecer e com que rapidez
Um esboço de como funcionaria um desastre da rede elétrica nos Estados Unidos foi encontrado no mês de fevereiro
Blecaute de 2021 no Texas. Foi causado por um clima frio severo e, eventualmente, deixou 4,5 milhões
residências e empresas sem energia elétrica. Texas opera cerca de 46.500 milhas de eletricidade
linhas de transmissão conectadas a cerca de 5.000 subestações. Depende de um único balanceamento
autoridade, 77 e está interligado por meio de apenas dois links a outras redes porque deseja manter
independência do Governo Federal. 78
Ele recebe quase metade de sua energia de
queima de gás natural (51.667 MW, 47,45%). Surpreendentemente, o Texas é um estado relativamente “verde”, pois
obtém 31.390 MW da Eólica (28,83%). Outras fontes incluem 13.630 MW (12,52%) de carvão,
5.153 MW (4,73%) do nuclear e 6.177 MW (5,67%) do sol. Cada um desses diferentes
fontes de energia elétrica agem de forma diferente quando submetidas a condições meteorológicas extremas.
Em um período de 8 horas em 15 de fevereiro, a rede do Texas perdeu 15 GW de energia do gás natural,
e perdeu 3 GW do vento. Os parques eólicos não tiveram um bom desempenho com o mau tempo. Carvão
acabou perdendo cerca de 5.000 MW. Nuclear e solar também perderam alguma energia, mas suas participações são
insignificante em comparação com o gás natural.
O início da crise foi a demanda por eletricidade, que cresceu dramaticamente porque, para muitos,
era o principal meio de se manter aquecido. Por vários motivos, a partir de 15 de fevereiro, o
quantidade de capacidade de geração indisponível aumentou dramaticamente. Ele rapidamente saltou de
30.000 MW até 55.000 MW e aí permaneceram até meados do dia 17, ponto em que
começou lentamente a diminuir. Até o dia 20, havia sido reduzido para aproximadamente 29.000 MW
indisponível para uso.
Nos Estados Unidos, a rede elétrica deve operar a 60 ciclos por segundo. Claro que tem
alguma variação permitida. À medida que mais eletricidade é demandada, isso causa uma diminuição na frequência de
a grade. A menos que haja uma mudança repentina e massiva, as ações de indivíduos, ou mesmo de edifícios, são
não perceptível. As frequências da eletricidade gerada são cuidadosamente monitoradas, pois esta
os dados são usados para aumentar ou diminuir a quantidade de eletricidade gerada. Em um sentido simples, quanto mais
as pessoas ligam seus aquecedores elétricos, a frequência é diminuída, isso é detectado e os geradores
são encomendados para aumentar a produção. Esses ajustes acontecem em segundos. Não é diferente
“Rotação de placa.” 79
É uma maravilha da engenharia que isso aconteça na rede elétrica gigante e na granularidade
das medições estão em milissegundos. Em 15 de fevereiro no Texas, a frequência da rede foi
até um pouco mais de 60,1 (ciclos por segundo) por volta de 1:26 da manhã. Por 1:42 am tinha
caiu para 60,0, a taxa padrão. O termo que as empresas de eletricidade usam para desligar
o poder é “Descarte de carga”. Por volta de 1h45, apenas três minutos depois, a frequência caiu
77 Uma autoridade de equilíbrio garante, em tempo real, que a demanda e o fornecimento do sistema de energia estejam perfeitamente equilibrados. O
O Conselho de Confiabilidade Elétrica do Texas (ERCOT) cobre a maior parte, mas não toda, do Texas e consiste em um único balanceamento
autoridade. Fonte : US Energy Information Administration.
78 Os Estados Unidos têm aproximadamente 60 autoridades de balanceamento.
79 “Plate spinning” é uma arte de manipulação circense em que uma pessoa gira pratos, tigelas e outros objetos planos em postes,
sem que eles caiam.
22
para 59,88, e isso acionou uma ordem de “Depósito de carga” por volta de 1h47. Redução de carga é um importante
evento para uma concessionária de eletricidade porque significa que a energia está sendo cortada para os clientes.
Quem corta a energia? Existe um sistema de priorização, portanto, certas instalações críticas, como
hospitais, podem permanecer conectados à rede. Mas uma família que mora em sua casa será cortada. Após
todos, a maioria das pessoas estava dormindo no momento.
Infelizmente, esse corte de energia não foi suficiente. A demanda por eletricidade continuou a aumentar
para cima, diminuindo assim a frequência da rede, à medida que mais energia era exigida. Por 1:51 am, o
a frequência caiu abaixo da frequência crítica de 59,4 cps. Este é um tipo de “linha vermelha” para
a rede, porque como a frequência continuou a cair de 60 cps, a atividade de geração elétrica
da usina estava subindo para compensar, mas a 59,4 cps, a capacidade máxima de geração
da usina é alcançado, e ele desliga como uma medida de segurança, a fim de evitar danos ao
em si. Para impedir isso, a resposta deve ser a redução de carga imediata, e foi isso o que aconteceu.
Às 01h55, a frequência da rede ainda estava operando a 59,32 cps, perigosamente baixa. Então, este enorme
o desligamento de partes da rede do Texas acontecera em pouco menos de nove minutos.
