Mostrando postagens com marcador vírus. Mostrar todas as postagens
Mostrando postagens com marcador vírus. Mostrar todas as postagens

setembro 06, 2023

[Segurança] Malwares atacam transações PIX

Desde o final do ano passado (principalmente entre novembro e dezembro), os bancos brasileiros começaram a identificar uma nova onda de malwares bancários atuando ativamente no Brasil, especializados em fraudar transações via PIX, o meio de pagamento instantâneo tão popular entre os brasileiros. Segundo a Febraban, o Pix encerrou 2022 com mais de 24 bilhões de transações, média de 66 milhões de operações diárias, consolidando-se como meio de pagamento mais popular do Brasil. As transações do Pix superam as de cartão de débito, boleto, TED, DOC e cheques no Brasil, as quais, juntas, totalizaram 20,9 bilhões.

Essa popularidade também se aplica aos cibercriminosos: o PIX é a melhor forma de roubar rapidamente todos os fundos de uma conta que foi invadida. Os criminosos costumam enviar o dinheiro para uma (ou mais) contas laranja e distribuir entre várias outras, para impossibilitar o rastreio e a recuperação do dinheiro. Segundo o Banco Central, foram registrados mais de 739.145 crimes envolvendo o PIX entre janeiro e junho de 2022, alta de 2.818% em comparação ao mesmo período de 2021.

As redes sociais possuem diversos relatos de brasileiros afirmando que, ao realizarem transferências bancárias, são surpreendidos no final da transação pois o montante transferido foi direcionado para a conta de outra pessoa.

OBS: Embora esses malwares ataquem diversas instituições financeiras, é incrível ver como a imprensa e as redes sociais dão grande destaque quando a vítima é cliente do Nubank!!!!

Hoje, existem pelo menos seis sete famílias de malware que visam usuários do PIX: 

  • PixStealer e MalRhino
  • BrazKing
  • PixPirate
  • BrasDex
  • GoatRAT
  • PixBankBot
  • Brats (NOVO)

Isso sem falar os malwares de acesso remoto (RAT) para celulares, que permitem ao criminoso tomar controle total do aparelho e, inclusive, acessar os apps bancários da vítima. Esses RATs já existem há alguns anos e foram popularizados pela Kaspersky com o nome de "Golpe da Mão Fantasma". Desde 2020 a Kaspersky lançou relatórios sobre os m

Os primeiros dois malwares comprometendo transações Pix a ser identificado por empresas de segurança foram o PixStealer e sua variante MalRhino em setembro de 2021, reportados pela Checkpoint. O PixPirate e o BrasDex foram descobertos no final de 2022 pela Cleafy e pela Threat Fabric, respectivamente. O PixBankBot foi reportado pela Cyble no final de Maio de 2023.


Além do diagrama acima, que tirei do report da Cyble, também preparei uma linha do tempo com os principais malwares direcionados a manipular transações financeiras com o PIX:
  • Setembro / 2021 - A Checkpoint descobre o PixStealer e o MalRhino
  • Novembro / 2021 - IBM Trusteer anuncia uma nova versão do BrazKing
  • Dezembro / 2022 - PixPirate descoberto pela Cleafy
  • Dezembro / 2022 - BrasDex descoberto pela Threat Fabric
  • Março / 2023 - Cyble publica relatório sobre o GoatRAT
  • Maio / 2023 - Cyble anuncia a descoberta do PixBankBot
  • Setembro / 2023 - Kaspersky anuncia a descoberta do Brats
  • Outubro / 2023 - Kaspersky anuncia a descoberta do GoPIX (NOVO)
  • Dezembro / 2023 - TrendMicro publica relatório sobre o ParaSiteSnatcher (NOVO)
Esses códigos maliciosos foram desenvolvidos especificamente para atacar transações via Pix realizadas em aplicativos bancários em celulares Android. Eles conseguem desviar dinheiro da conta da vítima após interagir com o aplicativo bancário de forma a manipular as transações realizadas no próprio celular da vítima.

Normalmente esses malwares tem como alvo diversas instituições financeiras no Brasil, nas quais conseguem efetuar fraudes alterando os parâmetros de transação quando o cliente tenta realizar transferências e pagamentos via PIX. Os malwares são direcionados para usuários Android e utilizam o recurso de acessibilidade do Android para interceptar a comunicação do app com o usuário, e assim capturar as informações digitadas pelo usuário, sobrepor telas e interagir diretamente com o app bancário.

Os malwares direcionados ao PIX utilizam duas técnicas distintas:
  • Acesso Remoto (RAT): O malware permite acesso remoto ao celular da vítima, e assim, o criminoso consegue acessar qualquer coisa - em especial, os apps bancários. Esse tipo de trojan exige que o criminoso esteja online no momento em que a vítima acessa seu app bancário, pois neste caso o trojan sobrepõe uma tela falsa no celular (técnica chamada de "overlay") , enquanto o criminoso acessa seu aplicativo bancário e realiza as transações;
  • Automated System Transfer (ATS) para automatizar o processo de ataque e injeção de comandos necessários para realizar as transferências fraudulentas., como no caso do PixPirate e BrasDex. Neste caso, os malwares são adaptados para aplicativos bancários específicos. Eles identificam o momento em que o usuário se loga no app, e ao tentar fazer uma transação via Pix, o trojan coloca uma tela fake no celular (uma mensagem de espera, por exemplo), e por trás o trojan retorna para a tela anterior e faz uma nova transação, desta vez mandando todo o dinheiro da vítima para uma conta laranja. O trojan tira a tela fake e o app volta para a tela de confirmação, e o usuário acaba digitando sua senha para confirmar a transação fraudulenta, e não a original.

A infecção normalmente acontece graças a engenharia social, com o fraudador entrando em contato com a vítima (por phishing ou diretamente) e convencendo-a a instalar um aplicativo malicioso em seu celular. No caso mais comum, o fraudador se identifica como um funcionário do banco, fala para a vítima que ela sofreu uma tentativa de fraude em sua conta (para assustar a vítima) e pede que ela instale um aplicativo, com a desculpa de que seria um módulo de segurança ou uma nova versão do app. Esse aplicativo na verdade é o trojan bancário.


Veja como a Febraban descreve esse golpe, que ela chama de "Golpe do Vírus do PIX":
"Nada mais é do que o golpe do Acesso Remoto, que ficou conhecido popularmente como o golpe da Mão Fantasma. O fraudador entra em contato com a vítima se passando por um falso funcionário do banco ou ainda manda e-mails, links e mensagens em aplicativos. Usa várias abordagens para enganar o cliente: informa que a conta foi invadida, clonada, que há movimentações suspeitas, entre outras artimanhas."
Esses vírus esperam a vítima fazer o login em seu aplicativo bancário para iniciar sua operação, que inclui capturar a informação sobre saldo disponível na tela inicial e, posteriormente, sobrepor telas falsas para distrair a vítima enquanto executam os passos necessários para realizar as transações que irão transferir todo o dinheiro da vítima para contas de laranja. Isso é possível pois, graças ao serviço de acessibilidade do Android, os malwares são capazes de reconhecer os elementos da tela e os dados digitados pelo usuário. Em seguida, eles interceptam a interação da vítima com o aplicativo bancário e identificam quando ela tenta solicitar uma transferência via PIX. Neste momento, o malware irá sobrepor uma tela enquanto realiza os passos necessários para fazer uma transação para contas de terceiros.

