agosto 20, 2013

[Cyber Cultura] Vídeo-game é culpado no caso do garoto que matou a família. WTF!?!?!?

É sempre assim. Basta algum jovem estar envolvido em um caso de assassinato e a imprensa adora botar a culpa nos vídeo games.

Afinal...
O que mais falta acontecer?
  • Milhares de pessoas largam as cidades e viram fazendeiros depois de jogar Farm Ville !?
  • Maioria dos adolecentes de hoje vão largar os estudos para montar bandas de rock depois de jogarem Rock Band?
A psicóloga Ana Luiza Mano (que já deu palestra na BSidesSP) deu duas entrevistas excelentes sobre o assunto recentemente, em que destacou que os jogos são incapazes de criar qualquer tipo de comportamento violento em uma pessoa. Na verdade, cada pessoa tem seu jeito de reagir a diversas situações de violência no mundo real, e não é o jogo que vai influenciar isso.






Mesmo que nos preocupemos com a influência de jogos no processo de formação da personalidade de uma criança, os pais sempre tem a maior parcela de responsabilidade pela educação dos filhos. Não importa se o seu filho está brincando de polícia e bandido na rua ou no video-game, ele sempre tem que ser acompanhado pelos pais e qualquer tipo de brincadeira violenta (no mundo real ou virtual) deve ser seguida por muita conversa e apoio dos pais, explicando o que é certo e o que é errado. E, ao contrário do que acontece muito hoje em dia, video-game não serve só para distrair o filho e ganhar horas de sossego. É uma diversão que, como qualquer outra, deve ser acompanhada, monitorada e balanceada dentro de uma rotina saudável.

Há quantos anos (ou séculos) as crianças não brincam de polícia, ou de guerra? E isso não gerou uma sociedade violenta...

O interessante é que a imprensa já está correndo em culpar os jogos pelo assassinato recente, sem considerar o fato de que o caso ainda merece investigações pois ainda tem muitos detalhes estranhos e mal  explicados. Sem falar que os pais do adolescente eram PMs e, além de terem ensinado o jovem a atirar, com certeza eles teriam muito mais possibilidade de influenciar negativamente o jovem (por conta da rotina estressante dos PMs) do que qualquer outro jogo. Por mais que os games tivessem muita violência, sangue e mortes, o dia-a-dia de um PM da Rota tem coisa bem pior...

Mas, enfim, culpar os videogames é fácil e gera IBOPE, né?

agosto 16, 2013

[Cyber Cultura] Existe limites para o Hacktivismo?

Pense bem...
Como saber se um ato de hacktivismo é legal ou ilegal? É válido ou não?

Este foi um dos temas mais polêmicos que discutimos recentemente em um debate durante o V Congresso de Crimes Eletrônicos, na Fecomércio. E acredito que não conseguimos chegar a uma conclusão fácil.



Mas é muito difícil estabelecer um limite claro para qualquer forma de protesto, principalmente por dois motivos: pelo caráter transgressivo de qualquer protesto e pela necessidade de fazer com que uma mensagem de protesto seja ouvida.

O Hacktivismo, assim como qualquer outra forma de protesto no mundo real ou no mundo virtual, é transgressor por sua própria natureza. É alguém, ou um grupo, reclamando contra uma situação, um status-quo. Ou contra um outro grupo dominante, que muitas vezes pode ser o próprio governo. Logo, naturalmente haverá uma parcela da população contrária a manifestação. E outra que será a favor. Pronto: aqui está criado o impasse: algumas pessoas irão achar que o protesto é válido, enquanto outras serão contrárias. E, se um grupo chegou ao ponto extremo de recorrer aos protestos para ser ouvido, é sinal que os métodos mais formais de reclamação e busca por soluções não funcionaram.

Qualquer forma de protesto, incluindo o Hacktivismo, existe com um único propósito: chamar a atenção para um determinado assunto e fazer com que o grupo seja ouvido por todos. Por isso mesmo, os protestos buscam chamar a atenção d apopulação e da mídia: é muito mais eficiente fazer uma passeata na Av. Paulista do que em uma rua sem saída, num bairro distante de São Paulo. Ou fazer defacement em um site de governo do que no site de uma padaria. Os manifestantes querem divulgar seu protesto, sua ideologia, suas exigências.

Estes fatores fazem com que qualquer protesto, no mundo real ou virtual, esteja sobre uma grande linha cinza, que separa o legal do ilegal, o aceitável do transgressivo. Podemos colocar parâmetros (ex: não pode causar prejuízo, não pode causar danos, não pode isso, não pode aquilo), mas estes limites facilmente serão desrespeitados durante a manifestação.

agosto 14, 2013

[Cyber Cultura] Impressoras 3D

As impressoras 3D estão na moda!