A demanda por energia continuou a puxar para baixo a frequência da rede e permaneceu nos 59,32 cps
intervalo de mais quatro minutos, até 1h55, momento em que um terceiro pedido de carregamento de galpão foi
executado. Nesse ponto, a frequência da rede começou a se recuperar e por volta de 1:57 estava na faixa de 59,7,
e por volta de 1:59 estava no nível de 59,95 cps, ponto em que um quarto comando Shed Load foi
executado! Por volta das 2h01 às 02h02, a frequência ainda estava na faixa de 59,5, mas às 2h03 ela havia se recuperado
totalmente para 60 cps e em 2:05 estava para 60,19 cps. As severas ordens de Shed Load foram executadas
entre 1:51 e 1:59 am.
Apenas 8-9 minutos foram necessários para desencadear o blecaute.
A redução de carga permitiu que a capacidade total de geração da rede caísse de 71.000 MW
na noite de 14 de fevereiro para aproximadamente 48.000 MW (-32%) na noite de 15
onde permaneceu até meio-dia do dia 17, altura em que voltou a subir no dia seguinte para cerca de 65.000 MW.
O Load Shed no início era pequeno, mas no segundo pedido saltou para 10.000 MW. Então subiu
para cerca de 18.000 MW e atingiu 20.000 MW na noite do dia 15 e meio-dia no
Dia 16 No dia 17, estava caindo, mas permaneceu em torno de 15.000 MW no meio do dia, então caiu para zero em
meia-noite da manhã do dia 18.
O impacto econômico no setor de eletricidade foi substancial. Entre 13 e 19 de fevereiro,
o preço spot do gás natural subiu de uma média de três anos de menos de US $ 5 por MMBtu 80 para
mais de $ 230 dólares por MMBtu. Esta foi uma ruptura severa para o mercado de gás natural.
Essa mudança na disponibilidade de energia elétrica também teve um efeito substancial em sua comercialização. No Texas,
como em qualquer outro lugar, diferentes empresas que fornecem a rede compram eletricidade umas das outras em um
80 MMBTU são milhões de unidades térmicas britânicas (BTU); 1 BTU é a quantidade de calor necessária para aumentar a temperatura de
meio quilo de água por um grau Fahrenheit.
23
“Conforme necessário”. Os preços permanecem geralmente baixos, mas são ajustados dinamicamente de acordo com
para exigir. Se houver um “pico” na demanda, o preço à vista da eletricidade no atacado aumentará.
Isso é contabilizado regularmente, à medida que as empresas compram umas das outras, e
reconciliar periodicamente. Em 13 de fevereiro, o preço à vista da eletricidade no atacado do Texas subiu
a $ 1.000 por MWh. 81
Em seguida, saltou rapidamente para US $ 8.900 por MWh, o que é um
preço extraordinariamente alto. No dia 14, estava de volta à faixa de $ 900- $ 1.000, mas depois como
a noite caiu para $ 2.000, depois para $ 5.500 e depois para $ 8.900 novamente. No dia 15, o preço
caiu por um curto período para $ 4.000, mas rapidamente voltou a subir para $ 8.950. Como o Descarte de Carga
ações foram realizadas, o preço à vista caiu para baixo para US $ 1.500, mas naquela noite
saltou de volta ao “teto” de $ 9.000 e permaneceu nesse nível até a tarde do
19, altura em que caiu para um pouco acima de zero, que é a taxa habitual. Para
algumas instalações que tinham contratos para pagar pela eletricidade a uma “taxa de mercado” em vez de uma taxa fixa,
eles foram submetidos a um “choque na etiqueta” ao receberem suas contas de luz.
A lição do Texas é que a rede elétrica é mais frágil do que talvez se possa pensar. Fora
de eventos de alcance, como um aumento indesejável na demanda, pode causar uma cascata de apagões. Isso também
indica que um ataque inimigo contra a rede elétrica dos EUA ocorreria idealmente em climas muito frios
clima, quando a demanda de eletricidade está em seu pico. Isso aumentaria a chance de um desastre catastrófico
falha.
O apagão de Mumbai confirma a ameaça de malware pré-posicionado
Índia e China têm uma disputa de fronteira no Nordeste da Índia. Parte do problema tem sua origem
no desmembramento da Índia e no desmembramento do Paquistão em 1947. 82 Em 1963, o território a leste do
A cordilheira de Karakoram, na fronteira com Ladakh e Baltistão, foi cedida pelo Paquistão à China, mas esta foi
não reconhecido pela Índia. Esta é a origem da disputa de fronteira. O problema decorre da
tenta unilateralmente apreender o território indígena. Um tenso impasse acabou levando a vários indianos
mortes nas mãos dos invasores chineses. Por que essas duas grandes nações teriam um exército
o conflito sobre este terreno baldio desolado e despovoado é difícil de entender. O conflito tem
cozinhando por décadas.