Veja alguns detalhes sobre eles:
  • O PixStealer, descoberto pela Checkpoint em setembro de 2021, consistia em duas variantes diferentes de malware bancário, chamados PixStealer e MalRhino, distribuídos por meio de dois aplicativos maliciosos separados na Play Store do Google. Ambos os aplicativos maliciosos foram projetados para roubar dinheiro de clientes por meio do serviço de acessibilidade, intervindo na interação do usuário com o aplicativo bancário. O PixStealer sobrepunha uma falsa tela de sincronização enquanto realizava os comandos para fazer transferência de valores via PIX. A Checkpoint destaca que o PixStealer era um malware bem enxuto, que sequer utilizava uma C&C para evitar detecção. Enquanto o PixStealer era direcionado ao PagBank, o MalRhino atacava clientes dos bancos Inter, Original, PagBank, Next, Nubank e Santander;
  • O BrazKing é um malware que existe desde 2018, mas em 2021 a IBM Trusteer descobriu uma versão com características de permitir o acesso remoto (RAT) e técnicas mais avançadas de manipulação do dispositivo infectado. O vetor de infecção inicial é uma mensagem de phishing que afirma que o dispositivo está prestes a ser bloqueado devido a uma suposta falta de segurança, e solicita que o usuário ‘atualize’ o sistema operacional. O BrazKing não automatiza fraudes em dispositivos infectados, pois suas atividades são controladas remotamente pelo servidor C&C. Assim, os operadores do malware podem adaptar o ataque para cada banco com relativa facilidade. O BrazKing obtém o controle do dispositivo infectado explorando os serviços de acessibilidade, o que lhe permite obter informações do aparelho, fazer keylogging, ler mensagens de SMS, capturar a tela, etc. A sobreposição de telas é feita pelo recurso de webview. O servidor de controle (C&C) pode enviar um comando para o malware mostrar uma mensagem na tela e atrair o usuário para abrir o aplicativo bancário, ou para o próprio malware abrir o app bancário. Com o app aberto, o malware pode registrar as teclas digitadas, extrir a senha, assumir o controle, iniciar uma transação e obter as informações de autorização necessárias para concluir a transação (se for enviado senha por SMS). O BrazKing também é capaz de bloquear a tela do telefone e apresentar ao usuário uma tela de atraso;
  • O BrasDex foi descoberto no final de 2022 pela Threat Fabric, direcionado a 10 instituições financeiras do país (Banco do Brasil, Bradesco, Binance, Caixa, Inter, Itaú, Nubank, Original, PicPay e Santander). Até então, o malware já estava ativo há cerca de um ano, mas atacava apenas o banco Santander.  Quando o correntista programa uma transação via PIX, direcionanda para um de seus contatos, uma nova tela aparece com a mensagem de carregamento ou espera, mas que se trata de uma máscara sobre a tela original. Por trás o malware está alterando valores e destinatários (como se a vítima desse o comando de retornar para a tela anterior e redigitasse os dados da conta de destino). Em seguida, o usuário recebe a tela para confirmar a transação, digitando sua senha. A vítima irá perceber o golpe somente quando a transferência for realizada e o comprovante for emitido;
  • O PixPirate é um trojan bancário direcionado às instituições financeiras do Brasil, focado em manipular transações via o Pix. O trojan para o Android usa API de serviços de acessibilidade para interceptar mensagens, desabilita o Google Play Protect, interceptar SMS e roubar senhas, entre outros. Ele é compartilhado disfarçado de aplicativo autenticador;
  • O GoatRAT, que ganhou uma nova versão batizada de FantasyMW, é um trojan bancário brasileiro para sistemas Android que utiliza a técnica de ATS para realizar transferências PIX automaticamente. Inicialmente, seus alvos eram clientes do Nubank, Banco Inter ou PagBank. Ele é comercializado em um canal no Telegram, por valores de R$ 5 mil por semana;
  • O PixBankBot, descoberto em maio de 2023 pela Cyble, é direcionado a roubar dinheiro através de PIX de clientes de 6 bancos brasileiros: C6 Bank, Itaú, Mercado Pago, Nubank, PagBank e PicPay. O malware se disfarça como um aplicativo PDF genuíno para atrair e infectar suas vítimas. Ele utiliza a técnica de ATS para manipular o app da vítima e, para isso, solicita que o usuário habilite o Serviço de Acessibilidade. O PixBankBot cria uma janela falsa sobrepondo a tela do app bancário para ocultar suas ações maliciosas que ocorrem em segundo plano. O malware obtém a chave PIX da conta de destino a partir de uma página no Pastebin e realiza uma transação PIX no valor total referente ao saldo da vítima. Para autenticar a transação, mesmo se ela exigir biometria, o PixBankBot apresenta uma tela falsa sob o pretexto de que precisa autenticar o usuário para finalizar uma atualização. Para evitar detecção, o malware se remove automaticamente ao executar a transferência ou se o saldo da conta cair abaixo de R$ 500,00;
  • O Brats foi descoberto pela Kaspersky em setembro de 2023. Segundo a emrpesa, o trojan bancário Brats, uma variação do malware Banbra, também direcionado a fraudar transações PIX. O malware modifica o destino dos fundos transferidos e o valor da transação, baseando-se no saldo da vítima. O termo “Brats” faz referência ao Brasil, país onde esse golpe é exclusivamente identificado até o momento, com “ats” derivando da sigla em inglês para "sistema automatizado de transferência". O trojan já foi detectado mais de 1.500 vezes de janeiro até setembro, segundo a Kaspersky;
  • O ParaSiteSnatcher foi descoberto pela TrendMicro em Novembro deste ano. Trata-se de uma extensão maliciosa para o Chrome capaz de identificar e interceptar transações via PIX. A extensão maliciosa foi projetada especificamente para atingir usuários na América Latina, especialmente no Brasil; ele exfiltra dados de URLs relacionadas ao Banco do Brasil e à Caixa Econômica Federal (Caixa). Também pode iniciar e manipular transações no PIX e pagamentos feitos por meio de Boleto Bancário. (NOVO)

A Zimperium descreveu as principais características dos malwares atuais:

  • Uso de um sistema de transferência automatizada (ATS) que inclui a captura tokens de autenticação multifator (MFA), iniciar transações e realizar transferências de fundos
  • Uso de engenharia social, como os cibercriminosos se passando por técnicos de suporte ao cliente direcionando as vítimas para baixar os trojans;
  • Uso de recurso de compartilhamento de tela ao vivo para interação remota direta com o dispositivo infectado (RAT);
  • Oferta dos malwares em pacotes de assinatura, que podem variar entre US$ 3 mil a US$ 7 mil por mês.

O fato é que, graças a popularização do PIX e, principalmente, a agilidade na movimentação do dinheiro, esses malwares bancários vieram para ficar e vão evoluir cada vez mais. O fato de explorarem o recurso nativo de acessibilidade dos celulares, que é uma funcionalidade muito importante, torna mais difícil a sua mitigação pelos bancos.

Para saber mais:

PS: Post atualizado em 25/10 e 28/12.
Postado por em Nenhum comentário:
Marcadores: , , , , , ,

julho 22, 2021

[Segurança] Ransomwares e Septuple Extorsion

Não há dúvidas de que os ataques de Ransomware se tornaram o pior pesadelo das empresas. Afinal, nestes últimos 2 anos, as táticas de ataque mudaram e cresceram astronomicamente. Se até 2019 os ataques eram direcionados a sequestrar computadores dos usuários finais e exigir um resgate de, em geral, 100 dólares, de repente os ciber criminosos perceberam que poderiam sequestrar os computadores de uma empresa inteira. Deste então, o ataque a empresas se massificou e os valores dos resgates pularam para a casa dos milhões de dólares por ataque!


Desde então, se popularizou a buzzword "double extorsion", a partir do momento em que os Ransomwares corporativos passaram a exfiltrar os dados antes de criprografá-los. Assim, ameaçam as empresas de que irão vazar os dados se o resgate não for pago.

Embora a tática de "double extorsion" tenha se popularizado entre os operadores de Ransomware, a cada dia os ciber criminosos adicionam novas formas de extorsão ao seu arsenal maligno. Na verdade, já estamos na...


Septuple extorsion !

