[Segurança] Retrospectiva 2014

O ano de 2014 foi especialmente "tenso" para os profissionais de segurança: vivemos uma sequência constante de grandes vulnerabilidades e roubos de dados. Nos últimos dias do ano, o roubo de dados da Sony dominou os noticiários.

Por isso, decidi fazer uma pequena lista dos fatos mais relevantes:

• No Brasil, o malware de Boletos dominou as notícias no decorrer do ano, com a publicação de diversas pesquisas realizadas por algumas empresas de segurança sobre o malware e seus variantes;
• #OpWorldCup: Apesar das expectativas, os ciber protestos durante a copa do mundo foram poucos e irrisórios. Pelo jeito os hackers preferiram ficar na frente da TV assistindo as partidas de futebol;
  
• Em Fevereiro deste ano tivemos um mega-ataque de DDoS contra a empresa CloudFlare. O ataque foi baseado na técnica de NTP Amplification e chegou a gerar 400Gbps de tráfego;
• Roubo de dados afetando os lojistas americanos, dos grandes aos pequenos. No decorrer do ano, ciber criminosos roubaram dados pessoais dos clientes de diversas lojas físicas e lojas online nos EUA. Foram afetados os clientes de lojas grandes como Home Depot e Staples, cadeias de restaurantes como a P.F. Chang's, do correio americano ou UPS, ou até mesmo pequenos logistas. Eu diria que é praticamente impossível que algum americano não tenha sido atingido por algum estes vazamentos de dados;
• Vulnerabilidades de alto risco, afetando milhões de servidores, e causando stress nos profissionais de segurança, que tiveram que sair correndo para atualizar seus servidores:
• Heartbleed, o bug no OpenSSL que permitiu o vazamento de dados trafegados em conexões SSL em sistemas Unix/Linux;
• Shellshock, afetando o shell Bash dos sistemas Unix;
• Poodle (CVE-2014-3566): vulnerabilidade no design do SSL versão 3.0 permitindo ataque MITM;
• Unicorn bug (CVE-2014-6332): Vulnerabilidade na biblioteca OleAut32.dll do VBScript que permite a execução de código em todas as versões do Windows desde o Windows 95;
• Winshock (CVE-2014-6321): Vulnerabilidade no Microsoft Secure Channel (Schannel), responsável pelo SSL e TLS nas plataformas Microsoft Windows, que permite a execução de código na máquina vulnerável;
• Bug no Kerberos (CVE-2014-6324): Apesar de não ganhar nenhum nome bonitinho, essa vulnerabilidade no Kerberos Key Distribution Center (KDC) dos servidores Microsoft Windows também foi muito grave, pois permite a um usuário remoto obter privilégio de administrador no domínio;
• Ataques sofisticados a empresas; dentre os vários que ocorreram durante o ano, três merecem destaque:
• Sands (dona dos cassinos Venetian e Palazzo, em Las Vegas, entre outros): Teve sua rede invadida e foi implantado um malware que destruiu centenas de computadores e servidores da empresa;
• Code Spaces: Após uma série de ataques DDoS e uma tentativa de extorsão, ciber criminosos invadiram o painel de controle na Amazon da Code Spaces e apagou todos os dados na nuvem, incluindo o site, banco de dados e backups. E, assim, a Code Spaces foi obrigada a fechar;
• Sony Pictures: roubo de 100 TBytes de informações, incluindo e-mails dos funcionários, dados pessoais de funcionários e contratados e segredos da empresa, incluindo as versões finais de cinco filmes.

Na Black Hat Summit São Paulo eu fiz uma palestra na área de expositores aonde, no início, eu coloquei alguns slides com um pequeno resumo dos principais ataques de 2014, conforme consta acima.


O site ThreatPost possui uma boa retrospectiva de 2014, e o portal Data Breach Today criou um infográfico com os 6 maiores vazamentos de dados. Procurando o Google por mais informações sobre problemas de segurança no ano passado, eu encontrei esse post no blog da empresa Leverage Informática, esse post da Avast, a retrospectiva da McAffee e esta apresentação muito boa do André Landim, da RNP. O Olhar digital também publicou uma retrospectiva dos principais acontecimentos na área de tecnologia, que destacou, na área de segurança, o Heartbleed, o Shellshock o ataque a Sony e o Marco Civil.

Outra referência interessante pode ser vista nos primeiros 20 minutos da palestra "Nuevas tendencias en ciberataques", que o pesquisador espanhol Chema Alonso apresentou no Security Innovation Day da Telefônica (SID2014). Ele fez um breve resumo dos principais ataques existentes até então, em Outubro de 2014.



Nota (06/01): O site DataBreachToday publicou um infográfico com os maiores roubos de dados médicos em 2014 nos EUA. No pior caso, foram roubados dados pessoais e históricos médicos de 4,5 milhões de pacientes do CHS (Community Health Systems)

Notas (14/01): O site Hackmageddon publicou um post com as estatísticas de ataques em 2014, e aproveitou para comparar com os dois anos anteriores. Além disso, a Kaspersky também publicou um post com as principais estatísticas de ataques e malwares de 2014, tanto para o mundo quanto para a América Latina.