Recentemente, até o Ethevaldo Siqueira, comentarista de tecnologia da CBN, comentou sobre as impressoras 3D.


Comentário um pouco impreciso e exagerado, diga-se de passagem. Afinal, não acredito que "milhares de pessoas vão produzir uma ampla variedade de objetos", e muito menos, imprimir equipamentos eletrônicos. Nem mesmo revolucionar a economia, medicina, etc.

Afinal, as técnicas de impressão em 3D já existem há muitos anos, e sempre foram utilizados pela indústria no processo de prototipagem: máquinas grandes e caras são corriqueiramente utilizadas por empresas para criar protótipos de novos produtos, como parte natural do processo de criação.

A grande novidade, na verdade, é o acelerado processo de democratização das impressoras 3D nos últimos anos, com o surgimento de vários modelos de pequeno porte e que usam tecnologia aberta, que podem ser comprados e utilizados por usuários domésticos e pequenas empresas. Hoje, é possível comprar modelos de impressora 3D aqui no Brasil por R$ 3.900 ou mesmo em lojas virtuais.


E, entre outros, duas famílias de modelos foram responsáveis pela popularização das impressoras domésticas e Open Source em todo o mundo: a RepRap e a Makerbot, ambas de código aberto: você pode comprar a impressora pronta ou utilizar o projeto para construir a sua própria impressora. Estas impressoras utilizam um filamento de plástico (ABS ou PLA), que é derretido e forma um pequeno fio, que é cuidadosamente depositado em finas camadas para formar um objeto em 3D. O ABS é o mesmo plástico utilizado nas peças de Lego e para-choques de carros, além de ser um material resistente a choques e a torção, com uma alta temperatura de fusão (220ºC). O PLA (Polylactic acid) é um poliéster biodegradável que tem ponto de fusão mais baixo que o ABS (150ºC-160ºC). Os donos de uma impressora 3D podem criar objetos usando um software de modelagem em 3D ou abaixar algum dos milhares de projetos disponíveis.


Estas impressoras 3D de uso doméstico tem várias aplicações para escritórios de marketing, design ou de arquitetura, ou mesmo para uso doméstico ou educacional. Por exemplo:

  • criação de protótipos para teste de novos produtos ou equipamentos
  • criação de maquetes
  • confecção de peças para equipamentos ou projetos maiores
  • criar objetos de uso doméstico, objetos ornamentais ou mesmo pequenos brinquedos
  • na educação: há forma mais divertida de aprender geometria e trigonometria? ;)
  • isso sem falar que há projetos de impressora 3D que utilzam peças fabricadas por outras impressoras 3D !!!

Vale a pena lembrar que a maioria das impressoras 3D ainda não tem um uso muito amigável: é necessário utilizar softwares específicos para modelagem e impressão, além de exigirem constantes ajustes e calibrações. Mas estas são dificuldades que estão sendo minimizadas com o passar do tempo e com o surgimento de novos equipamentos.

agosto 11, 2013

[Cyber Cultura] A Democracia encara a Internet

Há muitos anos nos acostumamos com a idéia de que os regimes autoritários não gostam da Internet, pois a rede permite o livre acesso a informação e a manifestação do pensamento. China, Irã, Egito, Cuba, vários são os exemplos de governos que tentam, ou tentaram, de alguma forma, vigiar e censurar seus cidadãos online.

Mas na semana passada vimos alguns exemplos de países democráticos com dificuldade de respeitar a liberdade e a privacidade online:
  • Como era esperado por todos, os EUA condenaram Bradley Manning por vazar informações do governo americano através do Wikileaks, incluindo provas de crimes de guerra. A única notícia boa é que Mannig foi considerado inocente no pior dos crimes dos quais era acusado, o de "ajudar o inimigo".
  • Os EUA não gostaram nada de saber que Edward Snowden conseguiu asilo político na Rússia. Ele está sendo perseguido pelo governo americano por revelar que a NSA vigiava indiscriminadamente diversos serviços online.
  • O FBI é suspeito de utilizar uma vulnerabilidade no Firefox para identificar usuários da rede TOR
  • Lavabit, um provedor de e-mail "seguro" e aparentemente utilizado por Snowden, fechou devido a pressão do governo americano.
  • O Silent Mail, outra empresa que fornecia e-mail seguro (criptografado através de PGP), também decidiu encerrar os seus serviços.
  • Aqui no Brasil, em um ato de total desrespeito a privacidade dos Brasileiros, o TSE concedeu acesso a toda a base de dados de eleitores para a Serasa. Como se isso já não bastasse, em troca de repassar informações cadastrais de 141 milhões de brasileiros para a Serasa por 5 anos, o TSE ganhou do Serasa 1000 certificados digitais válidos por 2 anos (sendo que cada um vale R$ 128,00). Ou seja, para o TSE, a privacidade de todos os brasileiros vale míseros R$ 128 mil. Felizmente, a Presidente do TSE anulou o convênio por conta de toda a polêmica que foi criada.