Ou seja, já são sete (7!!!) formas de extorsão realizadas pelos operadores de Ransomware! A mais recente, criada pelo grupo responsável pelo Ransomware Mespinoza (também conhecido como PYSA), consiste em buscar nos documentos roubados por indicadores de atividades ilegais da empresa, e ameaçar divulgá-las.

Assim, essa nova tática se soma as conhecidas anteriormente:
  1. O clássico: sequestrar (criptografar) os dados locais e ameaçar não devolver (descriptografar) os dados;
  2. Vazar (expor publicamente) os dados roubados, em fóruns online (isso foi batizado de "double extorsion");
  3. Realizar ataques de DDoS contra a vítima;
  4. Call centers que ligam para a empresa atacada pelo ransomware.
  5. Avisar os clientes que a empresa teve os dados roubados!
  6. Avisar os acionistas, para que estes possam vender suas ações antes dos criminosos divulgarem o ataque a empresa;
  7. Vazar documentos que mostrem práticas ilegais da empresa.
Com o potencial de ganhos milionários em cada invasão, os ciber criminosos estão muito motivados para inovar nos ataques de Ransomware e buscar novas formas de obrigar as vítimas a pagar o resgate.

Vale a pena lembrar que é consenso na indústria de segurança que não devemos pagar o resgate. Além de alimentar essa indústria criminosa, o pagamento de resgate, na prática, não garante que os dados serão recuperados e não serão vazados.


PS: Pequena atualização em 10 e 12/08.

PS/2 (adicionado em 30/09): Veja esse artigo que descreve um possível caso de "quadruple extorsion", do grupo responsável pelo ransomware BlackMatter, com vazamento e criptografia de dados e ameaça de expor os dados para o público ou para competidores - Ransomware Reportedly Hits Iowa Farm Services Cooperative
Postado por em Nenhum comentário:
Marcadores: , , , , ,

maio 10, 2021

[Segurança] Ransomware interrompe um dos maiores oleodutos dos EUA!

Olha a treta: um dos maiores oleodutos dos Estados Unidos foi fechado após um ataque de ransomware atingir a sua operadora, a Colonial Pipeline.


A empresa anunciou que sofreu um ataque de ransomware na 6a feira (07/05) e, por causa disso, teve que proativamente desconectar vários computadores e sistemas, o que a obrigou a desligar seus sistemas de controle dos oleodutos e, assim, fechar suas linhas de abastecimento, que correspondem a 5.500 milhas de oleoduto, que transporta 45% do abastecimento de combustível da costa leste dos EUA e cobre 14 estados do sul e leste dos EUA. Devido ao corte no abastecimento, nesta quarta-feira (12/05), três a cada quatro postos de gasolina estavam sem combustíveis em várias cidades americanas.


Após manter os seus sistemas desligados no final de semana, enquanto combatia o ataque do ransomware, nessa segunda-feira (10/05) a empresa já estava retomando a operação de seus sistemas, aos poucos. Para conseguir recuperar seu ambiente, a empresa optou por pagar o resgate de 5 milhões de dólares 4,4 milhões de dólares (75 bitcoins) para os ciber criminosos - mas aparentemente a ferramenta para descriptografar os dados era muito lenta, e mesmo assim a empresa ficou aproximadamente 6 dias fora do ar e dependeu de seus backups para ajudar a restaurar as operações.

O fato da Colonial Pipeline pagar o resgate gerou muita discussão no mercado por causa dos aspectos éticos e, principalmente, pois isso fomenta e incentiva o mercado de ransomware. O CEO da empresa tentou justificar a decisão, pois na visão dele isso reduziria o impacto para os clientes finais. Mas esse não foi um ato isolado! A seguradora americana CNA Financial pagou US$ 40 milhões de resgate após um ataque de ransomware em Março - esse valor é maior do que o maior resgate pedido em 2020, de 30 milhões de dólares, e muito maior do que o maior resgate pago em 2019, que foi de 15 milhões de dólares!

O Departamento de Justiça americano realizou uma investigação sobre como foi realizado o pagamento do resgate, nas carteiras em bitcoins, e conseguiu recuperar 63,7 bitcoins (aproximadamente 2,3 milhões de dólares) pagos para os ciber criminosos.


Nesse artigo do pessoal da Kaspersky, eles lembram 3 motivos para não pagar um resgate de ransomware: ao fazer isso, (1) você está patrocinando o cibercrimes, (2) sem garantias de que seus arquivos realmente serão recuperados e (3) correndo o risco de ser invadido novamente!

A propósito, veja esse caso recente, que mostra como nem sempre podemos acreditar nos criminosos por trás de um ransomware: o grupo iraniano chamado de Agrius desenvolveu um malware que funciona tanto como ransomware como destruidor de arquivos ("wiper"), e em alguns ataques eles exigiram resgate, mas mesmo assim destruíram os dados da vítima.

Segundo as investigações, o grupo de ciber criminosos russos e operadores de ransomware conhecidos como "DarkSide" é o responsável por esse ataque de ransomware, um grupo que trabalha no modelo de "ransomware as a service" e que tem se destacado muito desde meados do ano passado. O grupo é especializado no ataque a empresas e na tática de "double extorsion".


Segundo estimativas da empresa Elliptic, o DarkSide infectou 99 empresas em 9 meses, 47 das quais pagaram resgate, um total de mais de 90 milhões de dólares. Em média, os valores pagos fora de 1,9 milhões de dólares. Os criadores do DarkSide ficam com uma parte dos valores pagos, variando desde 25% em caso de resgates até 500 mil dólares, até 10% para resgates acima de US$ 5 milhões.

A notícia já causou especulações sobre o impacto no abastecimento de combustíveis nos EUA e aumento de preços, pois a empresa transporta gasolina, diesel e querosene de aviação, um volume de aproximadamente 100 milhões de galões de combustível por dia e atende a sete aeroportos.

Além de criptografar diversos computadores da Colonial Pipeline, incluindo o sistemede da Colonial Pipeline atrava de cobrança da empresa, o ransomware conseguiu roubar 100 GB de dados.

Segundo as investigações do incidente, os ciber criminosos conseguiram invadir a rede da Colonial Pipeline através de uma senha comprometida de sua VPN, que não possuía segundo fator de autenticação. A invasão aconteceu no dia 29 de abril, ou seja, praticamente uma semana antes do ransomware infectar a empresa. A credencial da VPN não estava em uso, mas estava ativa, e os criminosos conseguiram explorá-la pois ela constava em um vazamento de senhas disponível na dark web, sugerindo que o funcionário reusou a mesma senha em outra conta, previamente vazada.

(Atualizado em 12/05) O grupo responsável pelo ransomware DarkSide disse que não tinha interesse em causar a parada no sistema de oleoduto, e que vai incluir controles adicionais para evitar que seu ransomare cause impactos semelhantes no futuro.


O screenshot abaixo, retirado do artigo do Brian Krebs sobre o DarkSide, mostra qual é a "política" do serviço deles:


O pessoal da RSA Conference aproveitou o embalo e publicou um video curto, de aproximadamente 10 minutos, discutindo os impactos dos ataques de ransomware a provedores de infraestrutura crítica e o caso do ataque na Colonial Pipeline (Ransomware and Critical Infrastructure: An Interview with Bryson Bort):


No vídeo acima, o Bryson Bort faz um comentário interessante: ao invadir um sistema, o ransomware DarkSide verifica se a linguagem configurada no computador é o Russo - e, caso afirmativo, não realiza a infecção. Como os ciber criminosos são russos, isso provavelmente acontece para que eles não tenham problemas com as autoridades e a polícia local - e somente ataquem sistemas de outros países.