À medida que o conflito e a argumentação se intensificavam, grupos de hackers chineses desenvolveram um plano para uma
ataque à rede elétrica da Índia. De acordo com as técnicas de penetração comumente usadas, os hackers
configurar vários domínios typosquat 83 . Estes eram imitações dos nomes de domínio indianos
empresas de energia elétrica. Por exemplo, NTPC Limited é uma empresa indiana no setor de eletricidade
negócio de abastecimento. O typosquat usado pelos hackers foi ntpc-co.com, enquanto a web genuína
o endereço era ntpc.co.in. Havia pelo menos 15 domínios registrados dessa forma, e a maioria estava hospedada
pela mesma empresa HKBN Enterprise Solutions HK Limited. Três foram hospedados por
81 MegaWatt hora.
82 O Império Indiano Britânico foi dividido entre o Domínio da Índia e o Domínio do Paquistão.
83 O termo “typosquat” é uma combinação de Tipo e Agachamento. No jargão da Internet, a ocupação está tomando conta do
domínio de outro, e recusando-se a liberá-lo até que seja pago. Geralmente se refere a um nome de domínio semelhante
o suficiente para o domínio de destino para que os dois sejam facilmente confundidos. Tipo (erro de digitação) refere-se à forma como agachar
ocorre, o que ocorre por meio de uma ligeira modificação de um nome de domínio protegido. Um exemplo de typosquat seria
Update-Microsoft.com ou Microsofts.com.
24
EHOSTICT, outra empresa na China. 84 As inscrições foram feitas pelo WEBCC, que oferece
registro para vários domínios, como “.cc”, “.cn”, “.sg”, “.tw” e um número em chinês
caracteres como “. 香港” (xianggang) (Hong Kong) e “. 公司” (gongsi.xianggang) (Empresa,
Hong Kong). 85 Os domínios foram registrados por meio de eznowdns.com, uma “autoridade incomum
nome do servidor.” 86
A função dessas instalações era funcionar como servidores de Comando e Controle (C2) que direcionam
malware secretamente pré-posicionado em sistemas de informação de destino. Os servidores C2 trabalham aproximadamente em
esta sequência a) Foi encontrada uma exploração para carregar malware em um sistema de informação de destino; b) Uma vez que o
o malware está em posição, ele coleta informações sobre o sistema host que infectou; c) O malware
em seguida, envia sinais para o servidor C2; esses sinais contêm informações importantes sobre o
sistema de destino (localização; tipo de aplicativos; nome; outras características); d) O servidor C2 então
“Decide” se o sistema alvo se tornará alvo de ataque; e) Se sim, então o malware é enviado um
sinal para ativar; f) Se ativado, o módulo de malware começa a baixar e executar mais
código malicioso para fazer coisas como exfiltrar dados, apagar todos os dados do sistema de informações,
alterar configurações importantes, roubar credenciais, etc. 87 g) Caso contrário, o malware permanece inativo e
talvez em algum ponto se apague.
Se a presença do malware dentro do sistema de destino não for conhecida, no entanto, este tipo de
operação pode ser detectada quando o malware oculto envia seus sinais para o servidor C2. 88 em
em algum ponto do ambiente host, o sinal deve passar por um roteador. Mas os roteadores podem ser
treinado para procurar endereços IP específicos ou até mesmo endereços IP que não são “comuns”. Para
exemplo, se o processo dentro do sistema host na Índia geralmente é projetado para interagir com
estações de trabalho dentro de suas instalações, então por que um pacote de informações estaria saindo pela porta
para um servidor desconhecido registrado em Hong Kong?
84 Não se sabe quando esses domínios foram operacionais pela primeira vez.
85 Usando pinyin para romanização.
86 Ver análise do Insikt Group, Cyber Threat Analysis China , White Paper, Recorded Future, Doc. No. CTA-CN-2021-
0228, doravante denominado “Insikt Rpt.”. NB: Um servidor de nomes refere-se ao componente de servidor do Sistema de Nomes de Domínio
(DNS), um dos dois principais namespaces da Internet. A função mais importante dos servidores DNS é o
tradução (resolução) de nomes de domínio memoráveis (example.com) e nomes de host no
endereços de protocolo de Internet (IP) numéricos correspondentes (93.184.216.34), o segundo espaço de nome principal do
Internet, que é usada para identificar e localizar sistemas e recursos de computador na Internet.
87 Ver Kaspersky “ShadowPad: Como invasores escondem backdoor em software usado por centenas de grandes empresas
ao redor do mundo ”, blog de notícias cibernéticas em kaspersky.com:“ Após a instalação de uma atualização de software infectada,
o módulo malicioso iria começar a enviar consultas DNS para domínios específicos (seu servidor de comando e controle) em um
frequência de uma vez a cada oito horas. A solicitação conteria informações básicas sobre o sistema da vítima (usuário
nome, nome de domínio, nome de host). Se os invasores consideraram o sistema “interessante”, o servidor de comando
responderia e ativaria uma plataforma de backdoor totalmente desenvolvida que se implantaria silenciosamente dentro do
computador. Depois disso, por comando dos atacantes, a plataforma backdoor seria capaz de baixar e
execute mais códigos maliciosos. ”
88 Consulte Insikt Rpt., (“Usando uma combinação de proativas … detecções de infraestrutura, análise de domínio e … Tráfego
Análise ”p. 1).
25
São feitas tentativas para evitar esse tipo de detecção, e isso é feito espaçando os sinais para
apenas 2-3 por dia, e do ponto de vista dos dados, são mensagens muito pequenas, provavelmente criptografadas.
Mas esse tipo de vôo sob o radar nem sempre funciona.
