maio 25, 2017

[Segurança] A BSidesSP em números

Neste final de semana dos dias 20 e 21/05 realizamos mais uma edição da Security BSidesSP, que aconteceu novamente na PUC-SP, que nos recebeu de braços abertos e salas lotadas.


Com o evento crescendo a cada edição, novamente batemos nossos próprios recordes:
  • 1.093 inscritos
  • 770 participantes presentes
  • 8 trilhas de atividades
  • 3 salas de palestras simultâneas
  • 22 palestrantes
  • 24 horas de CTF
  • 25 jogadores no CTF (80 inscritos)
  • tivemos um número recorde de contribuições nas campanhas Good Hacker e Bloody Hacker
  • recebemos nosso palestrante mais novo (com 15 anos de idade), o Luiz Gustavo (Darkcode)

O evento foi o maior de todas as BSides que já organizamos aqui no Brasil, e tivemos muitos feedbacks super positivos.

Além disso, tivemos muitas coisas legais aconteceram ao mesmo tempo durante o evento:
  • 3 trilhas de atividades para jovens e crianças (a BSides 4 Kidz)
  • O CTF que durou 24hs, patrocinado pela Trend Micro Brasil
  • Banda ao vivo nos intervalos
  • Tivemos ambulância! (felizmente não precisamos usar desta vez)
  • Implantação de biochip NFC durante o evento, em dois voluntários
  • Gravação do videolog Papo Binário durante o evento
  • Uma sala com atividades de conscinetização sobre Phishing, organizada pelo El Pescador

Conforme prometido, nossa competição de "Capture the Flag" (CTF) durou 24 horas, com diversos jogadores espalhados em 6 times. Ocupamos duas salas: uma para os participantes e outra para a infra-estrutura e organizadores. A maioria dos competidores participou do CTF o tempo todo, inclusive durante a madrugada. Iniciamos aproximadamente as 16h30 do Sábado, um pouco atrasados por causa de problemas inesperados na infra-estrutura. O encerramento e entrega de prêmios foi as 17h do domingo.


Para finalizar, seguem abaixo algumas estatísticas sobre os participantes do evento, retiradas dos dados de cadastro de inscritos:
  • Idade média: 29 anos
    • Participante mais novo (*): 6
    • Participante mais velho (*): 60
  • 81% dos inscritos são do sexo masculino
  • 35% dos inscritos participaram do evento pela primeira vez
  • 43% dos inscritos são profissionais da área
  • 42% dos inscritos são estudantes
  • 37% dos inscritos não compareceram no evento. Se considerarmos apenas os inscritos na categoria gratuita, a porcentagem de no-show sobe para 50%.

(*) Segundo informações fornecidas nos formulários de inscrição. O participante mais novo, na verdade, foi o filho do Ricardo Logan, que tem aproximadamente 2 anos  :)



maio 20, 2017

[Segurança] É possível se recuperar do ransomware WannaCry

Essa notícia é um pequeno alívio para milhares de vítimas do Wannacry: desde a quinta-feira, dia 18/5, surgiram informações sobre pesquisadores de segurança que descobriram uma forma de recuperar os arquivos encriptados pelo WannaCry, sem necessidade de pagar os ciber criminosos.

Mas ainda é muito cedo para comemorar: as ferramentas só funcionam para algumas versões do Windows e apenas se o usuário não reiniciou a sua máquina.

Assim, surgiram rapidamente algumas ferramentas:
  • Wannakey - primeira ferramenta que surgiu, diz funcionar em Windows XP;
  • WanaKiwi - consegue recuperar os primos em Windows XP, 2003 (x86), Vista, 2008, 2008 R2 e Windows 7.
Aparentemente, a ferramenta WanaKiwi é mais fácil de usar.


Tudo aconteceu por causa de uma falha nas bibliotecas de criptografia da Microsoft existente nos sistemas Windows até a versão Windows 7, que permitiu aos pesquisadores recuperar a chave de criptografia RSA a partir dos números primos utilizados para criá-la, que permanecem armazenados em memória.


Estas ferramentas procuram no processo wcry.exe, em memória, pelos números primos utilizados para gerar a chave privada RSA . Este executável, que faz parte do ransomware WannaCry, utiliza as funções CryptDestroyKey e CryptReleaseContext (que fazem parte da biblioteca Crypto API do Windows) que, nas versões do Windows XP até o Windows 7, apaga as chaves de criptografia da memória, mas mantém os números primos em memória antes de liberar a memória associada ao processo.

Segundo o desenvolvedor do "Wannakey":
"This is not really a mistake from the ransomware authors, as they properly use the Windows Crypto API. Indeed, for what I've tested, under Windows 10, CryptReleaseContext does cleanup the memory (and so this recovery technique won't work). It can work under Windows XP because, in this version, CryptReleaseContext does not do the cleanup. Moreover, MSDN states this, for this function : "After this function is called, the released CSP handle is no longer valid. This function does not destroy key containers or key pairs.". So, it seems that there are no clean and cross-platform ways under Windows to clean this memory."

Veja mais informações nos links abaixo:
Post atualizado em 24/05.

maio 19, 2017

[Segurança] Tudo pronto para a BSidesSP

Neste final de semana teremos mais uma edição da conferência Security BSidesSP, a décima-quarta!


O final de semana vai ser intenso. Além da Virada Cultural na cidade de São Paulo e da chuva, estamos planejando um evento com várias novidades:
  • 24hs initerruptas de CTF, organizado em conjunto com a Trend Micro e o projeto CTF.br
  • 8 trilhas de atividades, das quais 3 trilhas para a BSides 4 Kidz
  • Banda ao vivo nos intervalos, com a banda Melhor de Cinco (MD5)
  • Teremos ambulância! (esperamos não usar desta vez)

No Sábado, 20/05, teremos alguns mini-treinamentos, incluindo um workshop de simulação de ataque, o "CIA Hacking", além do início da competição de Capture The Flag (CTF), que vai ocorrer initerruptamente das 15hs de Sábado até as 15h do Domingo.

No Domingo, 21/05, acontece o evento completo, com 8 trilhas com palestras e oficinas, além de outras atividades como a BSides 4 Kids, Hacker Carreer Fair, Lightining Talks e competições. E também teremos o nosso Churrascker gratuito, com bebidas oferecidas através do patrocínio da Trend Micro Brasil. Pelo segundo ano consecutivo, teremos uma feijoada oferecida por alguns colegas da área de segurança. Durante os intervalos haverá teremos música ao vivo (com apoio da Clavis) e café gourmet para os presentes - um oferecimento da Cipher.

Também continuamos com nossas campanhas para ajudar a comunidade, a Good Hacker e Bloody Hacker.

Nós mantemos perfis nas principais redes sociais para divulgar as novidades sobre o evento::

As conferências Security BSides começaram nos EUA em 2009 e rapidamente se espalharam por todo o mundo. Aqui no Brasil, já organizamos a BSides Latam em 2016 e neste ano estamos alcançando 14 edições da BSides São Paulo (BSidesSP).