O pessoal do grupo INTEL471 escreveu um post curto sobre o DarkSide, aonde eu destaco o trecho que eles comentam sobre as principais técnicas que eles normalmente usam para invadir as suas vítimas (e provavelmente foi esse o caminho que levou a invasão da Colonial Pipeline): usam credenciais vazadas de funcionários das empresas, tentam fazer ataques de força-bruta contra os sites das vítimas, usam botnets existentes para aproveitar o acesso a empresas previamente invadidas, ou então simplesmente enviam SPAM e phishing para os funcionários da empresa que desejam atacar.

O ciber ataque contra a Colonial Pipeline ganhou muita atenção da imprensa e, principalmente, do governo americano, pois trouxe a tona a facilidade de um ciber ataque causar impacto econômico no país. O pessoal do FBI e da Casa Branca está olhando de perto a situação da empresa e o impacto do ciber ataque. Podemos esperar um endurecimento das autoridades e das leis no curto prazo.



Olha a treta, reportada pelo Brian Krebs: DarkSide Ransomware Gang Quits After Servers, Bitcoin Stash Seized. O grupo DarkSide declarou recentemente que encerrou suas operações de "Ransomware-as-a-Service" e que iria liberar as chaves de criptografia para as vítimas. De fato, devido a reação das autoridades americanas, vários operadores de ransomware, além do grupo DarkSide, estão evitando chamar a atenção e até mesmo derrubando suas operações.


Olha agora essa lambança: mesmo após ter reestabelecido as suas operações, no dia 18/5 a Colonial Pipeline teve que novamente tirar seus sistemas do ar como parte dos esforços de melhoria da segurança do seu ambiente.

A propósito, deixo aqui o meu desabafo com a péssima e vergonhosa versão dessa noticia divulgada pelo G1, que tem como título infeliz "O ataque de hackers a maior oleoduto dos EUA que fez governo declarar estado de emergência" e, para piorar, disse o absurdo de que "Um grupo de hackers desconectou completamente um oleoduto e roubou mais de 100 GB de informações". Só para deixar bem claro: os ciber criminosos não desligaram o sistema dos oleodutos, quem fez isso foi a própria empresa, após ser invadida pelo ransomware.


Eu já sou da opinião de que a expressão "ataque de hacker" traz um entendimento totalmente errado do que representa uma infeção por vírus ou  ranwomware - o que normalmente acontece simplesmente porque um usuário clicou em link malicioso  ou a empresa estava com sistemas vulneráveis. Mas, ao dizer que o sistema foi desconectado pelo grupo de ciber criminosos, mostra que o reporter não fez um trabalho mínimo de ler e entender o que recebeu das suas fontes. Os ciber atacantes por trás de grupos de ransonware tem como objetivo simplesmente ganhar dinheiro na base do roubo de arquivos, sem objetivo de paralisar infraestruturas críticas (ok, infelizmente isso pode acontecer como um efeito colateral do ciber ataque, como foi nesse caso da Colonial Pipeline).


PS: Tais ciber ataques, que causam um impacto significativo, acabam atraindo muita atenção da imprensa, que corre para escrever notícias sensacionalistas sobre o tema. Essa imagem, do "ciclo do pânico", vale para a vida real e também para as notícias sobre ciber segurança divulgadas na imprensa:


PS/2: A Toshiba também foi atacada pelo ransonware DarkSide, segundo notícia publicada pela imprensa em 14/05.

PS 3: Precisa explicar para o chefe o que é um ransomware? Que tal esses cartoons compartilhados pelos nossos amigos da Kaspersky? kkkkkk...


Para saber mais:
Post atualizado em 11, 12, 13, 14, 17, 19, 21, 24 e 26/05. Atualizado novamente em 14/06.
Postado por em Nenhum comentário:
Marcadores: , , , ,

abril 23, 2021

[Segurança] Aumenta ainda mais o arsenal de extorsões dos Ransomwares!

A vida não está nada fácil para as vítimas dos ransomwares. A cada dia os ciber criminosos inventam novas formas de extorsão.

Há poucos dias atrás, eu comentei das 5 extorsões utilizadas pelos operadores de Ransomware até o momento:
  • O básico: Não descriptografar os dados;
  • Expor publicamente os dados vazados, em fóruns online;
  • Realizar ataques de DDoS contra a vítima;
  • Call centers que ligam para a empresa atacada pelo ransomware.
  • Avisar o cliente que a empresa teve os dados roubados!
Agora, uma nova tática de ameaça começou a ser utilizada...


Avisar os acionistas !

A intenção, ao avisar os acionistas das empresas antes de divulgar a extorsão, é causar o caos mesmo, pois assim eles tem oportunidade de vender as ações da vítima antes que o anúncio de ataque de ransomware cause impacto na avaliação da empresa.


A mensagem diz:
"Agora  nosso time e parceiros estão criptografando várias empresas que tem ações na NASDAQ e outras bolsas de valores. Se a empresa se recusar a pagar [o resgate], nós estamos prontos para fornecer informações antes da publicação, assim será possível lucrar quando os valores das ações [da empresa] caírem."
Fogo no parquinho!

A propósito, já que estamos falando de ransomware, olha a treta: a empresa Quanta, fornecedora da Apple, anunciou que sofreu ataque do ransomware REvil, e o grupo responsável está exigindo o pagamento de um resgate de 50 milhões de dólares para evitar que arquivos confidenciais sejam vazados na dark web, incluindo "blueprints" de produtos da Apple.


PS (Adicionado em 26/05): Veja também esse rápido artigo da Kaspersky sobre Os novos truques dos ransomware.
Postado por em Nenhum comentário:
Marcadores: , , , , ,

abril 05, 2021

[Segurança] Aumenta o arsenal de extorsões dos Ransomwares

Eu já comentei aqui no blog que atualmente os ransomwares estão direcionados as empresas, aonde conseguem impor resgates com valores milionários. Por exemplo, recentemente a fabricante de computadores Acer foi infectada pelo ransomware REvil, que solicitou a modesta quantia 50 milhões de dólares pelo resgate dos dados. Este valor é um dos resgates mais caros já identificados em ataques de ransomware!

Para convencer as empresas a pagarem os resgates, já eram conhecidas as técnicas de "double extortion" e até mesmo "triple extorsion", ou seja, se as empresas não pagarem o resgate do ransomware, os ciber criminosos ameaçam:
  • Não descriptografar os dados, e assim a empresa perde acesso definitivo as suas informações (a menos que tenha um backup delas!);
  • Expor os dados publicamente, em fóruns online. Antes de criptografia, os ransomwares roubam os dados e, assim, podem ameaçar vazá-los posteriormente;
  • Incluir ataques de DDoS contra a vítima, e assim, forçar o pagamento;
  • Além disso, já foi noticiado o uso de call centers para ligar para a empresa atacada pelo ransomware.
Qual é a novidade agora? Avisar o cliente que a empresa teve os dados roubados!

Em uma reportagem recente, o Althieres Rohr destacou um caso noticiado no portal Bleeping Computer: uma empresa americana, invadida por ransomware, viu que os autores do ransomware estavam usando as informações roubadas para enviar e-mails alarmistas aos clientes e funcionários. A mensagem do ciber criminoso alerta sobre um iminente vazamento de dados da empresa e pede que o destinatário pressione a empresa para "proteger sua privacidade".

Imagina a treta que isso pode dar....
Postado por em Nenhum comentário:
Marcadores: , , ,

janeiro 31, 2018

[Segurança] A História dos Vírus de Computador

O Felipe Prado acabou de publicar um artigo bem legal, aonde ele descreve a história e a evolução dos vírus de computador, desde as primeiras discussões teóricas e experimentos nas décadas de 60 e 70, passando pelos primeiros vírus na década de 80 e chegando até perto dos dias atuais, quando depois do início dos anos 2000 o foco principal dos malwares passou para o ganho financeiro, através do roubo de dados, criação de botnets e permitir a extorsão (ransomwares). Hoje, somos perseguidos pelos vírus para celular e os ransomwares, e somos assombrados pelos malwares para disppositivos IoT e contra caixas eletrônicos (ATMs).