A vantagem deste tipo de abordagem de “espalhar sementes e então avaliar” para o invasor reside na
falta de discriminação no ataque inicial. Em vez de ser forçado a fazer uma extensa pesquisa
com antecedência para encontrar as ciber-localizações precisas 89 dos sistemas alvo, pode-se simplesmente vomitar um
ataque gigante em toda a Internet, e esse ataque pode ter pouca ou nenhuma necessidade de discriminação
entre sistemas antes de infectá-los. Na questão do poder de Mumbai, os atacantes estavam usando
ShadowPad, que é um “backdoor plantado em um software de gerenciamento de servidor … usado por centenas
de grandes empresas em todo o mundo. ” 90 O software foi plantado na tecnologia NetSarang 91 . Isto
foi possível para alguém determinar que havia um grande número de IPs resolvidos para indianos
infraestrutura crítica. 92
Parece que esses servidores C2 baseados na China foram capazes de pré-posicionar software malicioso em “10
distintas organizações indianas do setor de energia, incluindo 4 dos 5 centros regionais de despacho de carga
… responsável pela operação da rede elétrica. ” 93 Isso aconteceu aproximadamente ao mesmo tempo
enquanto os soldados indianos lutavam contra as invasões das tropas chinesas perto de Chushul.
Em maio de 2020, o tenso impasse resultou nas primeiras mortes em combate entre a China e a Índia em
45 anos.
Em 13 de outubro de 2020, a eletricidade falhou no centro de Mumbai. Aconteceu no centro do
distrito comercial vibrante. Os serviços de trem e emergência tiveram sua energia elétrica interrompida. O
a própria bolsa de valores conseguiu continuar operando, provavelmente por ter reserva de reserva
poder, mas seu volume de negócios despencou. A queda de energia começou às 10h e durou por
duas horas. Neste momento, a crise da Covid estava no auge em Mumbai e, à medida que os hospitais perdiam energia,
houve uma onda repentina de medo e pânico. A queda de energia atingiu a capital financeira da Índia, e
áreas circundantes.
Uma investigação da Tata Power determinou posteriormente que havia um desligamento simultâneo de circuitos em
duas subestações, Kalwa e Kharghar. Isso causou uma grande queda na frequência da rede em Mumbai
sistema de transmissão e levou ao corte do fornecimento de energia.
O governo de Maharashtra investigou o blecaute e concluiu que era resultado de um ciberespaço
sabotar. Seu Ministro do Interior, Anil Deshmukh, forneceu um briefing com base em um relatório confidencial
sobre o incidente de blecaute:
89 endereços IP.
90 Ver Kaspersky “ShadowPad: Como invasores escondem backdoor em software usado por centenas de grandes empresas
em todo o mundo ”, blog de notícias cibernéticas em kaspersky.com.
91 Netsarang Computer em www.netsarang.com . Isso foi descoberto em julho de 2017 pela Kaspersky Lab.
92 Insikt Rpt., Ibid.
93 Insikt Rpt. avaliar que “o pré-posicionamento em ativos de energia pode apoiar vários resultados potenciais, incluindo
sinalização geoestratégica durante tensões bilaterais intensificadas, apoiando operações de influência, ou como um precursor de
escalada cinética. ”
26
“Quatorze [programas] de malware Cavalo de Tróia podem ter sido instalados no servidor. Da mesma forma, 8
GB [de] dados não contabilizados podem ter sido transferidos de [um] servidor externo. … Muitos na lista negra
As firmas de IP podem ter tentado fazer login no [poder indiano] servidor [s]. ”
A pesquisa foi feita por Ernst & Young que trabalhava com uma unidade de crimes cibernéticos de Maharashtra
governo. 94 O relatório preliminar de 100 páginas da unidade de crime cibernético retratou três potenciais
métodos de sabotagem, um ataque de malware ao servidor do Maharashtra State Electricity Board
(MSEB), uma transferência de 8 GB de dados não contabilizados de um servidor externo para o MSEB e tentativas
por vários endereços IP na lista negra para fazer login no servidor MSEB.
Após o ataque, foi relatado que a Central de Eletricidade enviou alertas informando
operadores que 40 subestações detectaram malware entrando em seus sistemas de informação. Da Índia
Equipe de Resposta a Emergências de Computador (CERT-In) relatou que Comando e Controle (C2)
servidores na China estavam fazendo contato com sistemas no Centro de Despacho de Carga Estadual de Telangana.
Ele identificou a presença do malware ShadowPad. Informações críticas nacionais posteriores da Índia
Centro de Proteção de Infra-estrutura (NCIIPC) emitiu um alerta apontando para um Estado chinês patrocinado
grupo e divulgou uma lista de IPs e domínios registrados que devem ser bloqueados. Aconselhou todos
concessionárias de energia para tomar medidas de proteção e segurança. Os operadores indianos obedientemente levaram a lista
de servidores C2 chineses e reconfigurou seus firewalls para excluí-los. Como parte da casa
limpeza, todos os centros de controle da rede elétrica não apenas bloquearam os IPs listados e
domínios, eles também verificaram todos os seus softwares para procurar qualquer malware instalado. Algum
instalações removidas malware descoberto de seus sistemas. Suas configurações de firewall eram
fortalecido ainda mais. Além disso, outras medidas de proteção foram postas em prática. 95 Índia é re-
avaliando o uso de equipamentos de fabricação chinesa em sua rede.
Não foi o primeiro incidente. O sistema de energia Telangana havia sido atacado anteriormente por hackers
em abril de 2019. Sua área de serviço na Grande Hyderabad havia sido submetida a um ransomware
incidente. 96
A mensagem foi clara. O fechamento de uma rede elétrica é uma possibilidade para a China em seus ataques
na Índia. Em termos diplomáticos, o blecaute de duas horas foi considerado por muitos como um “aviso”
Para a Índia.
