Estávamos a 10 de Outubro quando a Agência para a Modernização Administrativa, responsável pela transformação digital da administração pública, foi atacada por um ciberataque do tipo ransomware. Os primeiros indícios tiveram origem em reports de estabilidade dos serviços nos espaços e lojas do cidadão e posteriormente por todos os serviços digitais. A situação foi relatada por André Vasconcelos, da AMA e de Júlio César, coordenador do CERT.PT, durante o primeiro dia da conferência CDays.

“Toda a infra-estrutura, composta por cerca de 750 servidores virtuais, estava inacessível e destruída”, recordou André Vasconcelos. “Conseguimos depois fazer todo o processo de restore dos backups e com base nas evidencias recolhidas conseguimos perceber exactamente o que se passou, nomeadamente os pontos de entrada”.

Na altura, foi criado um gabinete técnico de crise formado pelo CERT.PT, equipa nacional de resposta a incidentes, coordenada por Júlio César, no interior das instalações da AMA para responder à situação. “A primeira reacção foi de absoluto pânico”, conta. “Estamos a falar de uma entidade que presta serviços técnicos a mais de 150 entidades de grande dimensão da administração pública e que são responsáveis por muitos dos serviços utilizados no dia-a-dia da população – nomeadamente a assinatura electrónica e as prescrições médicas – tudo passa por sistemas serviço fornecidos directa ou indirectamente pela AMA”.

O gabinete de crise esteve em comunicação permanente e coordenação com os Serviços de Informações, PJ e parceiros europeus, na tentativa de obtenção de respostas para a situação e ajudar a AMA a concluir a dimensão do ataque.

Numa primeira fase foi concluído que o dano na infra-estrutura foi total. Os backups salvaram a situação e, caso não tivessem existindo, provavelmente ainda estaríamos a recuperar da situação.

A AMA comunicou inicialmente que estava preventivamente indisponível. Desde o primeiro momento, a teve cuidado em comunicar com entidades supervisoras competentes – num total de cinco. Além disso, passou a informação aos parceiros sobre os processos de recuperação e medidas a tomar.

Os impactos do ransomware ficaram restritos à AMA não tendo afectado outras entidades ligadas.

Como tudo aconteceu?
O ponto de entrada deste ataque teve origem numa vulnerabilidade num dos equipamentos de actualização e distribuição de segurança e antivírus pela AMA. O sucedido remonta ao mês de Maio quando foi feita um a tentativa de update do mesmo e uma parte das workstations das Lojas do Cidadão mais obsoletas começaram a funcionar menos bem, nomeadamente periféricos e afins. Houve várias tentativas de comprometimento do equipamento. A 3 de Outubro um primeiro atacante conseguiu fazer um comprometimento com SQL Injection, abrindo a porta para que de forma permanente pudesse tomar conta desse equipamento que estava na fronteira da AMA com o exterior.

Após uns dias de acalmia, – suspeita-se que o primeiro atacante possa ter vendido o acesso -, a partir de 6 de Outubro um novo atacante usa o mesmo acesso dando origem a todo o processo, ganha privilégios gradualmente e chega aos controlers. A 10 de Outubro de madrugada agenda o processo de cifra, afectando então toda a infra-estrutura. Com os backups é iniciado um processo de restore. A 16 de Outubro uma grande tecnológica entra no processo, por conhecer bem a infra-estrutura, e a 30 de Outubro há um estabelecimento praticamente total dos serviços, após um esforço non-stop das equipas.

Depois do ataque foi encetado um conjunto de medidas para resolver o problema e assegurar a resiliência da entidade, nomeadamente rotação das passwords; melhor segmentação dos utilizadores com privilégios mais elevados, de forma a assegurar que um gestor de base de dados não é um administrador de domain controler e outras melhorias nos próprios servidores e antivírus.

Do lado da vulnerabilidade foi feito o update e correcção do Fortiems, reinstalado os controlers, implementada uma estrutura mais segmentada – em vez de um VMware global para todos os ambientes a AMA passou a ter um VMware para os vários ambientes (data center principal, data center do disaster recovery, data center de segurança dos serviços de confiança).

Um dos pontos essenciais neste processo de recuperação passou pela existência de uma política de backups, sem a qual, o processo teria sido muito mais complexo. Além disso, contava com certificação 27001. Está agora na fase final de implementação do quadro nacional de referência para a cibersegurança, processo acelerado após o ataque. Além disso, realiza regularmente campanhas internas de sensibilização, com simulação de ataques de phishing, entre outros.