Tudo indica que vivemos tempos sombrios, onde a maior potência do planeta se junta ao time de países que não respeitam o direito a privacidade e a liberdade de expressão no mundo online.

julho 31, 2013

[Segurança] Próximas edições da Conferência Co0L BSidesSP em 2013

Sim, você leu o título deste post corretamente: ao invés de uma edição, ainda neste ano pretendemos realizar mais duas edições da Conferência O Outro Lado - Security BSides São Paulo (Co0L BSidesSP), um evento sobre segurança e cultura hacker que faz parte do calendário global de conferências Security BSides.


As próximas edições acontecerão em Outubro e Novembro deste ano:
A Co0L BSidesSP H2HC Edition, que ocorrerá no dia 06 de Outubro de 2013 (domingo), será realizada novamente no mesmo espaço e em conjunto com a Hackers to Hackers Conference (H2HC), que neste ano comemora sua décima edição. Devido a limitações impostas pelo espaço aonde o evento será realizado, nesta edição teremos algumas restrições:
  • O público será limitado a apenas 100 participantes, que devem se inscrever previamente (até mesmo os participantes da H2HC que queiram ir na BSidesSP terão que se inscrever em nosso site!)
  • Teremos apenas uma trilha de palestras e uma trilha de oficinas
  • Serviremos alimentação para os participantes, mas será controlada e limitada apenas ao pessoal da BSidesSP. Diferente do que fizemos no ano anterior, desta vez não poderemos oferecer um "churrascker" para todos :(
Já a Co0L BSidesSP Black Hat Edition, que realizaremos no dia 24 de Novembro de 2013 (o domingo anterior a Black Hat Regional Summit São Paulo), seguirá o modelo da edição de maio deste ano, que realizamos em um espaço enorme cedido gentilmente pela FATEC de São Caetano do Sul (Fatec SCS). Por isso, pretendemos fazer um evento bem legal para todos:
  • Espaço grande com várias salas, fornecido pela FATEC de São Caetano do Sul (Fatec SCS)
  • Teremos várias atividades em paralelo, incluindo
    • Duas trilhas de palestras técnicas
    • Lightning Talks
    • O "Garoa Village" e o "Techberto Room" (em homenagem ao Alberto Fabiano), com várias oficinas simultâneas
    • Sala de descompressão, com lojinhas
    • A segunda edição da “Hacker Job Fair”
    • “Churrascker” para os presentes.
E talvez tenhamos mais novidades, se tudo der certo ;)

Então, para não causar confusão na cabeça de ninguém, segue um resumo das novidades...
Em breve lançaremos o Call For Papers para os dois eventos, que será um CFP em conjunto (o palestrante escolherá em qual evento quer apresentar o seu trabalho).

A Conferência O Outro Lado - Security BSides São Paulo (Co0L BSidesSP) é uma mini-conferência sobre segurança da informação e cultura hacker organizada pelo Garoa Hacker Clube como forma de divulgar o nosso espaço e, principalmente, promover a inovação, discussão e a troca de conhecimento entre os participantes e divulgar os valores positivos e inovadores da cultura hacker. A Co0L BSidesSP é um evento gratuito que faz parte das conferências “Security B-Sides” existentes em mais de 35 cidades de dez países diferentes, que são mini-conferências voltadas para a comunidade.

julho 30, 2013

[Segurança] Ciber Ataques ao Governo Brasileiro

O pessoal do IG publicou recentemente dois artigos com alguns dados sobre ciber ataques sofridos pelos sites do governo Brasileiro em 2013.

O IG usou dados de ataques aos sites do governo a partir de relatórios do Centro de Tratamento de Incidentes de Segurança de Redes de Computadores (CTIR-Gov), o centro de resposta a incidentes do governo federal. O próprio CTIR-Gov disponibiliza estas estatísticas em seu site, e as reportagens do IG foram baseadar principalmente nos relatórios sobre incidentes detectados no primeiro e no segundo trimestres deste ano.

