Business
Ao contrário da opinião popular, os contos e lendas populares não foram inventados para entreter, mas para ensinar às crianças (e adultos) lições importantes de forma didática. Desde tempos imemoriais, os contadores de histórias adicionam dicas de cibersegurança às suas narrativas, na esperança de que a Internet (que eles previram) seja um lugar mais seguro. Por exemplo, o conto de Chapeuzinho Vermelho é um aviso sobre campanhas Man-in-the-Middle (MitM), e em Branca de Neve há indicações sobre as ataques APT patrocinados pelo governo. E a lista continua.
Infelizmente, a humanidade continua a cometer os mesmos erros, ignorando as lições óbvias dos contos populares. Outro exemplo disso é a lenda do Flautista de Hamelin.
O Flautista de Hamelin
Como frequentemente acontece, diferentes versões foram publicadas, todas com variações, mas mantendo o tema principal. Nesse caso, o conto pode ser resumido em algo assim: a cidade alemã de Hamelin está infestada de ratos que se comem a comida da população, atacam pessoas e animais domésticos e geralmente causam muitos problemas.
Impotentes, as autoridades locais contratam os serviços de um especialista muito elegante que se apresenta como criador de ratos. Ele usa uma flauta mágica para atrair esses animais para levá-los até um rio e os afoga.
Apesar do resultado, posteriormente, o prefeito se recusa a cumprir sua parte como combinado, e oferece ao criador de ratos, conhecido como Flautista, uma remuneração inferior à estipulada. O Flautista não responde no momento. Ele executa sua vingança usando sua nova flauta mágica: desta vez para atrair as crianças de Hamelin, da mesma maneira que fez com os ratos.
O final depende do narrador e de seu nível de otimismo (geralmente muito baixo). As crianças foram afogadas no rio Weser como os ratos, ou são levadas para as Colinas Koppenberg ou (em uma versão mais recente e menos sombria), vão além das colinas para uma terra distante onde encontraram uma cidade.
O verdadeiro significado da história
Curiosamente, o incidente tem uma data específica: 26 de junho de 1284. A lenda foi registrada pela primeira vez nas crônicas da cidade em 1375, depois foi reescrita e contada várias vezes, no processo ganhou detalhes e floreios adicionais. A maioria dessas adições tem motivações claramente políticas ou religiosas. Algumas versões enfocam a ganância dos cidadãos de Hamelin; outros demonizam a figura do flautista. Pularemos os preconceitos medievais da época e nos concentraremos nos fatos básicos.
Ataques contra Hamelin
Sob nossa perspectiva, a infraestrutura de Hamelin sofre ataques de agentes mal-intencionados desconhecidos. Eles literalmente devoram bens materiais (grãos), informações (documentos legais) e ameaçam a saúde dos residentes locais.
Nenhuma descrição detalhada do ataque sobreviveu, mas é provável que os invasores tenham sido chamados de “ratos” porque usaram uma ferramenta de acesso remoto (ou cavalo de Troia de acesso remoto), ambos abreviados como RAT. Em geral, esses recursos / cavalos de Tróia são aproveitados para todos os tipos de trabalho sujo, porque dão aos atacantes acesso total ao sistema da vítima.
O especialista contratado
No início, os residentes da cidade tentam uma solução baseada em gatos para proteger seus terminais, mas quando esse método se mostra ineficaz, eles contratam um especialista terceirizado que entende sobre a vulnerabilidade dos invasores RAT. A partir do entendimento deste ponto fraco, ele monta uma poderosa ciberarma para assumir o controle remoto dos computadores dos operadores RAT, transformando-os em uma espécie de botnet. Tendo hackeado todos eles, o Flautista neutraliza com sucesso a ameaça.
A população como alvo
Depois que o ataque RAT é neutralizado, as autoridades inadvertidamente não honram sua parte do contrato com o especialista. A maioria das versões da lenda menciona divergências financeiras, mas isso é impossível de confirmar, é claro. Seja qual for o caso, verifica-se que a mesma vulnerabilidade está presente nos dispositivos utilizados pelas crianças da cidade.
Infelizmente, a história não oferece detalhes técnicos que expliquem por que a mesma ameaça funcionou contra os operadores da RAT e os habitantes. Vamos supor que seja uma vulnerabilidade onipresente em todos os lugares (por exemplo, o Server Message Block usado para acesso remoto a recursos de rede).
Não está claro por que os chamados adultos da história não são afetados por essa mesma vulnerabilidade. Talvez a palavra “crianças” na história não se refira a usuários menores de idade, mas a uma nova geração de dispositivos com sistema operacional mais recente que apresentava vulnerabilidade após falha na atualização do protocolo citado.
Infelizmente, o final é tão trágico: o flautista executa o mesmo truque de botnet; mas desta vez não contra os operadores da RAT, mas contra os mais jovens da cidade.
O flautista de Hamelin nos dias de hoje
A história acima lembra muito o grupo cibercriminoso Shadow Brokers e o vazamento do exploit EternalBlue, que levou ao surto de WannaCry, bem como a outras dispersões em massa do ransomware. Se eu tivesse lido este conto logo após o vazamento de EternalBlue, sem dúvida teria interpretado como um relato desse incidente, apesar da linguagem metafórica. Na verdade, a trama é idêntica: uma organização governamental encomendou o desenvolvimento de uma poderosa ciberarma que, mais tarde e inesperadamente, é usada contra os habitantes daquele país.
Podemos atribuir essa notável coincidência ao caráter cíclico da história. É claro que especialistas alemães em segurança da informação estavam cientes do problema e tentaram alertar seus descendentes (nós) sobre os perigos dos programas de ciberarmas subsidiados pelo governo, que poderiam um dia se voltar contra os usuários civis e desencadear consequências horríveis.
Dicas