Hackers e IA: lições sobre resiliência cibernética a partir do ataque à ConnectWise
O que os ataques direcionados à NASA e às agências dos EUA revelam sobre a segurança corporativa? Rob Nidschelm, da Getronics, analisa as lições a serem aprendidas em relação aos sistemas vulneráveis, à detecção de ameaças e à resposta a elas.
Fale com um especialista
Uma campanha cibernética direcionada a importantes instituições dos EUA destaca um desafio para todas as empresas: os invasores podem se esconder por trás de um tráfego de internet aparentemente normal, enquanto os sistemas vulneráveis lhes oferecem oportunidades de invadir os sistemas.
Em entrevista à revista Cyber Magazine, Rob Nidschelm, diretor global de segurança operacional da Getronics, explica por que é importante desestabilizar a infraestrutura dos invasores — e por que as organizações ainda precisam avaliar sua própria vulnerabilidade.
O que aconteceu?
Em 26 de agosto de 2026, o Departamento de Justiça dos EUA e o FBI anunciaram a apreensão de domínios que davam suporte a duas plataformas de hackers, a QScan e a QTRouter. As autoridades americanas associaram as plataformas ao QTFY, um grupo ligado à China que tem como alvo infraestruturas críticas e outras redes sensíveis.
O comunicado do Departamento de Justiça cita a NASA, o Federal Reserve e vários departamentos do governo dos EUA entre os alvos.
O fato de uma organização ter sido alvo de um ataque não significa necessariamente que tenha sofrido uma violação. A Cyber Magazine relata invasões bem-sucedidas em algumas instituições, ao mesmo tempo em que distingue esses casos das tentativas malsucedidas citadas contra a NASA e o Senado dos EUA.
Como os invasores ocultaram suas atividades
A operação combinou ferramentas para identificar sistemas vulneráveis com uma infraestrutura projetada para ocultar a origem dos ataques.
De acordo com o comunicado conjunto de segurança divulgado pela NSA, o QScan facilitava atividades de reconhecimento e exploração, incluindo ataques a dispositivos vulneráveis da Internet das Coisas. O QTRouter combinava dispositivos comprometidos com outras infraestruturas para fazer com que as atividades maliciosas se misturassem ao tráfego legítimo.
O comunicado também apresenta uma descrição detalhada de uma vulnerabilidade do Ivanti explorada pelo QTFY. O grupo utilizou a vulnerabilidade para obter acesso a dispositivos Ivanti Connect Secure expostos, implantar web shells e estabelecer persistência. Isso ilustra como um dispositivo conectado à Internet pode se tornar um ponto de entrada para atividades mais amplas, especialmente quando os patches não estão disponíveis, sofrem atrasos ou não são aplicados corretamente.
Para os defensores, a implicação prática é clara: uma localização de rede aparentemente familiar não é suficiente para determinar que uma atividade seja confiável.
A interrupção oferece uma oportunidade aos defensores
As apreensões de domínios interromperam a infraestrutura da qual as plataformas dependiam. Rob vê essa interrupção com bons olhos, mas adverte contra a ideia de considerá-la o fim definitivo da ameaça.
“As apreensões de domínios representam uma interrupção significativa, pois eliminaram uma infraestrutura compartilhada que poderia dar suporte a várias operadoras.”Rob Nidschelm
A resposta dentro de uma organização continua sendo importante. As equipes de segurança precisam entender se houve acesso aos sistemas expostos, quais evidências históricas ainda estão disponíveis e se as tentativas malsucedidas revelam vulnerabilidades que exigem atenção.
Três medidas para as equipes de segurança
Ação | O que verificar |
|---|---|
Priorize os sistemas expostos | Identifique os dispositivos e serviços expostos à Internet, confirme quem são seus proprietários e verifique o status de atualização deles. Priorize as vulnerabilidades que estão sendo exploradas ativamente e siga as orientações do fornecedor quando houver suspeita de violação. |
Analisar o histórico de atividades | Analise os registros disponíveis em busca de acessos suspeitos, conexões incomuns e indícios de violação anterior. Utilize informações relevantes sobre ameaças para orientar a investigação e identificar lacunas nas evidências. |
Investigar tentativas malsucedidas | Analise as tentativas de acesso bloqueadas ou malsucedidas juntamente com os incidentes confirmados. Tentativas repetidas podem revelar quais sistemas os invasores estão testando e onde é necessário realizar investigações adicionais ou implementar medidas de proteção. |
Essas ações conectam as informações sobre ameaças cibernéticas à detecção e resposta práticas. Essas informações se tornam mais úteis quando as equipes conseguem relacioná-las aos seus próprios sistemas e agir com base no que descobrem.
O que as organizações devem levar em consideração?
Uma remoção bem-sucedida não garante que todos os ambientes afetados estejam seguros. As organizações ainda precisam avaliar a exposição, investigar atividades suspeitas e confirmar que as constatações de segurança resultem em ações concretas.
Para os líderes de segurança, três perguntas constituem um ponto de partida útil:
- Sabemos quais sistemas conectados à internet poderiam servir como ponto de entrada?
- Podemos investigar as atividades que ocorreram antes do último alerta?
- Quem é responsável pela decisão de investigar, conter e remediar?
Leia o artigo completo da Cyber Magazine para saber mais detalhes sobre a campanha e conhecer a perspectiva de Rob.
Sobre o autor
Rob Nidschelm
Diretor Global de Segurança Operacional
Rob Nidschelm lidera as equipes globais de segurança operacional da Getronics, abrangendo operações de segurança, gestão de identidades e acesso privilegiado, inteligência contra ameaças, engenharia de segurança e resposta a incidentes. Atuando na área de segurança cibernética desde 2005, ele ajuda as organizações a alinhar a estratégia de segurança com controles práticos, responsabilidades claras e resiliência operacional.
www.linkedin.com/in/robnid/