Ataques à rede da América virão de nações e terroristas
O tipo de ataque cibernético que pode ser lançado por um oponente contra os Estados Unidos também varia
com as capacidades do invasor. Depende de fatores como a) a força e
motivação do atacante; b) sua situação estratégica; c) a intensidade do conflito; d) o tipo de
94 Vários meses depois, 2 de março de 2021, o Ministro da Energia da União, RK Singh, afirmou que a queda de energia havia
foi causado por erro humano e que “não havia evidência” de que o ataque tivesse sido causado pela China.
Governos e serviços públicos muitas vezes negam ou encobrem ataques cibernéticos rotineiramente, pois relutam em reconhecer
vulnerabilidades.
95 As empresas de energia indianas não foram específicas quanto aos detalhes de suas contra-medidas.
96 Os índios não pagaram. Eles simplesmente suspenderam os serviços por 3 a 4 dias enquanto reconstruíam seu sistema de TI.
27
efeito procurado, por exemplo, tangível ou principalmente simbólico; ee) a co-dependência do ciber-
ataque com outros eventos.
Atores não estatais têm meios limitados, mas podem causar danos substanciais
O ator não estatal não tem as capacidades de uma superpotência ou de qualquer Estado-nação. 97 It
carece de habilidades de engenharia, dinheiro e infraestrutura para desenvolver uma arma cibernética tão complexa e
sofisticado como o Stuxnet. Esta escassez de recursos disponíveis para dedicar a um ataque cibernético significa
que será mais difícil se envolver naquele trabalho abrangente de inteligência cibernética necessário para
escolha um alvo e determine suas vulnerabilidades. Sem recursos de digitalização automática em rede,
seria problemático pré-posicionar bombas lógicas na rede elétrica americana. Dentro
Além disso, seria muito mais desafiador reunir os recursos e habilidades necessárias para
desenvolvimento de sistemas de uma arma cibernética sofisticada como o StuxNet. Isso faria com que
difícil criar um ataque específico do dispositivo.
Isso nos deixa com a expectativa de que um ataque cibernético de ator não estatal contra a rede elétrica dos Estados Unidos
Os estados teriam as seguintes características: a) Seria organizado por uma pequena equipe; b) Lá
é uma grande probabilidade de que o ataque ocorra no local em vez de remotamente; c) Social
engenharia e recrutamento de companheiros de viagem podem muito bem ser usados para obter acesso ao local e coletar
inteligência; d) Os ataques são mais prováveis contra alvos da sociedade civil do que contra os
militar porque (i) há uma mudança menor percebida de retaliação devastadora; e (ii) ataques
contra os alvos da Sociedade Civil têm um maior efeito psicológico e de propaganda; e) A capacidade de
atacar toda a rede elétrica dos Estados Unidos é inexistente, conseqüentemente, os ataques seriam em
a maioria contra uma instalação regional, embora vários ataques, talvez 2-3, possam ser lançados em
locais diferentes ao mesmo tempo.
Em suma, os ataques cibernéticos de atores não estatais contra toda a rede elétrica são um evento improvável;
quaisquer ataques contra redes elétricas regionais (ou municipais) do ponto de vista cibernético são mais prováveis
mas seria pouco sofisticado e primitivo.
O Irã tem um histórico comprovado de grandes ataques cibernéticos
As capacidades do Irã para conduzir um ataque cibernético são consideravelmente melhores do que as do rag-
identifique bandos de terroristas e brigadas revolucionárias rondando pelo mundo. Para um pequeno país,
marcou alguns ataques cibernéticos notáveis, incluindo o ataque de grande sucesso “Shamoon” em
2012 contra Saudi Aramco e RasGas do Catar. Também conhecido como W32.DistTrack, o computador
vírus coletou arquivos valiosos, transmitiu-os ao invasor, apagou todos os dados no
sistema infectado e, em seguida, apagou seu registro mestre de inicialização, tornando impossível reiniciá-los
estações de trabalho de computador que dirigem a companhia petrolífera nacional da Arábia Saudita. Os atacantes alegaram ser
a “Espada Cortante da Justiça”. Mais de 30.000 estações de trabalho foram limpas. O ataque teve
foi programado para coincidir com o Ramadã, então havia menos pessoal no local, permitindo que o malware
para se espalhar mais amplamente sem ser detectado. Observe que esse tempo era geralmente contextual
na natureza e, portanto, não exigia extensa coleta de informações dentro das instalações visadas.
97 Se os atores não estatais estivessem agindo em nome de um Estado-nação, consideraríamos que se tratava de um Estado-nação
ataque.
28
Este ataque foi bem-sucedido, mas também pode mostrar as limitações nas habilidades iranianas, pelo menos naquele momento:
a) O ataque foi um ataque geral contra estações de trabalho, e não direcionado a um controle de processo específico
(SCADA) equipamento, o que teria exigido mais sofisticação na engenharia do
carga útil; b) Embora limpar os discos rígidos das estações de trabalho certamente seja qualificado como um ataque, o
o máximo que conseguiu foi um atraso de uma semana enquanto os tecnólogos sauditas restauravam as informações
infraestrutura, o que implica que, embora o ataque tenha sido uma irritação, em última análise, causou pouco dano; e
c) Os atacantes divulgaram em PasteBin.com 98 a finalidade do ataque e sua motivação; esta
feito antes do ataque ocorrer, diminuindo ou eliminando totalmente as chances de
anonimato.
