Professor Adriano Balaguer: cibercrime

Mostrando postagens com marcador cibercrime. Mostrar todas as postagens

21 de ago. de 2016

Conheça os 6 estágios que cibercriminosos usam para invadir redes - IDG Now!

Conheça os 6 estágios que cibercriminosos usam para invadir redes - IDG Now!

O maior desafio dos responsáveis pela segurança de empresas é conseguir pensar como um hacker. Na realidade, as tecnologias usadas pelos hackers são aprimoradas a cada ano, mas as suas metodologias continuam as mesmas há décadas.

Na opinião de Bruno Zani, gerente de engenharia de sistemas da Intel Security, saber como hackers pensam e agem é o primeiro passo na direção para manter a rede segura. Segundo ele, existem seis fases de intrusão que são usadas frequentemente pelos hackers para burlar os esquemas de segurança. São elas:

1. Coleta de informações - Quando hackers planejam um ataque, a primeira coisa que eles fazem é escolher uma empresa-alvo e identificar onde será realizado o ataque. Em seguida, eles começam a recolher endereços IP e nomes de perfis importantes dentro do ambiente que podem armazenar dados corporativos ou pessoais sensíveis.

2. Exploração - Depois de elaborar uma lista completa dos funcionários e perfis-alvos, eles começam o processo de varredura. Isso inclui a verificação de instâncias específicas de aplicativos vulneráveis que estão em execução no ambiente.

3. Enumeração - Uma vez que um hacker tenha identificado o aplicativo vulnerável, ele procura por versões precisas das tecnologias que possuem alguma falha e podem ser invadidas.

4. Invasão - Após encontrar um ponto de entrada, o hacker começa comprometer o servidor web, aproveitando vulnerabilidades ou problemas de configuração para obter acesso. Ao determinar como interagir com o alvo e sistema operacional subjacente, ele se infiltra para examinar quão longe pode expandir um ataque dentro da rede.

5. Escalada - Seguindo a invasão do ambiente, o próximo passo do hacker é criar perfis de usuário e privilégios de acesso para espalhar ameaças da forma mais ampla possível.

6. Pilhagem - A etapa final do processo de um ataque hacker é a pilhagem. Ao contrário de hackers do passado, os ataques atualmente já não são apenas elaborados para comprometer um servidor e desfigurar um site. Sua missão é muito maior, é ganhar acesso aos dados de cartão de crédito, aos segredos comerciais da empresa, às informações de clientes e informações pessoais. Enfim, minar os dados da empresa e usá-los em benefício próprio.

Após entender como os hackers pensam é preciso agir para bloquear os ataques. A maioria das empresas tentam criar uma fortaleza de segurança de TI com uma série de produtos de vários fornecedores, cada um abordando um aspecto diferente de seu ambiente e em diferentes áreas de risco. No entanto, enquanto não entenderem como os hackers encontram vulnerabilidades em seus sistemas em silos de segurança de endpoint, gateway e de data center, não existe a chance de pará-los.

De acordo com Zani, de nada adianta também ler cada um dos relatórios de análise de segurança disponível no mercado e implantar os produtos de segurança mais avançados. As pessoas também são parte importante da segurança.

Muitas vezes o ataque é direcionado especialmente àquele funcionário mais desatento, que não se preocupa com os procedimentos de segurança desenvolvidos na empresa. Além disso, se as ferramentas usadas na segurança de TI e na proteção de dados não trabalharem juntas, o tempo sempre estará contra a empresa durante um ataque cibernético.

19 de ago. de 2016

Cibercriminosos utilizam arquivos WSF como vetor para infiltração de ransomware - E-Commerce News

O Brasil é conhecido no campo da segurança de informação e análise de malware como um país que absorve tecnologias maliciosas “inovadoras” estrangeiras e as adapta para o ambiente local principalmente para burlar as tecnologias tradicionais de proteção.

Por meio de um monitoramento do Laboratório de Pesquisas e Ameaças da Trend Micro – empresa especializada na defesa de ameaças digitais e segurança na era da nuvem –, os especialistas em segurança descobriram um novo vetor de infecção usado por um ransomware para disseminar ameaças: por meio da extensão de arquivo Windows Script File (WSF).

A Trend Micro vem monitorando o comportamento dos atacantes brasileiros, e consequentemente, trabalhando na atualização das ferramentas de detecção comportamental baseadas em sandboxing customizado.

Por meio da execução de um HoneyPot, os pesquisadores da Trend Micro puderam rastrear três e-mails que chegaram ao laboratório para dois endereços distintos e cada um deles tinham remetentes únicos, o que demonstrou a existência de um ecossistema por trás do ataque.

Detecção inicial pelo Deep Discovery Inspector:

A geo-localização dos IPs de origem dos e-mails é diferente para cada um:

Sérvia (Leste Europeu)

Colômbia

As “ondas” de phishing seguiram o mesmo padrão e aconteceram nos dias 18 e 19 de Julho/2016, com e-mails originados na Índia, Tailândia e também no Brasil (Goiânia).

Brasil

Um ponto que chamou a atenção da Trend Micro nesse ataque foi o uso de arquivos .wsf como ponto de entrada para evasão das tradicionais tecnologias de detecção do ransomware.

Em todos os casos foram empregadas técnicas de ofuscação de código no downloader, tornando o arquivo inicialmente ilegível, mesmo se tratando de um arquivo de texto.