Veja algumas das estatísticas relacionadas ao primeiro semestre de 2013, segundo dados do IG e do CTIR-Gov:
  • Total 4228 incidentes: 2027 incidentes no primeiro trimestre e 2201 incidentres no segundo trimestre
  • Segundo o IG, as páginas do governo federal ficaram fora do ar 672 vezes
  • Em média, as páginas do governo ficaram inacessíveis uma vez a cada oito horas
  • A reclamação de incidentes mais recorrente (25% das notificações) é o chamado “abuso de sítio” (que inclui defacement, exposição de código fonte ou descobertas de vulnerabilidades)
  • Cerca de 20% das reclamações de incidentes passadas ao CTIR-Gov foram relacionadas à “indisponibilidade de sítio”
  • Cada incidente leva em média cinco dias e 13 horas para ser solucionado
  • Em 22% dos casos, os problemas demoram mais de dez dias para terem uma solução
  • Os Estados Unidos e o Brasil são os países destinatários do maior número de notificações de incidentes (isto é, de onde partiram os ataques e incidentes detectados e notificados), com grande diferença para os outros países apresentados
  • Ocorreram 67 casos de vazamento de informações de órgãos federais entre janeiro e junho de 2013
    • Segundo fontes do IG na Abin, em pelo menos cinco casos houve vazamento de informações confidenciais
  • No dia 22 de junho, durante os protestos em todo o Brasil, vários sites sofreram ataques e ficaram indisponíveis em alguns momentos, incluindo o portal do governo federal, a Receita Federal, a Presidência da República e o site da Petrobrás.
O interessante é que estes dados incluem a atuação do CTIR-Gov no tratamento dos incidentes de segurança durante a Copa das Confederações, de 15 a 30 de junho de 2013, quando eles atuaram sob a coordenação do Centro de Defesa Cibernética (CDCiber), do Ministério da Defesa.

O CTIR-Gov é o Centro de Tratamento de Incidentes de Segurança de Redes de Computadores da Administração Pública Federal (APF), e está subordinado ao Departamento de Segurança de Informação e Comunicações (DSIC), que faz parte do Gabinete de Segurança Institucional da Presidência da República (GSIPR). Sua finalidade é atender aos incidentes de segurança nas redes da APF.

A reportagem do IG também destacou que o CDCiber sofre com constantes problemas de falta de investimentos federais, e divulgou alguns números para exemplificar esta falta de investimentos: Em 2012, de R$ 90 milhões liberados para o programa, R$ 61 milhões foram empenhados (reservado para gastos). Já em 2013, dos R$ 90 milhões destinados, apenas R$ 7,9 milhões foram empenhados mas, até o final do primeiro semestre, foram gastos menos de R$ 917 mil, ou apenas 1% do total previsto para este ano.

Vale lembrar que hoje também foram anunciados cortes no orçamento do Ministério da Defesa na ordem de R$ 919 milhões, representando um corte este ano na casa dos 4,1 bilhões de reais. Não tenho nada contra o governo cortar despesas, mas me preocupa ele fazer estes cortes no ministério da defesa nas vésperas da Copa do Mundo e das Olimpíadas de 2016. Afinal, vimos muitas atrapalhadas e muitos sites governamentais pichados ou fora do ar durante a Copa das Confederações e durante a Jornada Mundial da Juventude.

[Cyber Cultura] A Revolução dos Smartphones

Recentemente eu estava vendo um material que, entre outras coisas fala sobre segurança em mobile e alguns dados sobre a popularização dos Smartphones me chamaram a atenção:


  • A produção de Smartphones em todo o mundo atingiu 671 milhões ao ano em 2012
  • Isto é, tivemos 671 milhões de novos smartphones em 2012, embora nasceram “apenas” 140 milhões de pessoas no mesmo ano.
  • A quantidade de Smartphones produzidos em 2012 aumentou quase 42% em relação a 2011
  • Segundo a Apple, foram baixados 50 bilhões de aplicativos da loja de aplicativos iOS nos quatro anos desde a sua inauguração.


Hoje em dia, os Smartphones são populares e estão nas mãos de todo mundo, mas até poucos anos atrás eles eram restritos principalmente ao mundo corporativo. Afinal, ter um Smartphone só se justificava para quem precisasse acessar os e-mail da empresa. Hoje em dia, mesmo os usuários leigos usam os Smartphones para tudo, principalmente navegar na Internet, nas redes sociais e, por que não, acessar o e-mail pessoal.