Esta BSidesSP tem o patrocínio da El Pescador, Trend Micro, Black Cap, e-Safer com a RSA, e a Base4. Além disso, temos o apoio da conferência AndSec, Cipher, Clavis, do portal CriptoID, do projeto CTF.br, Daryus, da Drogarias Campeã, Novatec e da RoboCore.

maio 17, 2017

[Cyber Cultura] Novos membros no CGI.br

O Comitê Gestor da Internet do Brasil (CGI.br), o órgão responsável por estabelecer as diretrizes estratégicas relacionadas ao uso e desenvolvimento da Internet no Brasil, acabou de realizar a eleição para seus membros, que estão distribuídos entre 9 representantes do setor governamental, 4 do setor empresarial, 4 do terceiro setor, 3 da comunidade científica e tecnológica e 1 representante de notório saber em assuntos de Internet (leia-se, o Demi Getschko).



Este grupo de pessoas é quem coordena as iniciativas de serviços Internet no país, define diretrizes estratégicas sobre uso e desenvolvimento da Internet, registro de Nomes de Domínio, alocação de Endereço IP e administração do domínio de primeiro nível (DPN) ".br".

O Comitê Gestor da Internet no Brasil foi criado para coordenar e integrar todas as iniciativas de serviços Internet no país, promovendo a qualidade técnica, a inovação e a disseminação dos serviços ofertados. Por causa de seu posicionamento estratégico, alguns grupos tem grande interesse em garantir a sua participação. Dentre seus 21 membros (cada um com seu respectivo suplente), dos quais o maior grupo é formado por representantes do Governo Federal (incluindo o Ministério da Ciência e Tecnologia, Ministério das Comunicações e Ministério da Defesa), há um grupo de 4 conselheiros que representam o setor empresarial (provedores de acesso e conteúdo, provedores de infra-estrutura de telecomunicações, indústria de informática e telecomunicações, e empresas usuárias da Internet). Claro que esse grupo vai defender os interesses das empresas de Telecom.

Para defender o interesse da comunidade usuária de Internet, há os representantes do Terceiro Setor, 4 no total. Os quatro eleitos para os próximos 3 anos foram o Thiago Tavares Nunes de Oliveira, o Percival Henriques de Souza Neto, a Flávia Lefèvre Guimarães e a Tanara Lauschner. Você não sabe quem são eles? Pois são justamente essas pessoas que deveriam defender o nosso direito ao acesso à Internet, à privacidade e à liberdade de expressão online.

O legal dessa história toda é que o Garoa Hacker Clube se inscreveu para participar das eleições e conseguiu eleger um suplente para o grupo do terceiro setor. Mesmo sendo suplente, nosso representante pode assistir as reuniões, e assim trazer um depoimento real do que acontece lá dentro e dos jogos de poder que ditam a Internet Brasileira. As reuniões do CGI.br são mensais, e suas atas estão disponíveis online.

maio 16, 2017

[Segurança] A maior ameaça de todos os tempos: Ransonworm

Um dos efeitos colaterais do super-mega-uber ataque global do ransom WannaCry foi o surgimento de uma nova buzzword no mercado de segurança:


ransonworm


Juntando "ransonware" com "worm" (verme), essa buzzword deve servir para classificar esse novo tipo de Ransonware que o WannaCry inaugurou: o código malicioso que sequestra computadores em troca de dinheiro e possui um mecanismo para se propagar automaticamente, sem necessidade de um arquivo hospedeiro ser enviado para as suas vítimas. Assim, ele consegue infectar um sistema sem intervenção dos usuários.



Se a história nos ensina alguma coisa, é que toda vez que surge uma nova forma de ciber ataque que faz sucesso em grande escala, isso vira imediatamente uma nova tend6encia entre os atacantes por pelo menos 1 ano, ou mais, até vir a próxima onda tecnológica. Não foi a primeira vez que passamos pos ataques massivos de worms: tivemos uma onda muito forte a primeira metade da década de 2000, mas estávamos há quase 10 anos sem enfrentar nada parecido.

Ou seja, os ciber criminosos já estão adotando essa nova tecnologia e ainda vamos ver muitos ataques de Ransomworms acontecendo logo logo.

maio 14, 2017

[Segurança] Perguntas e Respostas (FAQ) sobre o ransomware WannaCry

Como o meu post sobre o ransomware WannaCry está ficando grande, resolvi resumir as principais dúvidas sobre ele aqui.

O que é o WannaCry?

O WannaCry (ou Wcry, WannaCryptor, Win32/WannaCrypt) é um ransomware, um tipo de código malicioso que "sequestra" computadores para exigir um dinheiro em troca de devolver o acesso ao seu dono.  Veja um vídeo sobre o Ransonware WannaCryptor.

Como ele consegue infectar os computadoes?

O WannaCry explora uma vulnerabilidade do sistema operacional Windows, identificada como MS17-010, que permite execução remota de um código através de uma vulnerabilidade no serviço Server Message Block (SMBv1). Para explorar essa falha e invadir os computadores, o WannaCry usa um exploit chamado EternalBlueque vazou da NSA.
Uma vez infectada a máquina, ele encripta os arquivos e mostra uma tela na qual exige um resgate de 300 dólares, a serem pagos em bitcoins em, no máximo, 7 dias (o valor do "sequestro" aumenta para US$ 600 após as primeiras 72 horas).


Os dois vídeos abaixo (um e dois) mostram o WannaCry funcionando.





Como o WannaCry se espalha?

Após infectar sua vítima, o ransomware procura outras máquinas na rede local e na Internet e utiliza o protocolo SMB para infectar estas máquinas. Para se espalhar pela Internet, ele usa um gerador de números aleatórios para criar endereços IP randômicos.

Porque ele se espalha tão rapidamente?

O WannaCry é um ransomware que se comporta como um "worm" (verme), infectando novas vítimas automaticamente, sem necessidade de intervenção do usuário. Ele procura computadores na rede e utiliza um exploit para infectar qualquer computador vulnerável que encontre.

É verdade que conseguiram parar a onda de ataques do WannaCry?

Sim. alguns pesquisadores registraram um domínio que constava no código do malware. Ao fazer isso, perceberam que ele consulta o dominio ao infectar uma máquina e, se o malware consegue acessar o dominio, ele interrompe a infecção. Esse "kill switch" ("botão de desligar", numa tradução livre) não salva a vida de quem já está infectado e com seus dados criptografados, mas dificulta que o malware se espalhe.

Devo bloquear esse domínio que o WannaCry acessa?

NÃO!!!!! Se você bloquear (em seu Firewall, por exemplo) o domínio que o WannaCry tenta acessar (www[.]iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com), você vai impedir que ele se "desligue". Ou seja, se o WannaCry estiver na sua rede e não conseguir acessar este domínio, ele vai infectar as máquinas vulneráveis.
A melhor estratégia é monitorar e alarmar toda vez que algum computador da sua rede tentar acessar este domínio: isso vai indicar que o ransomware está ativo e tentando se espalhar na sua rede.

É verdade que descobriram a senha que desencripta os arquivos?

