O ComodoHacker é real?

Um hacker iraniano solitário assumiu no sábado a responsabilidade pelo roubo de vários certificados SSL pertencentes a alguns dos maiores sites Web, incluindo a Google, Microsoft, Skype e Yahoo. A reação inicial de especialistas em segurança foi mista. Alguns acreditam no hacker, enquanto outros ficaram em dúvida.

Na semana passada, um ataque talvez financiado ou realizado pelo governo iraniano, que acessou ilegalmente um revendedor de certificados parceiro da norte-americana Comodo, acendeu o sinal de alerta. No dia 23 de Março, a Comodo reconheceu o ataque, dizendo que oito dias antes os hackers obtiveram nove certificados falsos para o registo nos sites Hotmail, da Microsoft, Gmail, da Google, no serviço de telefone por Internet e chat Skype e no Yahoo Mail. Foi também obtido um certificado para um add-on do Firefox, da Mozilla.

Os certificados SSL validam a legitimidade de um site para o browser, garantindo aos utilizadores que estão a aceder ao site real, e que o tráfego entre os browsers e o site é cifrado.

“Eu não sou um grupo de hacker [sic], sou um hacker único com experiência de 1.000 hackers”, escreveu no sábado o atacante  em um “post” publicado no Pastebin.com. Autodenominou-se “ComodoHacker” e disse ter 21 anos.

O ComodoHacker alegou ter acesso total ao InstantSSL.it, o braço italiano do serviço de venda de certificados InstantSLL da Comodo, onde descobriu um arquivo DLL não compilado que encontrou no servidor e assim teve acesso ao nome e à password da conta do revendedor.

Com esta informação,  o ComodoHacker foi capaz de gerar os nove certificados, “tudo em cerca de 10-15 minutos”, segundo ele. Sua mensagem estava assinada como “Janam Fadaye Rahbar”, que supostamente significa “Sacrificarei a minha alma para o meu líder”.

O site InstantSLL.it está offline, atualmente.

Robert Graham, CEO da Errata Security, acredita que o ComodoHacker está contando a verdade. “Como especialista em testes de penetração, que faz uso de ataques semelhantes ao que o ComodoHacker fez, acho que é possível”, disse no domingo Graham, no blogue da Errata.

“Acho provável que seja ele, que tenha agido sozinho, que seja iraniano, e que seja patriota, mas não político”. Mas Mikko Hypponen, o responsável de investigação da F-Secure, em Helsínquia, parece céptico.

“Podemos acreditar realmente que um hacker solitário que entre em uma autoridade de certificados, consiga gerar qualquer certificado, vá atrás do login.live.com em vez do paypal.com?”, perguntou Hypponen no Twitter.

Graham responde
“O Comodo Hacker começou com um objetivo, as chaves de “factoring” RSA, e acabou  em uma meta relacionada, forjar certificados”, disse Graham. “Ele não pensou no PayPal porque não estava tentando fazer algo com os certificados falsos”.

O ComodoHacker também apontou o Oeste – os meios de comunicação ocidentais, em particular – por rapidamente concluírem que o governo iraniano estava envolvido. No texto em que assume a autoria do ataque, minimizou as possíveis ligações dos EUA e de Israel ao Stuxnet, o “worm” que a maioria dos especialistas acreditam visar o programa nuclear iraniano.

Ele ameaçou também usar as suas capacidades contra aqueles que se dizem inimigos do Irã. “Qualquer pessoa com problemas no Irã, de falsos Movimento Verde a todos os membros do MKO e terroristas duplos, devem [ter] medo de mim, pessoalmente”, disse ComodoHacker. “Não vou deixar ninguém dentro do Irã prejudicar pessoas do Irã, prejudicar os Cientistas Nucleares do meu país, prejudicar o meu Líder (o que ninguém consegue), prejudicar o meu presidente”.

O MKO, ou “Mujahedin do Povo do Irã”, é um grupo islâmico que defende a queda do atual governo iraniano.

“Enquanto eu viver, não haverá privacidade na Internet, não haverá segurança no mundo digital, é só esperar e ver”, disse ComodoHacker.

A Comodo não estava disponível no domingo para comentar as alegações do ComodoHacker.