A grande virada aconteceu em 2007, quando a Apple lançou o iPhone. Sem dúvida nenhuma, ele foi o maior responsável pela popularização dos Smartphones: pela primeira vez, todos tivemos acesso a um aparelho compacto, bonito, fácil de usar, com acesso intuitivo a Internet e diversos aplicativos. E que tirava foto, tinha jogos, tocava música e, de quebra, ainda fazia ligações ;)



Vamos dar uma rápida olhada nos principais fatos relacionados a breve história dos Smartphones:
  • 16 de Agosto de 1994: Surge o primeiro Smartphone, o Simon Personal Communicator, da IBM e BellSouth
  • Março de 1996: O Pilot 1000 e o Pilot 5000 são os primeiros PDAs produzidos pela Palm, Inc.
  • 19 de Setembbro de 1996: A Nokia lança o Nokia 9000, que fez sucesso como o primeiro celular "all in one"
  • 12 de Julho de 1999: A RIM lança o aparelho modelo 850 (um "Wireless Handheld", que era um pager, e não um celular). Dá início, assim, a trajetória do BlackBerry.
  • Fevereiro de 2001: A Palm, Inc. lança o Kyocera 6035, um dos primeiros smartphones no mercado Norte Americano
  • Fevereiro de 2002: Surge o Treo 180, um smartphone GSM dual-band da Handspring que misturava os populares PDAs da Palm com um telefone (que se fundiu com a divisão de hardware da Palm, Inc. em 2003) (veja review aqui)
  • 17 de Março de 2003: Surge o BlackBerry Quark 6210, o primeiro com um telefone integrado e um dos modelos mais populares na primeira geração dos aparelhos BlackBerry
  • 09 de Janeiro de 2007: Steve Jobs anuncia o iPhone, que só seria disponibilizado nas lojas no final de Junho. Em 74 dias, foram vendidas um milhão de unidades.
  • 11 de Março de 2007: Surge o SYMBOS_FEAKS.A, primeiro malware para telefones ataca celulares rodando Symbiam e se propaga através de Bluetooth.
  • 05 de Novembro de 2007: A Google lança o Android OS
  • Julho de 2008: A Apple lança a AppStore e atinge 10 milhões de download na primeira semana
  • Janeiro de 2011: A Apple atinge 10 bilhões de downloads de aplicativos (e 15 bilhões em Julho)
  • 2011: São conhecidos 1,000 samples de malware para Android
  • 2012: A Trend Micro reporta 350,000 samples de malware para Android (demorou 14 anos para os vírus de computador atingirem este nível)
  • Fevereiro de 2013: A Google retira 60,000 aplicativos da Play Store considerados de "baixa qualidade"
  • 16 de Maio de 2013: A Apple atinge 50 bilhões de downloads de aplicativos

julho 27, 2013

[Segurança] Ciber Terrorismo?

A mídia, e até mesmo Hollywood têm uma certa atração especial para o tema do ciber terrorismo e, normalmente, confunde ciber ativismo, hacktivismo e o ciber terrorismo. Até que é fácil encontrar notícias classificando ataques cibernéticos regulares como "terrorismo cibernético", da mesma forma que é fácil achar a mídia relatando casos de espionagem cibernética como se fossem guerra cibernética.

Entretanto, uma análise mais cética dos casos reais de grupos que empregam ataques cibernéticos sob uma motivação política ou ideológica, resulta na conclusão de que praticamente nenhum caso é universalmente reconhecido como um ato de ciber terrorismo. Até hoje, apenas a operação OpAbabil (que está prestes a começar sua quarta onda de ataques a bancos americanos) representa um caso de ciber ataque que poderia ser considerado, por alguns, como um ato de terrorismo cibernético.

O maior problema, na verdade, é a falta de uma definição universalmente aceita de terrorismo, e consequentemente, do que poderia ser enquadrado como terrorismo cibernético (ciber terrorismo). Isso acaba por causar confusão quando alguém tenta categorizar um ataque cibernético como sendo um ato de hacktivismo, um simples conflito cibernético entre duas partes ou ciber terrorismo.

A classificação de uma ação ou de um determinado grupo como algo associado ao terrorismo carrega um grande grau de polêmica principalmente porque atos de terrorismo normalmente envolvem dois grupos com posições políticas, ideológicas ou religiosas radicalmente distintas. Logo, envolve um alto grau de emoção e conflito. Por isso, sempre haverá um grupo favorável (que apóia a causa, e portanto, os atos que este grupo realiza), e haverá, naturalmente, um grupo contrário aos atos que o outro grupo pode considerar como terrorismo ou uma forma muito radical de protesto.

Em alguns casos a classificação como um ato de terrorismo pode parecer óbvia para nós, como nos ataques aos EUA em 11 de setembro de 2001, os ataques em Mumbai em 2008, há casos mais polêmicos, ou os ataques do IRA na Inglaterra. Mas, por exemplo, há quem evite considerar as FARC como sendo um grupo terrorista. Ou podemos achar populações islâmicas que consideram os ataques de 11 de setembro como sendo justificáveis. Sempre haverá alguém a favor!