NÃO!!!!! Alguns pesquisadores encontraram a senha "WNcry@2o17" dentro do código do WannaCrypt, mas ela não é usada para criptografar os arquivos. Ela é usada pelo ransomwae para baixar seu payload através de um arquivo Zip protegido com essa senha.
O WannaCry utiliza o algoritmo de criptografia AES para criptografar os arquivos da vítima, e usa uma chave de criptografia protegida por outra criptografa, mais forte ainda, com o algoritmo RSA e uma chave de 2048 bits.

Como Prevenir e evitar ser invadido?

Neste meu post (de 2014), eu cito algumas ações preventivas que as empresas deveriam tomar. As principais recomendações são as seguintes:
  • O mais importante: mantenham seus computadores Windows atualizados. O patch está dsponível no site da Microsoft desde Março deste ano e liberou um patch emergencial para versões antigas do Wundows (Windows XP, Windows Server 2003 e Windows 8);
  • Alavie a possibilidade de desabilitar o protocolo SMB (a Microsoft recomenda fazer isso só emergencialmente);
  • Bloquear o tráfego SMB nos Firewalls de borda (que protegem a conexão com a Internet e outras redes externas). Eles devem bloquear tráfego de entrada e saída nas portas 137 e 138 UDP e as portas TCP 139 e 445;
  • Bloquear o acesso das máquinas internas de sua rede para IPs externos associados a rede TOR;
  • Manter seu antivírus atualizado;
  • Manter backup atualizado de seus dados.


Como descobrir que o WannaCry infectou algum computador na minha empresa?

Já foram identificados vários indicadores do ataque (IOC) que podem ser usados na rede ou nos computadores:
  • Hash (SHA256) dos códigos executáveis (esta é a lista original, pois já apareceram centenas de variações, com hashs distintos:
    • 09a46b3e1be080745a6d8d88d6b5bd351b1c7586ae0dc94d0c238ee36421cafa
    • 24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c
    • 2584e1521065e45ec3c17767c065429038fc6291c091097ea8b22c8a502c41dd
    • 2ca2d550e603d74dedda03156023135b38da3630cb014e3d00b1263358c5f00d
    • 4a468603fdcb7a2eb5770705898cf9ef37aade532a7964642ecd705a74794b79
  • Hash (MD5) dos códigos executáveis, segundo a Kaspersky (esta é a lista original, pois já apareceram centenas de variações, com hashs distintos):
    • 4fef5e34143e646dbf9907c4374276f5
    • 5bef35496fcbdbe841c82f4d1ab8b7c2
    • 775a0631fb8229b2aa3d7621427085ad
    • 7bf2b57f2a205768755c07f238fb32cc
    • 7f7ccaa16fb15eb1c7399d422f8363e8
    • 8495400f199ac77853c53b5a3f278f3e
    • 84c82835a5d21bbcf75a61706d8ab549
    • 86721e64ffbd69aa6944b9672bcabb6d
    • 8dd63adb68ef053e044a5a2f46e0d2cd
    • b0ad5902366f860f85b892867e5b1e87
    • d6114ba5f10ad67a4131ab72531f02da
    • db349b97c37d22f5ea1d1841e3c89eb4
    • e372d07207b4da75b3434584cd9f3450
    • f529f4556a5126bba499c26d67892240
  • Após infectar a máquina, o ransomware tenta acessar o seguinte website:
    • www[.]iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com
    • Já foi encontrada uma variante que usa um domínio diferente:
      ifferfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com
  • Para tentar se espalhar, o WannaCry escaneia IPs da rede local e IPs válidos na Internet buscando pela porta TCP/445
  • Extensão de arquivo associadas ao ransonware: .WNCRY
  • Ao se instalar, ele cria o arquivo %SystemRoot%\tasksche.exe
  • Ao se instalar, ele cria o serviço mssecsvc2.0
  • Ele cria ou altera as seguintes chaves de registro no Windows:
    • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\\ = “\tasksche.exe”
    • HKLM\SOFTWARE\WanaCrypt0r\\wd = “
    • HKCU\Control Panel\Desktop\Wallpaper: “\@WanaDecryptor@.bmp”
  • Ele cria diversos arquivos no computador da vítima, incluindo os seguintes:
    • @Please_Read_Me@.txt
    • r.wnry
    • s.wnry
    • t.wnry
    • taskdl.exe
    • taskse.exe
    • 00000000.eky
    • 00000000.res
    • 00000000.pky
    • @WanaDecryptor@.exe
    • m.vbs
    • @WanaDecryptor@.exe.lnk

Que tipos de arquivo ele encripta na máquina infectada?

Ele procura todo o computador por qualquer arquivo com as seguintes extensões: .123, .jpeg , .rb , .602 , .jpg , .rtf , .doc , .js , .sch , .3dm , .jsp , .sh , .3ds , .key , .sldm , .3g2 , .lay , .sldm , .3gp , .lay6 , .sldx , .7z , .ldf , .slk , .accdb , .m3u , .sln , .aes , .m4u , .snt , .ai , .max , .sql , .ARC , .mdb , .sqlite3 , .asc , .mdf , .sqlitedb , .asf , .mid , .stc , .asm , .mkv , .std , .asp , .mml , .sti , .avi , .mov , .stw , .backup , .mp3 , .suo , .bak , .mp4 , .svg , .bat , .mpeg , .swf , .bmp , .mpg , .sxc , .brd , .msg , .sxd , .bz2 , .myd , .sxi , .c , .myi , .sxm , .cgm , .nef , .sxw , .class , .odb , .tar , .cmd , .odg , .tbk , .cpp , .odp , .tgz , .crt , .ods , .tif , .cs , .odt , .tiff , .csr , .onetoc2 , .txt , .csv , .ost , .uop , .db , .otg , .uot , .dbf , .otp , .vb , .dch , .ots , .vbs , .der” , .ott , .vcd , .dif , .p12 , .vdi , .dip , .PAQ , .vmdk , .djvu , .pas , .vmx , .docb , .pdf , .vob , .docm , .pem , .vsd , .docx , .pfx , .vsdx , .dot , .php , .wav , .dotm , .pl , .wb2 , .dotx , .png , .wk1 , .dwg , .pot , .wks , .edb , .potm , .wma , .eml , .potx , .wmv , .fla , .ppam , .xlc , .flv , .pps , .xlm , .frm , .ppsm , .xls , .gif , .ppsx , .xlsb , .gpg , .ppt , .xlsm , .gz , .pptm , .xlsx , .h , .pptx , .xlt , .hwp , .ps1 , .xltm , .ibd , .psd , .xltx , .iso , .pst , .xlw , .jar , .rar , .zip , .java , .raw

Como identificar se o WannaCry está tentando se espalhar pela minha rede?

Para tentar se espalhar, o WannaCry escaneia IPs da rede local e IPs válidos na Internet buscando pela porta TCP/445. Monitore quantidades excessivas deste tráfego e, principalmente, tentativas de sair para a Internet nesta porta.
Além disso, você pode monitorar tentativas de acesso ao domínio que ele usa como "kill stitch": www[.]iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com




Tem assinatura do ataque para conseguir identificá-lo em um SNORT?