Todos os arquivos .wsf, neste caso, os downloaders do ransomware, são arquivos diferentes, com uma técnica que é usada para burlar a detecção baseada em hash, e cada um dos executáveis baixados segue a mesma linha. Apesar de arquivos executáveis, cada um é único, utilizando como “propriedades do arquivo” informações relacionadas a um widget do Yahoo.

Também chamou a atenção da Trend Micro o fato do ransomware exibir a mensagem sobre a criptografia dos arquivos e o pedido de resgate em diferentes línguas, mostrando assim não se tratar de uma ameaça simples ou comum.

Tela de resgate do ransomware em português do Brasil (Idioma nativo do ambiente analisado)

Tela do resgate com mensagem em inglês (o que demonstra que o ransomware se adapta a região que está atacando)

O Deep Discovery da Trend Micro determinou que o tipo de ameaça é VAN_RANSOMWARE. A partir das novas versões do produto, a nomenclatura ransomware é adicionada sempre que algum comportamento relacionado a esse tipo de ameaça é encontrado. Se for desconhecido como neste caso, é adicionado o prefixo VAN (VirtualANalyzer).

O comportamento registrado foi o ato do ransomware em renomear cada um dos arquivos e o uso de técnicas de criptografia durante a execução do malware.

O primeiro destaque se dá pelo fato do arquivo “winword.doc”, passar a ter outro nome e a extensão. zepto. Essa extensão é uma pista sobre a família do ransomware analisado, que após pesquisa na base de dados do laboratório Trend Micro, mostrou tratar-se de uma variante do já bem conhecido Locky.

10 de jan. de 2016

Trojans bancários: Brasil lidera índice de propagação global | E-Commerce News

Fonte: Trojans bancários: Brasil lidera índice de propagação global | E-Commerce News

Um levantamento global realizado pela ESET – fornecedora de soluções de segurança da informação – apontou que, em 2015 (entre janeiro e novembro), o Brasil apresentou os maiores níveis mundiais de propagação de alguns dos principais Trojans bancários. No período, o país respondeu por 82% de todas as detecções globais doTrojanDowloader.Banload, 72% do Spy.Bancos e 52% do Spy.Banker.

Propagação de Trojans Bancários no mundo (janeiro a novembro de 2015)

“O que chama a atenção é não só o grande volume de detecção de ataques bancários – que hoje são o principal ameaça virtual no país –, mas o comportamento particular desse tipo de ciberameaça no Brasil. No caso do TrojanDownloader.Banload, por exemplo, ele utiliza arquivos maliciosos com extensão CPL, encontrados apenas no mercado brasileiro”, pontua Camillo Di Jorge, Country Manager da ESET Brasil, acrescentando: “Isso demonstra que existem Trojans bancários desenvolvidos especificamente para o país”.

O levantamento da ESET aponta também que, enquanto existe um crescimento na penetração do TrojanDowloader.Banload e do Spy.Banker no país, por outro lado, há uma desaceleração nas ameaças do tipo Spy.Bancos no Brasil. Em janeiro de 2015, 85% das detecções das diferentes variantes desse código malicioso estavam no país, enquanto que, em novembro, esse índice caiu para 50%.

Ameaças bancárias para Android: pouco disseminadas no país

Apesar de uma tendência de migração das ameaças virtuais para dispositivos móveis, no caso dos Trojan bancários para Android, os mesmos ainda são pouco disseminados no mercado brasileiro.

Enquanto que o Brasil lidera os Trojan bancários para computadores, no caso das ameaças para o sistema operacional Android, o país está entre os países com uma das mais baixas penetrações desse tipo de ataque, ficando fora da lista dos 50 mercados mais afetados por esse tipo de problema.

Principais Trojans bancários brasileiros

O Win32/TrojanDownloader.Banload é uma família de malware que se concentra em invandir as soluções de segurança e realizar download de outros códigos maliciosos voltados a roubar informações bancárias. Muitos desses códigos maliciosos são baseados em engenharia social e se passam por um doumento confiável, a fim de enganar as suas vítimas. Essa ameaça em particular (Win32/TrojanDownloader.Banload) finge ser um documento do Office, no entanto, conta com dupla extensão .docx_.scr. Sua propagação se dá, especialmente, por meio de e-mails, nos quais os usuários acreditam tratar-se de um documento do Word, quando na verdade é um arquivo executável.

Já o Spy.Banker também é um código malicioso que em vez de modificar o arquivo de hospedagem, injeta o código infectado em determinados sites. Quando o usuário acessa a página, a mesma informação é enviada para um endereço de e-mail com os dados do usuário.

Ainda a família do trojan Win32/Spy.Bancos.ACD é projetada para furtar dados bancários de instituições financeiras. Variantes desta família são diferenciadas pelos protocolos usados para enviar os dados roubados, tais como FTP ou SMTP. Para enganar o usuário, esse código usa páginas falsas de grandes bancos, porém alguns botões não funcionam. O malware monitora as ações da vítima na página falsa, esperando que os ususários entrem com seus dados bancários, como número de agência e conta. Depois a vitima é convidada a inserir um código alfanumérico de oito dígitos para autenticação, por meio de um teclado virtual e é nesse momento que o malware consegue capturar a posição do mouse e identificar os números teclados pelo usuário.