Outro exemplo interessante foi o que aconteceu no recente ataque na maratona de Boston em Abril deste ano: Embora os dois irmãos responsáveis pelo ataque (Tamerlan e Dzhokhar Tsarnaev) fossem conhecidos das autoridades russas e considerados radicais e potenciais terroristas, eles moravam nos EUA livremente, apesar do serviço secreto russo ter notificado as autoridades americanas. Em minha humilde opinião, provavelmente as autoridades americanas não deram tanta atenção aos irmãos pois eles eram da região próxima a Chechenia, e possivelmente os americanos acharam que o alerta das autoridades russas deveu-se simplesmente ao potencial envolvimento deles nos conflitos nesta região, que nada tem a ver com os EUA.

Desta forma, a classificação do que é terrorismo, e até a penalização de algum ato terrorista, é algo intrinsicamente polêmico. Por isso, vários países tem leis e posicionamentos diferentes sobre o assunto.

Entretanto, a maioria das definições de terrorismo considera alguns fatores:

  • tem uma forte motivação ideológica, política ou religiosa
  • são direcionados a população em geral
  • resultam em atos violentos ou potencialmente violentos
  • visam, porincipalmente, causar o medo, o pânico e a desestabilização de suas vítimas

Pelo exposto acima, temos que considerar o terrorismo cibernético como ciber ataques que resultem, de alguma forma, em ameaça de violência ou provoquem medo entre as potenciais vítimas, além uma forte agenda ideológica.

Sob esta ótica, a OpAbabil certamente representa o caso mais indiscutível de terrorismo cibernético que enfrentamos até agora. Desde 18 de setembro de 2012, quando o ​​grupo al-Qassam Cyber Fighters lançou a OpAbabil exigindo a retirada do polêmico vídeo "A Inocência dos Muçulmanos" do YouTube, seus ataques de negação de serviço (DDoS) foram direcionados a dezenas de bancos norte-americanos, que sofreram repetidas interrupções e lentidão em seus sites.

No entanto, em 5 de abril de 2013 o usuário identificado como XtnRevolt, membro do Tunisian Cyber Army (TCA) publicou um post no Facebook anunciando uma operação hacktivista que muito se assemelhou com o que poderíamos considerar como um caso de terrorismo cibernético. Em seu post, XtnRevolt advertiu sobre possíveis ataques cibernéticos como parte de OpBlackSummer que seriam direcionados contra empresas americanas de infra-estrutura e de energia, previstos para o chamado "FridayofHorror" (Sexta-feira de Horror), que seria em 12 de abril de 2013. Em sua mensagem no Facebook, o XtnRevolt ameaçou autoridades norte-americanas de que o grupo iria continuar atacando o sector financeiro e iria atacar companhias aéreas e do setor elétrico dos EUA se as autoridades americanas "não declarassem que vão retirar o exército de nossas amadas terras de Maomé".


O post do TCA no Facebook (vide imagem acima, pois o post já foi removido) é muito parecido com qualquer declaração pública feita por organizações terroristas, em termos de palavreado e demandas. Além disso, o TCA anunciou uma parceria com um grupo hacker chamado "al-Qaeda Electronic Army", uma clara referência a uma organização terrorista conhecida de todos nós. O tom da mensagem, suas ameaças e o potencial de causarem grave impacto em empresas americanas, poderiam fazer com que o "FridayofHorror" fosse o primeiro grande ato de ciber terrorismo da história. Motivação e tecnologia para tal, certamente não faltam.

Mas, felizmente, o grupo não cumpriu suas promessas e os ataques na "FridayofHorror" não aconteceram. Além do mais, poucos ataques significativos marcaram a operação OpBlackSummer.

Só nos resta, portanto, continuar considerando o ciber terrorismo como uma buzzword, pelo menos por enquanto.

julho 26, 2013

[Segurança] O maior cyber crime de todos os tempos... da última semana...

E lá vamos nós de novo... A mídia global está fazendo a festa com a notícia do "maior cibercrime da história nos EUA". Afinal, a mídia adora notícias com números grandes, ainda mais se puder inserir a palavra "hacker" em todo o lugar.

Vejam só:
Os números do caso realmente impressionam: em 7 anos, de 2005 a 2012, o grupo formado por quarto russos e um ucraniano conseguiu roubar os dados de mais de 160 milhões de cartões de crédito, causando prejuízos estimados em mais de US$ 300 milhões (e olha que este é o prejuízo declarado por apenas 3 das empresas atacadas!!!). Entre as empresas afetadas, constam grandes nomes de bancos e empresas americanas, como a bolsa eletrônica Nasdaq, Dow Jones, JetBlue, Citibank, PNC Bank, Heartland Payment Systems, 7-Eleven, Carrefour, JCPenney e Hannaford Brothers, entre outros.