Sim, a IBM disponibilizou uma assinatura para o SNORT.

Tem assinatura do ataque para conseguir identificá-lo na ferramenta Netwitness da RSA?

Sim, é possível identificar facilmente o WannaCry através da Suite Netwitness. Pode-se bloquear os hashs conhecidos através do Netwitness Endpoint e também aplicar o segunte filtro no Netwitness Packets:
threat.source=rsa-firstwatch && threat.category=ransomware && threat.desc=wannacry

Adianta tentar bloquear os IPs dos servidores que o WannaCry tenta se comunicar?

Algumas empresas divulgaram uma lista de endereços IP dos servidores de controle do WannaCry. Eu acredito que não adianta bloquesr estes IPs, pois como ele usa a rede TOR para se comunicar com os seus servidores, ele pode usar qualquer endereço IP de entrada na rede TOR, que são IPs que variam frequentemente.

Adianta desligar a minha rede e meus computadores?

Há notícias de empresas que optaram por preventivamente destivar sua rede e desligar seus computadores para tentar conter ou evitar a infecção. Para ser sincero, não acho que elas estão erradas, pois isso evitaria a contaminação. Mas o mais importante mesmo é atualizar seus servidores e desktops Windows.
Você deve fazer uma parada emergencial programada no ambiente: primeiro desligar os dispositivos de redes dos usuários (rede física e Wifi) e começar atualizando os servidores. Depois vai religando as redes dos usuários parcialmente e força a atualização das máquinas conforme elas voltam ao ar.

O que fazer se os arquivos foram criptografados pelo WannaCry.

Tenha calma e não pague o resgate! Verifique quando vocês fizeram backup pela última vez e dê uma olhada no site do seu fabricante de antivírus e no site www.nomoreransom.org, para ver se há novas dicas ou ferramentas para recuperar seus arquivos.
NÃO baixe programas da Internet que prometem apagar o ransomware, a menos que sejam de fonte confiável.

Devo pagar o resgate para recuperar os arquivos criptografados pelo WannaCry.

NÃO!!! É concenso entre os profissionais de segurança que o resgate não deve ser pago!
Os principais motivos são que não há garantia nenhuma que você conseguirá ter acesso aos seus dados (pois pode acontecer do ciber criminoso não te dar a senha ou que esta senha não vá funcionar) e, além disso, fazendo assim você estará motivando o ciber criminoso a continuar prejudicando as pessoas.
O ideal é aguardar até que as empresas de segurança consigam descobrir como recuperar os arquivos. Converse com seu fornecedor de solução de antivírus.
Mas, cá entre nós, provavelmente o desespero vai bater e você ficará tentado(a) a pagar o resgate.

É possível recuperar os arquivos criptografados pelo WannaCry?

TALVEZ!!!
Desde a quinta-feira, dia 18/5, surgiram algumas ferramentas que permitem recuperar os arquivos encriptados, sem necessidade de pagar os ciber criminosos:
  • Wannakey - primeira ferramenta que surgiu, diz funcionar em Windows XP;
  • WanaKiwi - consegue recuperar os primos em Windows XP, 2003 (x86), Vista, 2008, 2008 R2 e Windows 7.
O principal problema é que estas ferramentas só funcionam se o computador não foi desligado nem reinicializado desde o momento em que foi infectado. Isso porque elas recuperam informações que são mantidas em memória.



Quanto dinheiro já arrecadado pelos criadores do WannaCry?

Alguns pesquisadores criaram um site para monitorar quanto foi enviado para os criadores do WannaCry (monitorando 3 das carteiras de bitcoins deles): http://howmuchwannacrypaidthehacker.com

Esse ataque pode ser considerado um ato de "cyber guerra"?

NÃO!!! Isso não tem nada a ver com guerra cibernética, que é o conflito entre países ou ideologias. O WannaCry é um ransomware com objetivo de ganhar dinheiro através da extorsão. É um caso de crime cibernético.

Esse ataque foi direcionado a empresas de Telecom?

NÃO!!! Esse é um ransonware que tenta atacar qualquer computador vulnerável que ele encontre na Internet e na rede local. Há relatos de todo tipo de empresa sendo atacada em todo o mundo: banos, hospitais, escolas, empresas de telecom, etc. Não há um alvo específico!
Obviamente as grandes empresas (bancos, teles) são as mais afetadas pois costumam ter grande quantidade de computadores, e algumas vezes falham em mantê-los atualizados.

Qual é a principal lição que deveria ser aprendda com esse ataque?

Que devemos manter nossos sistemas sempre atualizados, aplicando os patches o mais rápido possível.


Há novas versões do WannaCry?

Sim, com certeza. Além de centenas de variantes, versões com assinatura MD5 diferente, já se fala do WannaCry 2.0, que não teria um "kill switch" (um domínio associado que faria parar a propagação dele). E vamos ver muitos malwares novos surgindo nos próximos dias, usando técnicas similares. Isso ocorre porque o código-fonte relacionado ao exploit utilizado tornou-se público. Logo, qualquer outro ciber criminoso pode adaptá-lo para seu malware.

Tem algum comentário ou meme que posso usar para trollar a galera?

Já tem várias piadinhas circulando por aí. Seguem algumas:
  • Use servidores Linux em vez de Windows.







O site Data Breach Today publicou uma FAQ bem interessante.

Nota: Post atualizado em 21/05.


maio 12, 2017

[Segurança] Ataque massivo do ransomware WannaCry em todo o mundo!

Nesta sexta-feira, 12/05, "sexta-feira dia da maldade", o dia amanheceu com várias notícias de que empresas em todo o mundo estão sofrendo ataques sérios de Ransomware., batizado de "WannaCry" ("Quero Chorar"), WannaCrypt ou Wcry. A notícia é real e merece atenção urgente de todos os profissionais de segurança.


Inicialmente as principais notícias falavam de empresas espanholas terem sido atacadas (veja o alerta do CERT na Espanha), mas há também notícias similares vindas da Europa e Ásia, incluindo Inglaterra, Italia, Portugal, AlemanhaRussia e China (que está sendo sendo atacada desde 11/5). Grandes empresas e órgãos de governo no Brasil também foram atacadas, e a lista só aumenta.


Ainda no primeiro dia (12/05) já se falava que a infecção pelo WannaCry tinha atingido pelo menos 74 países e continuava a se espalhar rapidamente. A origem do ataque ainda não foi confirmada, mas pelos relatos que eu li, me parece que o ataque do WannaCry começou na Rússia e China, depois seguiu para a Europa até chegar no Brasil e América Latina. Esse é um trajeto muito óbvio, na medida em que ele está seguindo o Sol: o ataque pareceu se expalhar na medida que os países amanheciam. Os EUA, por sorte, foram pouco afetados pois quando amanheceu por lá o resto do mundo já estava combatendo o WannaCry e já haviam descoberto o "kill switch" (mais detalhes abaixo).