No entanto, até o momento, o Irã tem um histórico comprovado de ataques cibernéticos em: a) desfiguração de sites; b) dados
violação e roubo; c) ataques de negação de serviço; ed) ataques destrutivos, como um ataque “limpador”
isso apagará os sistemas de informação da vítima. Por exemplo, além da Saudi Aramco (2012)
ataque, o Irã marcou uma série de ataques contra os Estados Unidos. Estes incluem: a) o 2014
ataque ao Sands Casino em Las Vegas que destruiu dados de sua rede interna; 99 b) a
número de ataques DDoS contra bancos dos EUA (Bank of America; Wells Fargo; PNC Financial;
SunTrust Banks) entre 2011 e 2013 (feito sob o nome “Qassam Cyber Fighters”);
c) operações massivas de informação (atividades de influência) envolvendo Twitter e Facebook entre
2009 e 2019; d) ciberespionagem contra o Departamento de Trabalho dos Estados Unidos e a Federal Energy
Comissão Reguladora; ee) acesso e manipulação dos sistemas SCADA do Bowman
Barragem em Rye, Nova York em 2013. Este último ataque indica os esforços iranianos para desenvolver ataques cibernéticos
recursos contra infraestrutura crítica.
Podemos esperar que um ciberataque iraniano contra a rede elétrica dos Estados Unidos
têm as seguintes características: a) Provavelmente dependeria do uso de ferramentas relativamente indiscriminadas
para acesso que pode ser realizado à distância, como o uso de e-mails de phishing; b) Irã
iria se concentrar na interrupção dos sistemas de informação e, em seguida, confiar nos efeitos secundários contra o
infraestrutura mais profunda da rede elétrica, em vez de tentar causar esses efeitos secundários
em si; c) O ponto de ataque mais provável do Irã usando cibernética seria serviços de baixa criticidade, como
os sistemas de mercado envolvidos na compra e venda (corretagem) de eletricidade; d) Irã
progresso na ciência e tecnologia 100 sugere que ele tem as capacidades técnicas para atingir
sistemas de criticidade, como Sistemas de Aquisição de Dados e Controle de Supervisão (SCADA) ou
sistemas de criticidade média, como automação de subestações ou sistemas de gerenciamento de energia; 101
98 “Nós … um grupo de hackers anti-opressão … queremos atingir o … regime corrupto de Al-Saud [que tem] … mãos …
infectado com o sangue de crianças e pessoas inocentes. ”
99 O proprietário (53%) do Sands Casino na época era Sheldon Adelson (1933–2021), um apoiador de Israel.
100 Em 2013, 1.505.030 estudantes de engenharia na universidade; 509 doutorados produzidos em 2012 (dados mais recentes); excede
Turquia em número de publicações científicas (arbitradas) citadas (2008-2012); cerca de 40 parques industriais científicos.
Fonte : UNESCO Science Report: Towards 2030 (2015). Além disso, o Governo do Irã desenvolveu um
várias capacidades cibernéticas ofensivas, incluindo a Organização de Guerra Eletrônica e de Defesa Cibernética do IRGC; Basij
Cyber Council (força cibernética paramilitar); Comando de Defesa Cibernética; Ministério de Inteligência e Segurança (MOIS),
semelhante à Agência de Segurança Nacional dos EUA (NSA) e ao Corpo da Guarda Revolucionária Islâmica (IRGC) com o exterior
atividades cibernéticas.
101 O Irã já teve a chance de fazer a engenharia reversa do StuxNet.
29
e) O Irã tem uma chance moderada de infligir danos temporários, mas substanciais à rede elétrica,
principalmente em suas operações de processamento de informações de apoio; f) É improvável que o Irã fosse
capaz de atacar toda a rede elétrica dos Estados Unidos.
Em suma, o Irã pode ser um sério irritante contra a rede elétrica, mas ainda não tem capacidade
de lançar um ataque cibernético coordenado em todo o país. O Irã deve ser considerado capaz de fazer
danos substanciais aos processos secundários associados à geração de eletricidade.
Espera-se que, de acordo com a política atual dos EUA, o Irã desenvolverá armas termonucleares na metade
cerca de uma década junto com as capacidades de mísseis necessárias para seu lançamento. Como tal, o Irã
teoricamente poderia explodir tal arma na atmosfera dos Estados Unidos, causando um
pulso eletromagnético (EMP) para prejudicar partes significativas da rede elétrica. É avaliado que:
a) O Irã tem o conhecimento técnico de como empregar os efeitos do PGA gerados a partir do início
bombas atômicas na atmosfera e continua a buscar a aquisição de um dispositivo EMP que pode
ser usado, desde que pudesse ser entregue nos Estados Unidos; b) O Irã continua trabalhando duro
para desenvolver exploits cibernéticos na rede elétrica dos Estados Unidos e teve sucesso na implantação
de malware; c) Apesar de sua postura chauvinista implacável, a liderança iraniana seria cautelosa
da resposta dos Estados Unidos, que sem dúvida reagiriam com força.