Cada um dos envolvidos tinha uma especialidade, algo muito comum em grupos organizados de ciber criminosos:
  • Os russos Vladimir Drinkman e Alexandr Kalinin eram especializados em invadir as redes de computadores das vítimas. Ambos já foram acusados anteriormente de trabalhar em conjunto com Albert Gonzalez, o responsável por um dos maiores roubos de dados de cartões, na empresa americana Heartland Payment Systems (130 milhões de cartões de crédito roubados, prejuízo de U$ 200 milhões). Segundo a acusação, o ataque era realizado principalmente através de SQL Injection, buscando identificar servidores vulneráveis. Quando eles conseguiam acesso ao sistema, instalavam backdoors nos servidores para garantir o acesso e sniffers para capturar dados. Normalmente eles tentavam atacar as empresas pacientemente por semanas ou meses a fio, até conseguirem. Uma vez que conseguiam invadir, em alguns casos os backdoors ficaram instalados por mais de um ano.
  • O russo Roman Kotov, de 32 anos, era especializado em explorar as redes invadidas em busca de dados que pudessem ter algum valor para o grupo.
  • O ucraniano Mikhail Rytikov fornecia serviços anônimos de hospedagem on-line para o grupo, conhecidos normalmente como "bullet profing hosting services", pois garantia que não iria fornecer informações e logs sobre os servidores para a polícia.
  • O russo Dmitriy Smilianets é acusado de vender os dados roubados e distribuir os lucros. Os dados dos cartões eram vendidos no underground por US$ 10 para cada cartão americano, por US$ 15 cada cartão canadense e US$ 50 cada cartão europeu - com descontos para grandes quantidades ou clientes frequentes ;).
Enfim, agora me resta uma pergunta: poruqe chamar esse pessoal de "hackers"? Eles não são criminosos? então que tal chamar de, simplesmente "ciber criminosos"? Ou será que isso não chama tanto a atenção para a notícia? Afinal, ser "hacker" é pop, né?

Ah, em termos de estatísticas, o Brasil não deixa por menos. A SERASA lançou algumas estatísticas novas sobre fraudes por aqui...
  • No primeiro semestre de 2013 ocorreram 1.007.606 tentativas de fraude contra o consumidor no Brasil.
  • A cada 15,5 segundos um consumidor brasileiro é vítima da tentativa de fraude conhecida como roubo de identidade
  • O setor telefonia liderou o ranking, com 400.913 tentativas de fraude contra o consumidor, ou 40% do total. O setor de serviços vem em segundo lugar, com 320.711 tentativas de fraude (32%), seguido pelos bancos e financeiras (191.567 tentativas de fraude, ou 19% do total) e pelo varejo (78.428 tentativas de fraude, 8%).

Acho que só me resta lançar uma música nova, baseado no antigo sucesso dos Titãs:
"O melhor hacker russo de todos os tempos da última semana
O melhor malware chinês em empresa americana
O melhor 
ciber crime dos últimos anos de fraudes do passado
O maior prejuízo de todos os tempos entre os dez maiores ataques"

julho 24, 2013

[Segurança] Alberto Fabiano

“Quando um homem morre, é como se uma biblioteca inteira se incendiasse.”
Provérbio africano

Nenhuma frase poderia resumir melhor o que significa o falecimento do Alberto Fabiano, um grande amigo e um dos melhores profissionais que pude conhecer. E, coincidentemente, achei esta frase no Blog dele.

O Alberto nos deixou na semana passada, no dia 18/7, enquanto visitava sua cidade natal, Ilha Solteira, vítima de um ataque cardíaco. Um acontecimento muito triste, que pegou a todos de surpresa e nos deixou sem a chance de um último adeus, de uma última conversa.

O Alberto era uma biblioteca ambulante: dono de uma conversa fácil, e seu conhecimento de tecnologia, ciências exatas, cultura e literatura científica era praticamente infinito. Pelo perfil que ele mesmo criou sobre si mesmo no site do Garoa, podemos ver que o conhecimento técnico do Alberto era muito amplo, incluindo diversas linguagens de programação, sistemas embarcados e segurança, suas áreas favoritas. Isto sem falar na facilidade com que ele discutia qualquer assunto que surgisse.