A  propósito, a Wikipedia também possui uma excelente "timeline" dos vírus de computador, que lista os principais códigos maliciosos de forma detalhada e que vale a visita.

Os códigos maliciosos foram evoluindo de diversas formas no decorrer do tempo. De uma forma rápida e simplificada, temos os fatores abaixo:
  • Infecção: Os vírus surgiram infectando o boot dos sistemas operacionais ou atuando como vermes (ou seja, se transmitiam automaticamente sem necessidade de um "arquivo hospedeiro"). Em seguida surgiram os vírus que se propagavam através de arquivos executáveis, depois vieram os vírus de macro (que utilizavam recursos de script de automação em aplicações, principalmente o Microsoft Office);
  • Forma de contaminação: até mesmo pela limitação tecnológica da época, os primeiros vírus infectavam quando você bootava um computador com um sistema operacional infectado. Depois a contaminação passou a ser automaticamente pela rede, nos casos dos worms, ou quando a vítima manualmente executava algum programa que estava em um arquivo executável (normalmente o vírus inclui seu código em outro programa, aumentando o tamanho do arquivo original, mas sem desabilitar o funcionamento do programa original) ou um arquivo com macros maliciosas (como no caso dos vírus de macro do Office). Essas são as formas de contaminaçào mais comuns até hoje. Depois surgiram também alguns vírus que exploravam vulneravilidades de aplicativos ou sistema operacional para se executarem automaticamente, mas felizmente esses vírus são mais raros;
  • Vetor de transmissão: No início, antes da proliferação das redes de computadores, os disquetes eram o único vetor de transmissão dos vírus. Você colocava um disquete em um computador infectado e ele sobrescrevia a área de boot do disquete para incluir o código do virus. Seria necessário iniciar um computador com um disquete infectado para contaminá-lo. Depois vieram os vírus que se espalhavam através da rede local, como os worms, e os que se copiavam (ou melhor, copiavam arquivos em que eles estavam embutidos) através de pen-drives e discos compartilhados na rede, e do envio de anexos em e-mails. Há também os vírus que se espalham através do envio de links contaminados em mensagens em redes sociais e via SMS;
  • Motivação: no início era a curiosidade e pesquisa, ou até mesmo a zueira (como o ping-pong e o cascade, que eram inofensivos, apenas importunavam os usuários). Logo passou para a destruição de dados, depois para o roubo de dados. Vieram os spywares e adwares para roubo de dados e divulgação de propaganda não solicitada, e também os roguewares. Depois surgiu a onda de criação de botnets para envio de SPAM ou realização de outros ciber ataques e o ciber crime entrou de cabeça no uso de malwares para ganho financeiro (roubos de credenciais bancárias e fraudes bancárias, ransomwares, etc);
  • Plataforma: Inicialmente os vírus eram restritos aos computadores pessoais, raramente atacavam servidores. Com a popularização dos dispositivos móveis, vieram os vírus para smartphone, para terminais de pontos de venda (PoS) e agora estamos na onda dos códigos maliciosos para dispositivos IoT e terminais bancários;
  • No ciber crime, inicialmente o foco era em vírus que roubavam dados bancários (aqui no Brasil, a propósito, isso já é uma febre desde os primórdios da Internet) tentando identificar qualdo a vítima acessava o site de algum banco ou passava por páginas de login e de pagamento. Conforme os bancos aumentavam a segurança os malwares se sofisticavam (a captura de senhas, por exemplo, inicialmente era feita por keyloggers, mas chegou a incluir captura de tela para identificar quando o usuário digitava a sua senha nos teclados virtuais). Depois vieram os vírus que permitiam o acesso remoto para que o ciber criminoso controlasse o computador da vítima e acessasse uma sessão aberta no Internet Banking, ou que fizesse ataques de "man in the browser" para injetar transações fraudulentas na sessão do usuário. Os frameworks de malware genéricos foram revolucionados pelo o Zeus, que foi praticamente ignorado no Brasil, mas impulsionou o ciber crime globalmente ao oferecer uma plataforma flexível para criação de malwares bancários, com vários recursos técnicos para roubo de dados, acesso aos computadores das vítimas, etc. Aqui no Brasil, os malwares bancários escritos em Visual Basic reinaram por muitos anos. Depois vieram os malwares para celulares, os malwares para roubar dados de cartões em terminais de ponto de venda (PoS) e, nos últimos anos, tem surgido casos de malwares para caixas eletrônicos. O ciber crime também passou a focar em ransomwares (que já acontece há cerca de 5 anos em todo o mundo, mas virou febre no Brasil apenas recentemente) e, agora, está começando a buscar o roubo de criptomoedas.

Seguem mais alguns comentários pessoais sobre os principais "causos" e minhas experiências com esses códigos maliciosos:
  • Brain (1986): Em uma palestra do Mikko Hypponen no TED, ele contou que foi até o endereço que constava no código-fonte do vírus!
  • Ping-pong: o primeiro caso de vírus que eu me lembro, muito popular na época. Como não existiam antivírus, eu e meus amigos do colégio técnico editávamos o setor de boot dos disquetes para identificar que lá havia o vírus e, se houvesse, simplesmente apagávamos sobrescrevendo zeros. foi seguido pelo Cascade, mas ele não ocorria com a mesma frequência;


  • Sexta-feira 13 e Michelângelo: Os melhores exemplos da geraçãod e vírus do tipo time-bomb. Eles disparavam apenas em datas específicas e, por isso, as revistas de informática dos anos 90 publicavam os "calendários de vírus", com as datas em que alguns vírus iriam disparar;
  • I Love You: Virus bem simples, que se espalhou muito rápido pois usava uma engenharia social bem direta: Vinha em um arquivo que parecia ser um bloco de texto inofensivo (pois usava duas extensões: .txt.vbs) com a promessa de ser uma cartinha de amor: o assunto era "I love you" e o e-mail vinha com uma única frase, dizendo que uma carta de amor ("love letter") estava em anexo. Foi um marco na época, pela velocidade que se espalhou pela Internet, inaugurando a fase das mega-infecções globais (uma experiência que revivemos recentemente, com o WannaCry);
  • No início dos anos 2000 tivemos a febre dos ataques globais de worms, que se espalhavam rapidamente e tiravam empresas do ar. Foi a época dos vermes CodeRed (2001), Nimda (2001), SQL Slammer (2003), Blaster (2003) e Sasser (2004);
  • O verme SQL Slammer, que surgiu em 01/02/2003, demorou aproximadamente 10 minutos para se espalhar mundialmente e no pico da sua infestação, aproximadamente 3 minutos após surgir, escaneava 55 milhões de endereços IP por segundo.

Para saber mais:
Postado por em Nenhum comentário:
Marcadores: , , , , , , , , ,

maio 29, 2017

[Segurança] Atualizar sistemas nem sempre é possível

A recente infestação massiva do ransomware WannaCry (ou "ransomworm", se preferir) trouxe a tona, novamente, a discussão de que as empresas devem manter seus sistemas sempre atualizados. De fato, para se propagar e infectar máquinas em todo o mundo, o WannaCry explorava uma vulnerabilidade corrigida pela Microsoft 2 meses antes. Assim, quem estava com uma versão atual do Windows, com update automático ativado, e funcionando nada sofreu. Os problemas desse tipo normalmente ocorrem com mais frequência em computadores com Sistema Operacional antigo ou pirata, que não tem suporte nem atualização.

A atualização dos equipamentos (sistemas operacionais e aplicações) é a primeira exigência que vem à mente quando discutimos as recomendações básicas de segurança. Mas, como lembrou um artigo no portal CSO Online, "Patching não é uma bala de prata" pois nem sempre uma empresa pode atualizar todos os seus sistemas nem consegue fazer isso rapidamente.