No ciberespaço, a China é uma ameaça mortal para os Estados Unidos
A República Popular da China parece ser o líder mundial em espionagem cibernética, pelo menos se
medido pelo volume de informações furtadas. 102 Além disso, é o maior fabricante do mundo
e consumidor de energia elétrica e equipamentos elétricos. É razoável supor que no
curso de P&D da China em sistemas de rede elétrica, realizou uma extensa pesquisa técnica
(análise de patentes; desmontagens de equipamentos de fabricação estrangeira; avaliação de
procedimentos; espionagem industrial de novas tecnologias). Além disso, após as Guerras do Golfo, a
O estabelecimento militar adotou um programa de “choque” para desenvolver capacidades cibernéticas. A China também tem
enviou para os Estados Unidos muitos cientistas que penetraram nas câmaras de controle da América
operadores de rede elétrica. Este acesso deu aos agentes da China inúmeras oportunidades de coletar
ampla inteligência na rede dos EUA, incluindo procedimentos operacionais e de recuperação também
como características (máquinas específicas e identidades de hardware) de seus sistemas de controle de TIC de suporte.
A China tem dinheiro, rede nacional de laboratórios, pessoal treinado e necessidade estratégica para
desenvolver armas cibernéticas da mais alta qualidade, capazes de interromper gravemente a rede elétrica
em todos os Estados Unidos. A diáspora chinesa nos Estados Unidos colocou um potencial
Agentes chineses 103 em praticamente todas as partes da engenharia e P&D associadas ao
rede elétrica. Além disso, a China não é impedida de atingir os Estados Unidos, como visto na
ataque cibernético massivo lançado em retaliação à colisão de abril de 2011 entre um americano
plataforma de inteligência e um jato chinês. O piloto chinês voou imprudentemente perto da aeronave norte-americana
102 Ver “Avaliamos que a China apresenta uma ameaça prolífica e eficaz de espionagem cibernética, possui uma ciberespionagem substancial
capacidades de ataque … [e] podem causar interrupções temporárias localizadas na infraestrutura crítica dentro da United
Estados ”ODNI 2021 Rpt. p. 8, parágrafo 5-6
103 O Governo da China usa a família extensa que permanece na China para coagir a cooperação da família
membros que moram nos Estados Unidos, mesmo que sejam cidadãos americanos.
30
e teria caído, matando o piloto, embora a morte não tenha sido confirmada. 104 em breve
depois disso, os Estados Unidos sofreram vários ataques cibernéticos em massa. Estes foram organizados
e apoiado pelo Governo da China, embora sob a ficção risível eles fossem
Ações “espontâneas” de cidadãos chineses patrióticos e preocupados. Os ataques, motivados por tais
slogans como “Hack it Great Chinese !!”, e sites construídos às pressas como KillUSA.com foram
pretendia servir de aviso aos Estados Unidos.
Outro fator para a compreensão do perigo de ataques cibernéticos feitos pela China é o contexto
estrutura de sua estratégia geral, ou a falta de uma. Na última meia década, a diplomacia chinesa
fez o que nenhuma outra nação foi capaz de fazer: estimulou a formação de uma aliança cooperativa
como sistema entre Japão, Índia, Vietnã, Coreia do Sul, Filipinas e outros destinados a
resistir ao expansionismo hegemônico chinês. Esses países combinados têm mais população,
mais tecnologia e mais dinheiro do que a China. 105
Em vez de confronto físico, China
prefere como padrão o uso de “poder brando” , por exemplo, propaganda e corrupção das elites por suborno. Dentro
Texas, empresas chinesas compraram grandes extensões de terras e estão se estabelecendo
parques eólicos para aproveitar subsídios para energia verde pagos pelo governo dos Estados Unidos. Assim sendo,
podemos esperar que não haja diminuição da espionagem cibernética intensiva conduzida pelos chineses
o próprio governo contra os Estados Unidos e suas indústrias, incluindo a rede elétrica.
Podemos esperar que um ataque cibernético da China contra eletricidade nos Estados Unidos teria o
seguintes características: a) A China tem a capacidade de desativar todas ou, pelo menos, partes muito grandes de
a rede elétrica (Eastern, Western, Texas Grid Interconnects), bem como áreas específicas de destino,
como energia em uma única área metropolitana; b) Um ataque cibernético massivo contra todo o sistema elétrico
grade ocorreria no contexto de uma guerra geral entre os Estados Unidos e a China,
mas uma guerra convencional ou nuclear em grande escala é altamente improvável; c) O mais provável é um grande ciber-
ataque contra toda a rede elétrica dos EUA antes da eclosão de uma guerra convencional ou nuclear, ou
durante uma crise internacional extrema, para deter ou derrotar os EUA com uma “agressão da zona cinzenta”
em vez de ou antes da eclosão de uma “guerra de tiro real” consistente com a doutrina militar da China
que a guerra cibernética é uma revolução sem precedentes e decisiva em assuntos militares; d) China é
preparado para usar ataques direcionados contra a rede elétrica da América como um método autônomo de
lutando contra o que chama de “Hegemonia dos EUA”; e) Há uma chance moderada de algum evento irritante
como uma colisão acidental de barco em alto mar levando a uma repetição do incidente da Ilha de Hainan,
levando a outro ataque cibernético “patriótico” fabricado contra os Estados Unidos, talvez contra um
pequena parte da rede elétrica (mas não em relação a todo o sistema, e apenas se houvesse
perda significativa de vidas chinesas no incidente); f) A China pode se envolver em um ataque cibernético contra
sistemas de rede elétrica de baixa criticidade como um aviso simbólico se temesse um ataque do
Estados Unidos; g) A China pode se envolver na corretagem de informações de vulnerabilidade sobre o sistema elétrico
rede nos Estados Unidos como uma atividade lucrativa sem escrúpulos, com exploits sendo vendidos para
Atores não estatais ou nações como a Rússia.