E ele adorava isso. As conversas com ele eram quase intermináveis, e seus e-mails, normalmente longos e detalhados. E repletos de referências, viagens, etc. Algumas vezes eu chegava a duvidar que ele pudesse ter escrito tanta coisa em uma única mensagem, e me sentia tentado a procurar algumas frases no Google, para me certificar que ele não teria copiado o texto de algum lugar. Mas bastava conhecer ele pessoalmente para perceber a verdade: o Alberto era um poço sem fundo em termos de conhecimento. As listas de discussão ficarão mais sem graça, menos inteligentes e menos verborrágicas sem ele. Talvez o próprio Google perceba uma diminuição do volume de dados do Google Groups nos próximos dias.

O Alberto tinha vários apelidos, que ele colecionou com o passar dos anos: Alberto, Aleph (nome completo: Aleph Lépton Leptos), Techberto, Void, Voidberto, ALFCM, @alfacme, A., AF, yellowbug.nullptr, Red, Fabiano, etc. Por conta disso, gostávamos de brincar com ele que estas eram múltiplas personalidades que habitavam o mesmo corpo. E, de vez em quando, ele enviava várias mensagens seguidas na mesma discussão, dando a impressão de que tinha respondido a mensagens que ele mesmo postava. Quando isso acontecia, eu rapidamente dizia que era o Alberto discutindo com o Aleph, ou vice-versa ;)

Conhecer todas estas personalidades e entendê-las é quase impossível, mas, em homenagem a memória dele, eu quero tentar:
  • O Alberto era simples e humilde, e sempre se dispunha a ajudar seus colegas.
  • O Aleph Leptos era apaixonado por tecnologia e cultura hacker. Discursava sobre literatura cyber punk com a mesma facilidade com a qual discutia linguagens de programação, eletrônica ou códigos maliciosos.
  • O Fabiano nasceu em Ilha Solteira e viveu em Santa Cruz do Sul, cercado por uma família enorme e carinhosa (que eu tive a chance de conhecer recentemente). Esta família certamente deu a base para as principais características da personalidade dele: a humildade, a honestidade e a preocupação pelo próximo.
  • O Alberto era sincero, e uma das suas expressões mais características foi "De verdade, de verdade mesmo, eu ...", que usava para começar uma frase.
  • O Techberto era o lado técnico dele. Programador, especialista em múltiplas áreas que envolvesse tecnologia e computadores. Lembro de ter lido e-mails do Techberto no início da minha carreira, em algumas das primeiras listas de discussão em que participei.
  • O Aleph só usava camisetas nerds ou de eventos. Uma camiseta da 2600 devia ser sua favorita, pois era uma das que ele mais usava.
  • O Alberto era calmo, tranquilo. Chegava quietinho mas, na primeira oportunidade, entrava na conversa e nunca mais saía.
  • O Aleph era engajado, frequentava todos os eventos e encontros, e também participava de todas as comunidades que pudesse. Era até difícil ir a algum evento e não encontrá-lo. H2HC? TDC? Campus Party? YSTS? Encontro de usuários do Mozilla? Lá estava ele. Nós nos encontramos em 2001 no evento da BOS-BR, possivelmente o primeiro evento da comunidade de segurança brasileira, organizado pelo Thiago Zaninotti. 
  • O Alberto falava inglês, com sotaque marciano (segundo sua própria definição).
  • O Aleph foi um dos fundadores do Garoa Hacker Clube e um dos sócios mais participativos. Se tinha algum evento em algum hackerspace aqui por perto, ele sempre era o primeiro a querer ir lá comigo. Fomos juntos no LHC (Laboratório Hacker de Campinas) e no SJCHC. Além de participar da organização do TDC, o Aleph foi o primeiro a se interessar em me ajudar a organizar a BSides São Paulo.
  • Quando soube que o governo estava analisando o capítulo sobre crimes cibernéticos na reforma do Código Penal, o Alberto tomou a iniciativa de entrar em contato com o Ministério Público e liderou um grupo de trabalho do Garoa que ajudou eles a revisarem a proposta da nova lei.
Talvez o Alberto fosse uma reencarnação do Fernando Pessoa. Pelo menos é o que indica a variedade de personas que ele colecionava e a qualidade dos e-mails e artigos que ele produzia.

O Alberto foi um grande amigo, e era, sem dúvida nenhuma para mim, um grande gênio, uma dessas pessoas raras de aparecer e temos que agradecer pela oportunidade de tê-lo conhecido. Além de apaixonado pela tecnologia e pelas comunidades de que participou, o Alberto era um exemplo de ética e de como aliar o conhecimento com um belo toque de humanidade.
Creative Commons License
Disclaimer: The views expressed on this blog are my own and do not necessarily reflect the views of my employee.