Surgiram notícias de que a origem do WannaCry poderia estar ligada a um grupo hacker da Koreia do Norte. Eu, particularmente, acho isso um pouco improvável, pois se assim fosse, eles teriam evitado que o Ransomware atacasse a Rússia e, proincipalmente, a China.


Já é muito provável que praticamente todos os países do mundo já tenham sofrido com o ransomware WannaCry, e este incidente está sendo chamado de "a maior infecção de ransomware da história". O site MalwareTech disponibilizou dois mapas mostrando a evolução do ataque ao redor do mundo: um com estatísticas e mapa com todos os ataques e outro mapa com os ataques acontecendo em tempo real.


Não é a toa que teve extensa cobertura da mídia, especializada ou não.


Há notícias de centenas de empresas que foram infectadas ou que, para evitar a infecção, optaram por preventivamente destivar sua rede e desligar seus computadores.


Segundo várias fontes confiáveis, o ataque é causado pelo ransomware WannaCry (ou Wcry, WannaCryptor), que está explorando a vulnerabilidade MS17-010 (corrigida em Março deste ano, ela permite remote code execution em computadores com Microsoft Windows através do Server Message Block 1.0 - SMBv1) utilizando o exploit EternalBlueSegundo a Forbes, "uma ferramenta vazada de NSA, um exploit do Microsoft Windows chamado EternalBlue, está sendo usado para espalhar rapidamente a variante de ransomware chamado WannaCry em todo o mundo".


A pesquisadora Amanda Rousseau, da Endgame, publicou um excelente artigo e infográfico descrevendo o processo de infecção do Ransomware WanaCry. Resumidamente, parafraseando o blog da Amanda, ele começa a infecção com um teste inicial ("beacon"), a função "kill switch" que ele verifica se pode continuar a infecção. Em seguida, ele tenta explorar a vulnerabilidade MS17-010 com o exploit EternalBlue (usando a implementação disponível no Metasploit) e se propagar para outros hosts. Em seguida que ele vai causar dano ao sistema, primeiro instalando o que necessita para causar os danos e ser pago para a recuperação, e após feito isso, o WannaCry começa a criptografar os arquivos na máquina.


Após infectar sua vítima, e antes mesmo de começar a criptografar os arquivos, o ransomware utiliza o protocolo SMB para infectar outras máquinas na mesma rede local e na Internet (ele gera endereços IP randômicos para tentar se espalhar pela Internet).


Uma vez infectada a máquina, ele encripta os arquivos e exige um resgate de 300 dólares, a serem pagos em bitcoins em, no máximo, 7 dias (o valor do "sequestro" aumenta para US$ 600 após as primeiras 72 horas). O WannaCrypt então mostra uma tela de aviso ao usuário de que seus dados estão "sequestrados" e troca o fundo de tela do desktop, além de disponiilizar um arquivo com instruções.


É interessante notar também que os casos anteriores que ouvi sobre Ransomware, os valores dos resgates estavam sempre em torono de 100 dólares. Ou seja, o preço de resgate exigido pelo WannaCry é mais caro do que o normal.

O grande segredo da rápida proliferação do WannaCry em todo o mundo e do desespero criado por ele está justamente na sua capacidade de se expalhar e de infectar suas vítimas muito, muito rapidamente. Ao contrário da maioria dos vírus que estamos acostumados hoje em dia, que se proliferam através de arquivos infectados compartilhados por mensagens de phishing (e, portanto, exigem que o usuário receba o e-mail, abra e baixe e execute o arquivo com o malware), o WannaCry se espalha automaticamente pela rede e utiliza um exploit para infectar automaticamente qualquer computador vulnerável, sem necessidade de nenhuma intervenção do usuário. A máquina é infectada sem que a vítima precise abrir e executar nada. Basta estar com o computador ligado (e vulnerável).

O interessante é que já fazem vários anos que não vemos uma grande infestação global por esse tipo de código malicioso, que chamamos de "worm" ("verme"). De fato, podemos dizer que temos algumas gerações de profissionais no mercado de segurança que não passaram pelo Code Red (2001), Ninda (2001), SQL Slammer (2003), Blaster (2003) e nem mesmo pelo Conficker, em 2008.

Veja algumas características desse ransomware que eu acho que são muito interessantes:
  • Como disse, ele é um ransomware que se comporta como um "worm", infectando novas vítimas automaticamente através da rede local e da Internet, sem necessidade de intervenção do usuário;
  • Ele usa rede TOR para se comunicar com os seus servidores de controle, o que dificulta muito a detecção e bloqueio dessa comunicação;
  • Ele continua encriptando arquivos enquanto está ativo. Se incluir algum novo arquivo na máquina infectada, ele será criptografado também;
  • Se alguém tenta extrair o executável do ransomware para análise, ele se auto-destrói;
  • ransomware suporta 28 linguages diferentes, o que mostra o objetivo de seus autores de fazer uma infecção global!
  • Após infectar uma vítima, o WannaCry primeiro tenta invadir outras máquinas, e só depois ele começa a encripitar os arquivos. Isso é interessente pois, se ele primeiro fizesse o sequestro de dados, seria percebido pelo usuário antes que conseguisse se espalhar.
Dando uma olhada nas carteiras bitcoin (11...Ln, 1Q...iY, 13...94, 12...Mw) que eles aparentemente estão usando, até o momento poucas pessoas já pagaram o ransomware. As 15h40 do dia 12/05 constavam apenas 30 pagamentos. Isso é normal, pois as vítimas geralmente esperam até o último momento para pagar um ransomware, na expectativa de que vão descobrir como removê-lo - ou por conta da dificuldade de um usuário comum em comprar bitcoins.
  • Atualização: as 2am de 14/05 essas carteiras já tinham recebido 123 pagamentos e acumulado cerca de 20 bitcoins (mais de 30 mil dólares). Esse valor subiu para cerca de 25 bitcoins as 3:30am de 15/05.


Quer saber quanto tem sido arrecadado com os resgates pagos pelas vítimas do WannaCry? Além do site "howmuchwannacrypaidthehacker.com", também foi criado um bot que a cada 2 horas publica no Twitter @actual_ransom o total de bitcoins (e dólares) pagos.