Em vez de criticar cegamente as empresas que mantém sistemas desatualizados, é importante primeiro entender o porquê várias empresas tem restrição para aplicação de patches.

As principais razões para as empresas não atualizarem seus sistemas costumam ser as seguintes;

  • Uso de "appliances": Diversas empresas fornecem equipamentos que são um "bundle" (uma "caixa preta") pré-configurada de hardware e software, e as empresas que os utilizam acabam tendo controle limitado sobre suas configurações e atualizações. A propósito, estes "appliances" são muito comuns no mercado de equipamentos de redes e de segurança. Muitos destes appliances rodam versões customizadas do Linux, e os fabricantes acabam sendo displicentes com as atualizações, de forma que nem sempre as atualizações para os appliances acompanham as atualizações no sistema operacional;
  • Uso de sistemas especializados: isso acontece com muita frequêcia em sistemas de automação, sistemas industriais ou sistemas de instrumentação, onde os equipamentos funcionam por muitos anos, e muitas vezes sem nenhuma parada ou manutenção. Tais sistemas tem poucas atualizações, e assim os computadores permanecem desatualizados por simples falta de opção. Nesses tipos de equipamento também não permitem atualizar o Sistema Operacional nem tem possibilidade de instalar algum software adicional de proteção (como, por exemplo, instalar um anti-vírus). Qualquer tipo de atualização ou manutenção não aprovada pelo fabricante do equipamento pode fazer com que o equipamento pare de funcionar, causando grandes prejuízos operacionais e financeiros;
  • Uso de sistemas legados e antigos: Um problema comum em grandes empresas é que elas possuem aplicações que rodam há muitos anos, e que há muito tempo deixaram de ser fabricadas e mantidas pelas empresas que os criaram. Ou essas empresas nem existem mais. Como uma atualização no sistema operacional pode causar incompatibilidade com o software e parar a aplicação, as empresas viram reféns, e a única solução seria coprar um novo sistema equivalente e aposentar o antigo. Mas aí nesta hora também surgem necessidades de compatibilidade do novo sistema com os dados armazenados no sistema antigo. ou seja, vira um problema tão grande que as empresas preferem manter o sistema velho funcionaneo do jeito que está, do que tentar colocar algo novo e mais seguro;
  • Necessidade de compatibilidade com a aplicação: a grande maioria dos sistemas que rodam em servidores (desde bancos de dados a aplicações específicas) possuem uma lista de sistemas operacionais para os quais foram homologados pelo fabricante do software. Consequentemente, a área de TI só pode atualizar o sistema operacional ou instalar um patch no servidor se essa atualização for previamente homologada pelo fornecedor do sistema ou software que roda naquele determinado servidor. Infelizmente, essas homologações do fabricante de software podem demorar meses ou acontecer raramente. eu acredito que este é provavelmente um dos grandes impeditivo para qualquer atualização em servidores;
  • Empresas com grande quantidade de servidores e equipamentos: Quando a empresa tem dezenas, centenas ou milhares de equipamentos para atualizar, o processo de atualização pode durar dias ou até mesmo meses. Isso porque quanquer atualização tem que ser monitorada, testada e, muitas vezes, realizada em horários específicos, para não impactar na operação do dia-a-dia. Engana-se quem pensa que uam atualização em servidores pode ser aplicada do dia para a noite. Há necessidad ede planejamento, coordenação e aprovação de várias áreas. pense também que o processo de atualização pode demorar alguns minutos ou horas, e multiplique isso pela quantidade de servidores da sua rede. Voilá, de repente uma instalação de um patch em 100 servidores pode demorar algumas semanas;
  • "Freezing" do ambiente de TI: É comum que empresas "congelem" o seu ambiente de tecnologia em determinados momentos, normalmente associados a épocas críticas ao negócio (como, por exemplo, datasde grande processamento de pedidos ou nas festas de final de ano, quando vários funcionários entram em férias). Durante esses períodos, não é permitida qualquer modificação no ambiente: nem a inclusão de novos serviçod ou equipamentos, nem é permitida a modificação ou atualização dos servidores existentes. Se esse períuodo coincidor com o lançamento de um novo patch, provavelmente sua instalação será postergada para após o término do período de "freezing".
Não é a tôa que o ataque do WannaCry conseguiu atingir justamente empresas de grande porte, com milhares de computadores, locais ou instalações com baixa visão de segurança (por exemplo, órgãos públicos) ou lugares que costumam ter equipamentos desatualizados (como pode ter sido o caso dos hospitais no Reino Unido).

Há pouco tempo atrás o Fernando Mercês publicou um vídeo bem interessante sobre este assunto:


Quando não há possibilidade de manter seus equipamentos atualizados, a alternativa é manter esses equipamentos em redes específicas, separadas da rede corporativa principal, e isoladas da Internet, usando, por exemplo, equipamentos de firewall para criar esta rede segregada.
Postado por em Nenhum comentário:
Marcadores: , , , ,

maio 12, 2017

[Segurança] Ataque massivo do ransomware WannaCry em todo o mundo!

Nesta sexta-feira, 12/05, "sexta-feira dia da maldade", o dia amanheceu com várias notícias de que empresas em todo o mundo estão sofrendo ataques sérios de Ransomware., batizado de "WannaCry" ("Quero Chorar"), WannaCrypt ou Wcry. A notícia é real e merece atenção urgente de todos os profissionais de segurança.


Inicialmente as principais notícias falavam de empresas espanholas terem sido atacadas (veja o alerta do CERT na Espanha), mas há também notícias similares vindas da Europa e Ásia, incluindo Inglaterra, Italia, Portugal, Alemanha, Russia e China (que está sendo sendo atacada desde 11/5). Grandes empresas e órgãos de governo no Brasil também foram atacadas, e a lista só aumenta.


Ainda no primeiro dia (12/05) já se falava que a infecção pelo WannaCry tinha atingido pelo menos 74 países e continuava a se espalhar rapidamente. A origem do ataque ainda não foi confirmada, mas pelos relatos que eu li, me parece que o ataque do WannaCry começou na Rússia e China, depois seguiu para a Europa até chegar no Brasil e América Latina. Esse é um trajeto muito óbvio, na medida em que ele está seguindo o Sol: o ataque pareceu se expalhar na medida que os países amanheciam. Os EUA, por sorte, foram pouco afetados pois quando amanheceu por lá o resto do mundo já estava combatendo o WannaCry e já haviam descoberto o "kill switch" (mais detalhes abaixo).


Surgiram notícias de que a origem do WannaCry poderia estar ligada a um grupo hacker da Koreia do Norte. Eu, particularmente, acho isso um pouco improvável, pois se assim fosse, eles teriam evitado que o Ransomware atacasse a Rússia e, principalmente, a China. Ou será que ele foi criado na China?


Já é muito provável que praticamente todos os países do mundo já tenham sofrido com o ransomware WannaCry, e este incidente está sendo chamado de "a maior infecção de ransomware da história". O site MalwareTech disponibilizou dois mapas mostrando a evolução do ataque ao redor do mundo: um com estatísticas e mapa com todos os ataques e outro mapa com os ataques acontecendo em tempo real.


Não é a toa que teve extensa cobertura da mídia, especializada ou não.


Há notícias de centenas de empresas que foram infectadas ou que, para evitar a infecção, optaram por preventivamente destivar sua rede e desligar seus computadores.


Segundo várias fontes confiáveis, o ataque é causado pelo ransomware WannaCry (ou Wcry, WannaCryptor), que está explorando a vulnerabilidade MS17-010 (corrigida em Março deste ano, ela permite remote code execution em computadores com Microsoft Windows através do Server Message Block 1.0 - SMBv1) utilizando o exploit EternalBlue. Segundo a Forbes, "uma ferramenta vazada de NSA, um exploit do Microsoft Windows chamado EternalBlue, está sendo usado para espalhar rapidamente a variante de ransomware chamado WannaCry em todo o mundo".


