O Apêndice 1 do relatório da Kasperksy nos oferece uma lista de indicadores de comprometimento (IOCs) que podem ser utilizados para verificar se máquinas e redes foram afetadas pela campanha.
Vale lembrar que apesar deste caso - especialmente no que tange o bypass de soluções de anti-vírus - o malware foi considerado mais "avançado" que o Flame e o Duqu, não significa - necessariamente - que todo ataque bem sucedido é sofisticado. A persistência e o direcionamento muitas vezes são mais importantes para o sucesso neste tipo de campanha que quantos "0days" ou novas técnicas de bypass de proteções de sandbox e memória foram utilizadas..
Em uma primeira leitura do relatório, percebe-se que o Brasil é o segundo país com mais "IPs infectados" pelo malware, atrás apenas do Marrocos. Esta análise foi feita a partir do registro de "debug" de vários servidores de comando e controle do malware. Quando o que foi avaliado foram as novas conexões únicas (por ID de máquina) a sinkholes recentes que receberam conexões direcionadas a servidores de C&C, da Kaspersky - o resultado é diferente: Cuba e Espanha são os países com mais "vítimas". Uma possível conclusão é que a infraestrutura de espionagem do "Careto" já foi muito utilizada para monitorar alvos no Brasil, mas não recentemente.
Dito isto, o que podemos fazer? Além da adoção de grande parte das estratégias citadas no início deste artigo, é fundamental que o governo brasileiro, com apoio da academia e da iniciativa privada, busque ATIVAMENTE entender a real extensão desta (e de outras) campanhas deste tipo. Até mesmo porque muito além do vazamento de informações sensíveis (inclusives secretas / estratégicas), a maior ameaça está na possível alteração e até mesmo destruição física - especialmente em infraestruturas críticas como usinas, hidrelétricas, aeroportos, etc.
O binário listado acima possui uma taxa de detecção no Virustotal de apenas 4 anti-virus no dia 10/02/2014 Panda, Kaspersky, Bkav e Symantec.