A partir da análise detalhada da Kaspersky e do SANS, junto com algumas informações da Microsoft, podemos destacar alguns indicadores do ataque (IOC):
  • Hash (SHA256) dos códigos executáveis (Esta é a lista original, pois já apareceram centenas de variações, com hashs distintos):
    • 09a46b3e1be080745a6d8d88d6b5bd351b1c7586ae0dc94d0c238ee36421cafa
    • 24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c
    • 2584e1521065e45ec3c17767c065429038fc6291c091097ea8b22c8a502c41dd
    • 2ca2d550e603d74dedda03156023135b38da3630cb014e3d00b1263358c5f00d
    • 4a468603fdcb7a2eb5770705898cf9ef37aade532a7964642ecd705a74794b79
  • Hash (MD5) dos códigos executáveis, segundo a Kaspersky (Esta é a lista original, pois já apareceram centenas de variações, com hashs distintos):
    • 4fef5e34143e646dbf9907c4374276f5
    • 5bef35496fcbdbe841c82f4d1ab8b7c2
    • 775a0631fb8229b2aa3d7621427085ad
    • 7bf2b57f2a205768755c07f238fb32cc
    • 7f7ccaa16fb15eb1c7399d422f8363e8
    • 8495400f199ac77853c53b5a3f278f3e
    • 84c82835a5d21bbcf75a61706d8ab549
    • 86721e64ffbd69aa6944b9672bcabb6d
    • 8dd63adb68ef053e044a5a2f46e0d2cd
    • b0ad5902366f860f85b892867e5b1e87
    • d6114ba5f10ad67a4131ab72531f02da
    • db349b97c37d22f5ea1d1841e3c89eb4
    • e372d07207b4da75b3434584cd9f3450
    • f529f4556a5126bba499c26d67892240
  • Após infectar a máquina, o ransomware tenta acessar o seguinte website:
    • www[.]iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com
    • Foi encontrada uma variante que acessa outro domínio como "kill switch": ifferfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com
  • Para tentar se espalhar, o WannaCry escaneia IPs da rede local e IPs válidos na Internet buscando pela porta TCP/445
  • Servidores de comando e controle escondidos na rede TOR:
    • gx7ekbenv2riucmf.onion
    • 57g7spgrzlojinas.onion
    • Xxlvbrloxvriy2c5.onion
    • 76jdd2ir2embyv47.onion
    • cwwnhwhlz52maqm7.onion
    • sqjolphimrr7jqw6.onion
  • Extensão de arquivo associadas ao ransonware: .WNCRY
    • Por exemplo, o arquivo "file.docx" é encriptado e renomeado para "file.docx.WNCRY"
  • Ao se instalar, ele cria o arquivo %SystemRoot%\tasksche.exe
  • Ao se instalar, ele cria o serviço mssecsvc2.0
  • Arquivo de aviso colocado no computador da vítima: @Please_Read_Me@.txt
  • Ele cria ou altera as seguintes chaves de registro no Windows:
    • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\\ = “\tasksche.exe”
    • HKLM\SOFTWARE\WanaCrypt0r\\wd = “
    • HKCU\Control Panel\Desktop\Wallpaper: “\@WanaDecryptor@.bmp”
  • Ele cria diversos arquivos no computador da vítima, incluindo os seguintes:
    • r.wnry
    • s.wnry
    • t.wnry
    • taskdl.exe
    • taskse.exe
    • 00000000.eky
    • 00000000.res
    • 00000000.pky
    • @WanaDecryptor@.exe
    • m.vbs
    • @WanaDecryptor@.exe.lnk
Diversos pesquisadores de malware encontraram a senha "WNcry@2o17" dentro do código do WannaCrypt, e rapidamente algumas pessoas começaram a especular que esta seria a senha para desencriptar os arquivos. Isso não é verdade! Esta senha é utilzada pelo ransomware para baixar seu payload: ele baixa um arquivo Zip protegido com ela.


Na verdade, o WannaCry utiliza o algoritmo de criptografia AES para criptografar os arquivos da vítima e para guardar essa senha de criptografia dos arquivos ele utiliza criptografia de novo, usando o algoritmo RSA com chave de 2048 bits. Além do mais, é muito pouco provável que essa senha servisse para desencriptar os arquivos pela própria natureza dos rasomwares modernos: eles criptografam os arquivos utilizando algoritmos e chaves de criptografia forte.

Segundo o post no MalwareReverse, foram encontradas chaves de criptografia no arquivo 00000000.pky, aonde fica a chave pública utilizada pelo ransomware e no 00000000.eky, que também é uma chave utilizada para encriptar os arquivos.

Algumas recomendações:
  • Antes de mais nada, mantenham seus computadores Windows atualizados, para evitar serem infectados pelo Ransonware. O patch e dicas de como remediar a vulnerabilidade estão dsponíveis desde Março deste ano;
  • Use servidores Linux e desktops / notebooks da Apple (muahahahahaha, desculpem, o espírito troll é mais forte do que eu);
  • Bloquear o tráfego SMB na sua rede e desabilitar o protocolo SMB em seus servidores e desktops, que utiliza as portas 137 e 138 UDP e as portas TCP 139 e 445. Este protocolo, relacionado a vulnerabilidade do MS17-010, jamais deveria trafegar pela Internet. Ele deveria ser bloqueado pelos Firewalls de borda e desativado em servidores que não precisam dele sempre que possível;
  • Não adianta tentar bloquear uma lista fixa de IPs associadas aos servidores de controle (C&C), pois o ransonware fala com os seus servidores através da rede TOR. Por isso é uma boa idéia bloquear ou monitorar o acesso das máquinas internas de sua rede para IPs externos associados a rede TOR. É possível baixar da Internet listas com esses IPs (são muitos, centenas ou milhares) A propósito, Kaspersky indicou, em seu blog, quais são os endereços desses servidores na rede TOR;
  • A Trend Micro, Kaspersky, Symantec e a McAffee já tem vacina para esse ransomware;
  • Um dos domínios que o malware usa para se comunidar já foi desabilitado e está resolvendo para um endereço IP inofensivo: www[.]iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com. É interessante que esse domínio era um "kill switch" que os pesquisadores descobriram acidentalmente, por sorte nossa, ao registrar o domínio: após se instalar, o WannaCry tenta acessar esse domínio e, se consegue, ele interrompe a infecção;
  • Há várias histórias de empresas que estão desligando suas redes internas e seus computadores preventivamente, para evitar serem infectadas. Para ser sincero, não acho que elas estão erradas, pois isso evitaria a contaminação. Mas o mais importante mesmo é atualizar seus sistemas Windows.
    • A minha sugestão, nesse caso, seria fazer uma parada emergencial programada: primeiro desliga as redes dos usuários (rede física e Wifi) e atualiza os servidores. Depois vai religando as redes dos usuários parcialmente e força a atualização das máquinas conforme elas voltam ao ar (fácil de fazer se você tem gestão centralizada delas).
Desde a quinta-feira, dia 18/5, surgiram notícias de que pesquisadores de segurança começaram a descobrir falhas no WannaCry que permitissem recuperar os arquivos encriptados, sem necessidade de pagar os ciber criminosos. Uma falha nas bibliotecas de criptografia da Microsofr e no seu uso permitiu recuperar a chave de criptografia RSA a partir de dados armazenados em memória, em algumas versões do Windows.


Assim, surgiram rapidamente algumas ferramentas:
  • Wannakey - primeira ferramenta que surgiu, diz funcionar em Windows XP;
  • WanaKiwi - consegue recuperar os primos em Windows XP, 2003 (x86), Vista, 2008, 2008 R2 e Windows 7.
Estas ferramentas procuram pelos números primos utilizados para gerar a chave privada RSA no processo wcry.exe. Este programa, que faz parte do WannaCry, usa as funções CryptDestroyKey e CryptReleaseContext que, no Windows XP, apaga as chaves de criptografia da memória, mas mantém os números primos na memória antes de liberar a memória associada ao processo


Especialistas em segurança são unânimes em dizer que as vítimas não devem parar o resgate exigido pelos donos dos Ransomwares. Isso principalmente porque não há nenhuma garantia que o ciber criminoso irá cumprir a sua promessa. No caso do WannaCry, há um outro problema: ele não tem um mecanismo para verificar automaticamente que a vítima depositou o dinheiro na carteira bitcoin, então os criminosos tem que validar manualmente os pagamentos e também realizar manualmente o comando para liberar os arquivos.