104 Ver Shirley A. Kan, et al., China-US Aircraft Collision Incident of April 2001: Assessments and Policy Implications
Relatório CRS para o Congresso, nº RL30946 (10 de outubro de 2001).
105 Ver ampla discussão e análise em Edward N. Luttwak, The Rise of China vs. the Logic of Strategy
(Cambridge: Belknap Press, 2012).
31
A Rússia está mais bem preparada para se defender contra ataques cibernéticos e usar o ciberataque como um
Arma Estratégica
A Rússia não tem a quantidade de dinheiro ou recursos humanos da China, mas tem
capacidades de formulação de estratégias. Além disso, a Rússia tem um histórico comprovado de capacidade de
desenvolver capacidades ofensivas de classe mundial em qualquer campo usando uma fração dos recursos do
Estados Unidos. A Rússia não se gaba e divulga suas capacidades de guerra cibernética como fazem os Estados Unidos
Estados, mas a partir do exame de documentos publicamente disponíveis, sabemos que, se necessário, pode
integrar estreitamente suas forças armadas com todos os recursos da sociedade civil, incluindo todos os seus hackers. 106
As empresas russas de segurança cibernética monitoram rotineiramente a Internet mundial e são sensíveis a qualquer
ameaças. Ao contrário dos Estados Unidos, a lei russa incentiva passivamente o desenvolvimento de
habilidades de hacking porque não é ilegal para seus cidadãos hackear recursos de computação fora de outros
países. 107 Finalmente, a Rússia tem o hábito confiável de sempre lançar um contra-ataque, caso tenha sido
atacado, e isso inclui no domínio cibernético. 108
Podemos esperar que um ataque cibernético da Rússia contra a rede elétrica dos Estados Unidos
têm as seguintes características: a) A Rússia é capaz de lançar um ataque massivo que iria
desligou em um ataque coordenado pelo menos 80% da rede elétrica da América; b) a Rússia tem
desenvolveu os recursos de ataque a sistemas SCADA de alta criticidade na rede elétrica, como
bem como todos os outros sistemas; c) A Rússia provavelmente sabe mais sobre EMP do que os Estados Unidos, dado o seu
extensos testes e desenvolvimento de armas EMP; 109 d) Um ataque maciço da Rússia contra o
toda a rede elétrica ocorreria no contexto de um grande conflito estratégico entre a Rússia
e os Estados Unidos; e) Durante uma crise internacional extrema, um ataque cibernético massivo na Rússia
contra toda a rede elétrica dos EUA antes da eclosão da guerra convencional ou nuclear é provável,
para dissuadir ou derrotar os EUA com uma “agressão da zona cinzenta” em vez de ou antes da eclosão de um “verdadeiro
atirando guerra ”consistente com a doutrina militar da Rússia de que a guerra cibernética é uma guerra sem precedentes
e Revolução decisiva nos Assuntos Militares; f) A resposta da Rússia a um grande ataque cibernético feito por
os Estados Unidos provavelmente serão pelo menos proporcionais, mas mais provavelmente desproporcionais e massivos,
possivelmente resultando em retaliação nuclear russa conforme ameaçada em sua doutrina militar;
g) Como a China, a Rússia possivelmente usaria um ataque cibernético direcionado contra um sistema elétrico de baixa criticidade
sistema de grade como uma demonstração de força e alerta para impedir a escalada de um conflito pelos Estados Unidos;
h) A Rússia provavelmente experimentou a colocação de bombas lógicas cibernéticas em partes da América
106 Consulte ODNI 2021 R PT . p. 10, parágrafo 8-9 (“A Rússia continuará sendo uma das principais ameaças cibernéticas … [e] continua tendo como alvo crítico
infraestrutura, incluindo cabos subaquáticos e sistemas de controle industrial … [dando-lhe] capacidade de danificar
infraestrutura durante uma crise ”).
107 O sistema criminoso da Rússia consegue dissuadir os hackers russos de aplicar suas habilidades contra os russos
alvos.
108 Por exemplo, a discussão recente sobre a interferência russa no sistema eleitoral dos EUA raramente mencionou o
anterior ao uso da Internet e mídia social pelos Estados Unidos como política oficial para influenciar eventos dentro
Rússia.
109 Ver relatórios dos testes de 1961 na Rússia em Vasily N. Greetsai, Andrey H. Kozlovsky, Vadim M. Kuvshinnikov,
Vladimir M. Loborev, Oleg A. Parfenov, Oleg A. Tarasov e Leonid N. Zdoukhov “Response of Long Lines to
Pulso Eletromagnético de Alta Altitude Nuclear (HEMP) ”40 IEEE Transactions on Electromagnetic Compatibility
pp. 348-354 (1998).
32
rede elétrica; i) A Rússia é mais capaz do que outros países na colocação de ativos (agentes humanos)
em partes críticas da estrutura de gerenciamento da rede elétrica americana.
Para as relações dos EUA com ambas as nações, Rússia e China, o surgimento de caminhos viáveis para o ciber-
ataques contra infraestruturas críticas como uma nova arma estratégica reduziu as barreiras ao conflito,
e apresenta um perigo elevado com o potencial de interromper o cálculo de equilíbrio de longa data
dependente da dissuasão nuclear.