A pesquisadora Amanda Rousseau, da Endgame, publicou um excelente artigo e infográfico descrevendo o processo de infecção do Ransomware WanaCry. Resumidamente, parafraseando o blog da Amanda, ele começa a infecção com um teste inicial ("beacon"), a função "kill switch" que ele verifica se pode continuar a infecção. Em seguida, ele tenta explorar a vulnerabilidade MS17-010 com o exploit EternalBlue (usando a implementação disponível no Metasploit) e se propagar para outros hosts. Em seguida que ele vai causar dano ao sistema, primeiro instalando o que necessita para causar os danos e ser pago para a recuperação, e após feito isso, o WannaCry começa a criptografar os arquivos na máquina.


Após infectar sua vítima, e antes mesmo de começar a criptografar os arquivos, o ransomware utiliza o protocolo SMB para infectar outras máquinas na mesma rede local e na Internet (ele gera endereços IP randômicos para tentar se espalhar pela Internet).


Uma vez infectada a máquina, ele encripta os arquivos e exige um resgate de 300 dólares, a serem pagos em bitcoins em, no máximo, 7 dias (o valor do "sequestro" aumenta para US$ 600 após as primeiras 72 horas). O WannaCrypt então mostra uma tela de aviso ao usuário de que seus dados estão "sequestrados" e troca o fundo de tela do desktop, além de disponiilizar um arquivo com instruções.


É interessante notar também que os casos anteriores que ouvi sobre Ransomware, os valores dos resgates estavam sempre em torno de 100 dólares. Ou seja, o preço de resgate exigido pelo WannaCry é mais caro do que o normal.

O grande segredo da rápida proliferação do WannaCry em todo o mundo e do desespero criado por ele está justamente na sua capacidade de se expalhar e de infectar suas vítimas muito, muito rapidamente. Ao contrário da maioria dos vírus que estamos acostumados hoje em dia, que se proliferam através de arquivos infectados compartilhados por mensagens de phishing (e, portanto, exigem que o usuário receba o e-mail, abra e baixe e execute o arquivo com o malware), o WannaCry se espalha automaticamente pela rede e utiliza um exploit para infectar automaticamente qualquer computador vulnerável, sem necessidade de nenhuma intervenção do usuário. A máquina é infectada sem que a vítima precise abrir e executar nada. Basta estar com o computador ligado (e vulnerável).

O interessante é que já fazem vários anos que não vemos uma grande infestação global por esse tipo de código malicioso, que chamamos de "worm" ("verme"). De fato, podemos dizer que temos algumas gerações de profissionais no mercado de segurança que não passaram pelo Code Red (2001), Ninda (2001), SQL Slammer (2003), Blaster (2003) e nem mesmo pelo Conficker, em 2008.

Veja algumas características desse ransomware que eu acho que são muito interessantes:
  • Como disse, ele é um ransomware que se comporta como um "worm", infectando novas vítimas automaticamente através da rede local e da Internet, sem necessidade de intervenção do usuário;
  • Ele usa rede TOR para se comunicar com os seus servidores de controle, o que dificulta muito a detecção e bloqueio dessa comunicação;
  • Ele continua encriptando arquivos enquanto está ativo. Se incluir algum novo arquivo na máquina infectada, ele será criptografado também;
  • Se alguém tenta extrair o executável do ransomware para análise, ele se auto-destrói;
  • O ransomware suporta 28 linguages diferentes, o que mostra o objetivo de seus autores de fazer uma infecção global!
  • Após infectar uma vítima, o WannaCry primeiro tenta invadir outras máquinas, e só depois ele começa a encripitar os arquivos. Isso é interessente pois, se ele primeiro fizesse o sequestro de dados, seria percebido pelo usuário antes que conseguisse se espalhar.
Dando uma olhada nas carteiras bitcoin (11...Ln, 1Q...iY, 13...94, 12...Mw) que eles aparentemente estão usando, até o momento poucas pessoas já pagaram o ransomware. As 15h40 do dia 12/05 constavam apenas 30 pagamentos. Isso é normal, pois as vítimas geralmente esperam até o último momento para pagar um ransomware, na expectativa de que vão descobrir como removê-lo - ou por conta da dificuldade de um usuário comum em comprar bitcoins.
  • Atualização: as 2am de 14/05 essas carteiras já tinham recebido 123 pagamentos e acumulado cerca de 20 bitcoins (mais de 30 mil dólares). Esse valor subiu para cerca de 25 bitcoins as 3:30am de 15/05;
  • Até 24/06, foram feitos 335 pagamentos, acumulando cerca de 51,9 bitcoins (mais de 142 mil dólares).


Quer saber quanto tem sido arrecadado com os resgates pagos pelas vítimas do WannaCry? Além do site "howmuchwannacrypaidthehacker.com", também foi criado um bot que a cada 2 horas publica no Twitter @actual_ransom o total de bitcoins (e dólares) pagos.


A partir da análise detalhada da Kaspersky e do SANS, junto com algumas informações da Microsoft, podemos destacar alguns indicadores do ataque (IOC):
  • Hash (SHA256) dos códigos executáveis (Esta é a lista original, pois já apareceram centenas de variações, com hashs distintos):
    • 09a46b3e1be080745a6d8d88d6b5bd351b1c7586ae0dc94d0c238ee36421cafa
    • 24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c
    • 2584e1521065e45ec3c17767c065429038fc6291c091097ea8b22c8a502c41dd
    • 2ca2d550e603d74dedda03156023135b38da3630cb014e3d00b1263358c5f00d
    • 4a468603fdcb7a2eb5770705898cf9ef37aade532a7964642ecd705a74794b79
  • Hash (MD5) dos códigos executáveis, segundo a Kaspersky (Esta é a lista original, pois já apareceram centenas de variações, com hashs distintos):
    • 4fef5e34143e646dbf9907c4374276f5
    • 5bef35496fcbdbe841c82f4d1ab8b7c2
    • 775a0631fb8229b2aa3d7621427085ad
    • 7bf2b57f2a205768755c07f238fb32cc
    • 7f7ccaa16fb15eb1c7399d422f8363e8
    • 8495400f199ac77853c53b5a3f278f3e
    • 84c82835a5d21bbcf75a61706d8ab549
    • 86721e64ffbd69aa6944b9672bcabb6d
    • 8dd63adb68ef053e044a5a2f46e0d2cd
    • b0ad5902366f860f85b892867e5b1e87
    • d6114ba5f10ad67a4131ab72531f02da
    • db349b97c37d22f5ea1d1841e3c89eb4
    • e372d07207b4da75b3434584cd9f3450
    • f529f4556a5126bba499c26d67892240
  • Após infectar a máquina, o ransomware tenta acessar o seguinte website:
    • www[.]iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com
    • Foi encontrada uma variante que acessa outro domínio como "kill switch": ifferfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com
  • Para tentar se espalhar, o WannaCry escaneia IPs da rede local e IPs válidos na Internet buscando pela porta TCP/445
  • Servidores de comando e controle escondidos na rede TOR:
    • gx7ekbenv2riucmf.onion
    • 57g7spgrzlojinas.onion
    • Xxlvbrloxvriy2c5.onion
    • 76jdd2ir2embyv47.onion
    • cwwnhwhlz52maqm7.onion
    • sqjolphimrr7jqw6.onion
  • Extensão de arquivo associadas ao ransonware: .WNCRY
    • Por exemplo, o arquivo "file.docx" é encriptado e renomeado para "file.docx.WNCRY"
  • Ao se instalar, ele cria o arquivo %SystemRoot%\tasksche.exe
  • Ao se instalar, ele cria o serviço mssecsvc2.0
  • Arquivo de aviso colocado no computador da vítima: @Please_Read_Me@.txt
  • Ele cria ou altera as seguintes chaves de registro no Windows:
    • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\\ = “\tasksche.exe”
    • HKLM\SOFTWARE\WanaCrypt0r\\wd = “”
    • HKCU\Control Panel\Desktop\Wallpaper: “\@WanaDecryptor@.bmp”
  • Ele cria diversos arquivos no computador da vítima, incluindo os seguintes:
    • r.wnry
    • s.wnry
    • t.wnry
    • taskdl.exe
    • taskse.exe
    • 00000000.eky
    • 00000000.res
    • 00000000.pky
    • @WanaDecryptor@.exe
    • m.vbs
    • @WanaDecryptor@.exe.lnk
Diversos pesquisadores de malware encontraram a senha "WNcry@2o17" dentro do código do WannaCrypt, e rapidamente algumas pessoas começaram a especular que esta seria a senha para desencriptar os arquivos. Isso não é verdade! Esta senha é utilzada pelo ransomware para baixar seu payload: ele baixa um arquivo Zip protegido com ela.