É importante ter em mente que, a partir de agora, a tendência natural é que o WannaCry vai evoluir e novos Ransomwares vão surgir baseados nele. De fato, além de já terem aparecido centenas de variantes dele (versões do executável com assinatura MD5 diferente), já se fala do WannaCry 2.0, que não teria um "kill switch". Além disso, dois outros códigos maliciosos já surgiram com funcionamento similar ao Wannacry: o ransomware UIWIX e o malware Monero, que invade computadores para minerar moedas digitais.

Para saber mais:



Nota: Vou continuar atualizando esse post conforme identifico mais informações relevantes. Post atualizado dia 20/05.

Nota2: Também escrevi um FAQ sobre o WannaCry, para resumir os pontos principais, já que este artigo está gigante.

maio 11, 2017

[Segurança] Anúncio de venda de dados

Em um grupo que participo no GoogleGroups, de repente entrou um spammer e postou alguns anúncios de venda de informações roubadas (como dados de cartões de crédito ou conta corrente) e alguns serviços relacionados ao ciber crime, como transferência de dinheiro.

É interessante ver a linguagem utilizada, alguns jargões (cvv, fullz, dumps, bin), os tipos de informações vendidas e os preços praticados. São "praxe" desse tipo de mercado. Por exemplo:
  • Os dados de um cartão de crédito podem custar a partir de US$ 10 (1 cartão americano) até US$ 45 (1 cartão europeu, com dados completos da vítima);
  • Os dados de uma conta corrente em banco podem custar a partir de US$ 150, aumentando o valor de acordo com o saldo da vítima;
  • Oa dados de login de uma conta no Paypal custa a partir de US$ 200;
  • Os precos variam de acordo com o tipo de informação, valor que pode ser transacionado (baseado no saldo do cartão ou da conta) e a localidade (ex: se o cartão de crédito é dos EUA, Inglaterra, Europa, etc);
  • O vendedor oferece desconto por quantidades maiores do que 30 e "garantia" dos dados rouados: se algum deles não for válido em até 10h depois da compra, ele fornece novos dados.
Veja o anúncio:
HI ALL NEW CLIENT
IM BIG HACKER GOOD
- I'm is Professional seller,more than 6 years experience,i have sold cvv credit card to many customers all over the world.
- Selling cvv, fullz many country as: Canada,USA,Australia,UK...all And many country in Europe: Fr,Ger,Spain,Ita...
- I hope we will work together for a long time.
- Always sell cvv quality with high balance.
- I have a website but if you want buy cvv good price please contact me.
- buy cvv, buy cc, buy bank login, buy bank logs, buy dumps, buy dumps with pin,

Contact me:
OMITIDO

___________________ CCV !! CCN ______________________

List cc and my price..
- Us (Visa,Master) = 10$ per 1
- Us (Amex,Dis) = 12$ per 1
- Us Bin 15$ , US Dob 25$
- Us fullz info = 30$ per 1
--------------------------------
- Uk (Visa,Master) = 15$ per 1
- Uk (Amex,Dis) = 20$ per 1
- Uk Bin 20$ , UK Dob 25$
- Uk fullz info = 35$ per 1
--------------------------------
- Ca (Visa,Master) = 20$ per 1
- Ca (Amex,Dis) = 25$ per 1
- Ca Bin 20$ , CA Dob 25$
- Ca fullz info = 35$ per 1
--------------------------------
- Au (Visa,Master) = 20$ per 1
- Au (Amex,Dis) = 25$ per 1
- Au Bin 23$ , AU Dob 30$
- Au fullz info = 30$ per 1
--------------------------------
- Eu (Visa,Master) = 25$ per 1
- Eu (Amex,Dis) = 28$ per 1
- Eu Bin 30$ , AU Dob 35$
- Eu fullz info = 45$ per 1
--------------------------------
- RDP = 25$
- SMTP = 30$ ( All Country )v - Italy = 25$ per 1 (fullz info = 40$)
- Spain = 25$ per 1 (fullz info = 40$)
- Denmark = 30$ per1 (fullz info = 40$)
- Sweden = 25$ per 1 (fullz info = 40$)
- France = 25$ per 1 (fullz info = 40$)
- Germany = 25$ per 1 (fullz info = 40$)
- Ireland = 25$ per 1 (fullz info = 40$)
- Mexico = 20$ per 1 (fullz info = 35$)
- Asia = 20$ per 1 (fullz info = 35$)

_________i Only Exchange WU to PM , WU to WMZ_________

- 100$ WU = 100$ PM
- 200$ WU = 200$ PM
- 100$ WU = 110$ WMZ
- 200$ WU = 210$ WMZ

________________ Do WU transfer ______________________

- 700$ for MTCN 8000$
- 550$ for MTCN 6000$
- 400$ for MTCN 4000$
- 200$ for MTCN 1500$

__________ Bank Logins Prices US UK CA AU EU _____________

. Bank Us : ( Bank of america,HALIFAX,BOA,CHASE,Wells Fargo...)
. Balance 3000$ = 150$
. Balance 5000$ = 250$
. Balance 8000$ = 400$
. Balance 12000$ = 600$
. Balance 15000$ = 800$
. Balance 20000$ = 1000$

- Bank UK : ( LLOYDS TSB,BARCLAYS,Standard Chartered,HSBC...)
. Balance 5000 GBP = 300$
. Balance 12000 GBP = 600$
. Balance 16000 GBP = 700$
. Balance 20000 GBP = 1000$
. Balance 30000 GBP = 1200$

__________________ PayPal account _______________________

= Account Paypal 1500$ = 200$
= Account Paypal 2500$ = 250$
= Account Paypal 4000$ = 350$
= Account Paypal 7000$ = 550$

_____________ Dumps track 1 track 2 with pin _____________

- Dumps,Tracks 1&2 Us = 110$ per 1
- Dumps,Tracks 1&2 Uk = 120$ per 1
- Dumps,Tracks 1&2 Ca = 120$ per 1
- Dumps,Tracks 1&2 Au = 120$ per 1
- Dumps,Tracks 1&2 Eu = 150$ per 1

-Sample Dump + Pin:
Track1 : <OMITIDO>^<NOME OMITIDO> M^<OMITIDO> ,
Track2 : <OMITIDO>
Pin : <OMITIDO>
___________________________________________________________

-WARRANTY time is 10 HOURS. Any cvv purchase over 10 hours can not warranty.
-If you buy over 30 cvvs, i will sell for you best price.
-I will discount for you if you are reseller or you order everyday many on the next day.
-I will prove to you that I am the best sellers. And make sure you will enjoy doing business with me.
-I accept Bitcoin ,WU (western union) , WMZ (webmoney) or MoneyGram...

Contact me
OMITIDO

maio 09, 2017

[Segurança] Precisamos reconquistar nossa privacidade

Preocupado se algum dia conseguiremos conquistar a nossa privacidade online, eu apresentei na última CryptoRave uma nova versão da minha palestra sobre "A NSA e o fim da privacidade".




Fruto da hiperconectividade dos dias atuais, nós desenvolvemos uma dependência e um forte hábito de se expor exageradamente nas redes sociais. Ou seja, as nossas informações pessoais podem ser facilmente encontradas online, por qualquer pessoa, a qualquer momento.

Sabendo disso, governos e ciber criminosos exploram facilmente essa grande quantidade de informações online para identificar e rastrear pessoas. Frequentemente temos novas revelações sobre as capacidades quase ilimitadas de espionagem e vigilantismo da NSA e da CIA. O governo americano, em particular, tem como estratégia fazer uma captura irrestrita e indiscriminada de dados: para eles, é mais fácil capturar todas as comunicações e, conforme a necessidade, posteriormente procurar dados sobre pessoas específicas no meio dessa massa de dados capturada. Quer achar uma agulha num palheiro? Então leve o palheiro para casa.


Além disso, novos mega-vazamentos de dados pessoais são notícia comum e fazem a festa dos ciber criminosos, que tem dados pessoais de bilhões de pessoas a sua disposição para cometer fraude.

Nesse cenário, como poderíamos conseguir proteger a nossa identidade e nossa privacidade?


Há diversas tecnologias que nos ajudam a proteger nossa privacidade, desde ferramentas que utilizam criptografia para proteger a nossa navegação (TOR, SSL), nossos e-mails (GnuPG) e nossos arquivos, como ferramentas e plugins específicos para proteger nossa navegação online.

Entretanto, os usuários finais, leigos, raramente utilizam estas ferramentas. As vezes não basta criar ferramentas com melhor usabilidade, nem tentar educar os usuários, pois acredito que há uma mistura entre a dificuldade tecnológica (comum entre os usuários com mais idade), associada a necessidade de se super expor online (comum entre os jovens). Além disso há o "efeito manada": muitas das tecnologias para proteger a nossa privacidade exigem seu uso por todas as pessoas envolvidas no seu uso. Precisamos de uma adoção massiva para algumas ferramentas serem utilizadas. Não adianta, por exemplo, enviar um e-mail criptografado para uma pessoa que não tenha a mesma ferramenta para desencriptar a mensagem. Não adianta utilizar uma rede social ou um aplicativo de comunicação supostamente mais segura, se todos os seus amigos utilizam apenas o Facebook e Whatsapp.

Uma alternativa talvez seja criarmos identidades distintas, de acordo com a necessidade e uso - e evitar qualquer associação entre elas. Ou seja, dependendo do site ou serviço que utilizamos, poderíamos optar por colocar dados pessoais mais incompletos ou imprecisos. Poderíamos criar contas de e-mail distintas, uma principal e algumas secundárias ara uilizar em cadastros menos importantes. E ter uma conta de e-mail única e excusivamente para utilizar para recuperação de senha.

Na maioria dos sites e serviços que utilizamos, não há necessidade de nos cadastrarmos com nosso nome completo. Talvez só o primeiro nome e um sobrenome seria mais do que suficiente. Em alguns serviços, poderíamos nos cadastrar usando apenas um pseudônimo. Poderíamos evitar de fornecer nossos dados pessoais, como data de nascimento, RG e CPF, fornecendo números falsos ou errados. Por exemplo, ao utilizar um site que usamos muito esporadicamente, poderíamos nos cadastrar com um e-mail secundário e fornecer nosso nome incompleto.

Estas medidas acima são fáceis de serem adotadas e ajudam a proteger um pouquinho mais a nossa privacidade. Há uma pequena linha tênue entre proteger a nossa identidade e cometer um crime de falsidade ideológica (artigo 299 do Código Penal). Se o objetivo não é causar dano a ninguém, apenas proteger nossa identidade, não há crime.
Falsidade ideológica
Art. 299 - Omitir, em documento público ou particular, declaração que dele devia constar, ou nele inserir ou fazer inserir declaração falsa ou diversa da que devia ser escrita, com o fim de prejudicar direito, criar obrigação ou alterar a verdade sobre fato juridicamente relevante:
Embora ocultar parcialmente nossas informações pessoais podem não ser suficientes para nos proteger contra uma organização profissional e aparelhada como os governos, ao menos elas podem nos ajudar muito contra o roubo criminoso de identidade. É muito comum que ciber criminosos usem informações encontradas online para tentar acessar outros sistemas que possam ser usadas por suas vítimas. Usam informações para tentar obter acesso usando, por exemplo, ataque de "password guessing" uma vez que vários usuários usam o mesmo e-mail e senha para vários cadastros. Ou usam nossas informações em golpes de engenharia social, como phishing sofisticados, tentar se passar pela vítima junto ao call center de uma empresa, etc.

Minimizando nossas informações online, dificultamos a vida dos governos e, principalmente, dos ciber criminosos.

maio 08, 2017

[Segurança] Vamos para a BSidesSP!

Nos dias 20 e 21 de Maio (Sábado e Domingo) teremos a próxima BSides São Paulo (BSidesSP), que chega na sua 14a edição.


Novamente o evento acontece na PUC São Paulo (Campus Consolação), sempre no mesmo esquema: algumas atividades no sábado (mini-treinamentos) e o evento completo acontecendo no Domingo, com diversas trilhas de palestras, oficinas práticas, Lightning Talks, a Hacker Carreer Fair e a BSides 4 Kidz (atividades de segurança e hacking para crianças).

Teremos algumas novidades para esta edição. A principal delas será que a nossa competição de “Capture the Flag” (CTF) terá 24 horas initerruptas de duração, no local. Pelo que eu me lembro, esta é a primeira vez que um evento brasileiro de segurança hospeda uma competição de CTF por 24 horas seguidas, quase uma maratona!!! O CTF vai começar as 15h do Sábado, 20/05, e vai até as 15h do Domingo, 21/05, madrugada a dentro. Teremos bebidas, energético e comida para os participantes.

As inscrições para a BSidesSP são gratuitas, mas temos vagas limitadas, por isso é bom não deixar a sua inscrição para o último dia! Já tivemos mais de 500 inscritos em menos de uma semana e as atividades do sábado, que tem limite de vagas por atividade, já estão lotadas.

A conferência Security BSides São Paulo (BSidesSP) é um evento gratuito sobre segurança da informação e cultura hacker, que será realizado em São Paulo, Brasil, nos dias 20 e 21 de Maio de 2017, no final de semana anterior ao evento You Sh0t the sheriff (YSTS). A BSidesSP tem o apoio da conferência AndSec, Cipher, Clavis, CryptoID, CTF.br, Daryus, Novatec e RoboCore e conta com o patrocínio da El Pescador, Trend Micro Brasil, e-Safer Consultoria e RSA Security.
Creative Commons License
Disclaimer: The views expressed on this blog are my own and do not necessarily reflect the views of my employee.