Na verdade, o WannaCry utiliza o algoritmo de criptografia AES para criptografar os arquivos da vítima e para guardar essa senha de criptografia dos arquivos ele utiliza criptografia de novo, usando o algoritmo RSA com chave de 2048 bits. Além do mais, é muito pouco provável que essa senha servisse para desencriptar os arquivos pela própria natureza dos rasomwares modernos: eles criptografam os arquivos utilizando algoritmos e chaves de criptografia forte.

Segundo o post no MalwareReverse, foram encontradas chaves de criptografia no arquivo 00000000.pky, aonde fica a chave pública utilizada pelo ransomware e no 00000000.eky, que também é uma chave utilizada para encriptar os arquivos.

Algumas recomendações:
  • Antes de mais nada, mantenham seus computadores Windows atualizados, para evitar serem infectados pelo Ransonware. O patch e dicas de como remediar a vulnerabilidade estão dsponíveis desde Março deste ano;
  • Use servidores Linux e desktops / notebooks da Apple (muahahahahaha, desculpem, o espírito troll é mais forte do que eu);
  • Bloquear o tráfego SMB na sua rede e desabilitar o protocolo SMB em seus servidores e desktops, que utiliza as portas 137 e 138 UDP e as portas TCP 139 e 445. Este protocolo, relacionado a vulnerabilidade do MS17-010, jamais deveria trafegar pela Internet. Ele deveria ser bloqueado pelos Firewalls de borda e desativado em servidores que não precisam dele sempre que possível;
  • Não adianta tentar bloquear uma lista fixa de IPs associadas aos servidores de controle (C&C), pois o ransonware fala com os seus servidores através da rede TOR. Por isso é uma boa idéia bloquear ou monitorar o acesso das máquinas internas de sua rede para IPs externos associados a rede TOR. É possível baixar da Internet listas com esses IPs (são muitos, centenas ou milhares) A propósito, Kaspersky indicou, em seu blog, quais são os endereços desses servidores na rede TOR;
  • A Trend Micro, Kaspersky, Symantec e a McAffee já tem vacina para esse ransomware;
  • Um dos domínios que o malware usa para se comunidar já foi desabilitado e está resolvendo para um endereço IP inofensivo: www[.]iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com. É interessante que esse domínio era um "kill switch" que os pesquisadores descobriram acidentalmente, por sorte nossa, ao registrar o domínio: após se instalar, o WannaCry tenta acessar esse domínio e, se consegue, ele interrompe a infecção;
  • Há várias histórias de empresas que estão desligando suas redes internas e seus computadores preventivamente, para evitar serem infectadas. Para ser sincero, não acho que elas estão erradas, pois isso evitaria a contaminação. Mas o mais importante mesmo é atualizar seus sistemas Windows.
    • A minha sugestão, nesse caso, seria fazer uma parada emergencial programada: primeiro desliga as redes dos usuários (rede física e Wifi) e atualiza os servidores. Depois vai religando as redes dos usuários parcialmente e força a atualização das máquinas conforme elas voltam ao ar (fácil de fazer se você tem gestão centralizada delas).
Desde a quinta-feira, dia 18/5, surgiram notícias de que pesquisadores de segurança começaram a descobrir falhas no WannaCry que permitissem recuperar os arquivos encriptados, sem necessidade de pagar os ciber criminosos. Uma falha nas bibliotecas de criptografia da Microsofr e no seu uso permitiu recuperar a chave de criptografia RSA a partir de dados armazenados em memória, em algumas versões do Windows.


Assim, surgiram rapidamente algumas ferramentas:
  • Wannakey - primeira ferramenta que surgiu, diz funcionar em Windows XP;
  • WanaKiwi - consegue recuperar os primos em Windows XP, 2003 (x86), Vista, 2008, 2008 R2 e Windows 7.
Estas ferramentas procuram pelos números primos utilizados para gerar a chave privada RSA no processo wcry.exe. Este programa, que faz parte do WannaCry, usa as funções CryptDestroyKey e CryptReleaseContext que, no Windows XP, apaga as chaves de criptografia da memória, mas mantém os números primos na memória antes de liberar a memória associada ao processo


Além disso, em Junho pesquisadores da Kaspersky anunciaram que descobriram algumas falhas no código do WannaCry que permite recuperar os arquivos originais, antes de serem encriptados:
  • Arquivos em folders "importantes" (como as pastas "Desktop" e "Documents") não podem ser recuperados, pois o WannaCry sobrescreve eles antes de apagá-los;
  • Arquivos em outras pastas nas pastas nos discos do sistema operacional são movidos para a pasta escondida "%TEMP%\%d.WNCRYT" (aonde %d representa um número) e depois apagadas, mas de forma que qualquer ferramenta de recuperação de arquivos pode conseguir recuperá-los;
  • Arquivos em discos que não são do sistema são movidos para a pasta “$RECYCLE” e configurados como "hidden+system". Devido a um bug, as vezes o arquivo pode não ser movido e é mantido na pasta original, e os arquivos originais podem ser recuperados por uma ferramenta de recuperação de arquivos;
  • Arquivos com restrição de acesso "ready-only" não são removidos, apenas escondidos no sistema operacional usando a flag de "hidden". Uma busca simples pode encontrá-los.

Especialistas em segurança são unânimes em dizer que as vítimas não devem parar o resgate exigido pelos donos dos Ransomwares. Isso principalmente porque não há nenhuma garantia que o ciber criminoso irá cumprir a sua promessa. No caso do WannaCry, há um outro problema: ele não tem um mecanismo para verificar automaticamente que a vítima depositou o dinheiro na carteira bitcoin, então os criminosos tem que validar manualmente os pagamentos e também realizar manualmente o comando para liberar os arquivos.

É importante ter em mente que, a partir de agora, a tendência natural é que o WannaCry vai evoluir e novos Ransomwares vão surgir baseados nele. De fato, além de já terem aparecido centenas de variantes dele (versões do executável com assinatura MD5 diferente), já se fala do WannaCry 2.0, que não teria um "kill switch". Além disso, dois outros códigos maliciosos já surgiram com funcionamento similar ao Wannacry: o ransomware UIWIX e o malware Monero, que invade computadores para minerar moedas digitais.

As forças policiais estão trabalhando em cima do caso. A polícia francesa anunciou que, poucos dias depois de começar o ataque, já tinha identificado e apreendido 6 servidores de saída da Rede TOR localizados na França e que foram utilizados para comunicação do Wannacry.



Para saber mais:






Nota: Vou continuar atualizando esse post conforme identifico mais informações relevantes. Post atualizado pela última vez no dia 31/10/17.

Nota2: Também escrevi um FAQ sobre o WannaCry, para resumir os pontos principais, já que este artigo está gigante.
Postado por em 12 comentários:
Marcadores: , , , , , ,
Assinar: Postagens (Atom)
Creative Commons License
Disclaimer: The views expressed on this blog are my own and do not necessarily reflect the views of my employee.