[Segurança] O legado de Dan Kaminsky

A comunidade de segurança ficou abalada nesse sábado, 24 de abril, quando surgiram as notícias do falecimento de Dan Kaminsky - um dos pesquisadores mais relevantes na comunidade internacional. Diversos profissionais manifestaram seu pesar nas redes sociais e comentaram sobre a importância de Dan Kaminsky, ressaltando sua personalidade criativa e receptiva.

Tamanho impacto na comunidade me fez lembrar quando foi noticiada a morte de Barnaby Jack, em 2013, na época também um dos pesquisadores mais relevantes no mercado. A notícia de sua morte surgiu alguns dias antes da Black Hat e da Defcon daquele ano, quando ele iria realizar uma palestra muito esperada sobre vulnerabilidades em implantes médicos.

Voltando a falar da triste notícia da partida do Dan Kaminsky, eu queria destacar dois tweets. O primeiro, do Jeff Moss, fundador e organizador da Defcon e BlackHat, aonde ele sugeriu a criação de um prêmio em sua homenagem, o "Kaminsky Awards". Em outro tweet, a Defcon fez uma coletânea das palestras de Dan no evento, que virou um playlist e que eu faço questão de transcrever aqui no blog, da mais antiga para a mais recente:

• DC9 - Gateway Cryptography
• DC10 - Black Ops of TCP/IP: Work NAT, Work. Good NAT. Woof
• DC11 - Stack Black Ops: New Concepts for Network Manipulation
• DC12 - Black Ops of TCP/IP 2004
• DC13 - Black Ops of TCP 2005
• DC14 - Black Ops 2006
• DC15 - Black Ops 2007
• DC16 - Black Ops 2008

• DC17 - Something about Network Security (Black Ops of PKI) 
• DC17 - Hello My Name is hostname
• DC18 - Black Ops Of Fundamental Defense: Web Edition
• DC19 - Black Ops of TCP/IP 2011
• DC22 - Secure Random by Default
• DC23 - I Want These * Bugs off My * Internet 
• Defcon China - Bugs Aren't Random Unifying Building & Breaking in Modern Age

As suas palestras, em geral, são discussões sobre a segurança dos principais protocolos de rede da Internet - desde o próprio TCP/IP, passando pelo DNS e DNSSEC (um tema que contribuiu muito para sua fama em 2008 - veja os slides dele na BlackHat), PKI e passando por vários outros protocolos de rede, inclusive discutindo sobre Bitcoin em 2011.

 Na lista de vídeos acima é divertido ver a evolução da Defcon no decorrer doa anos, passando pelo Alexis Park, indo para o Riviera e depois para os hotéis mais modernos e, no último vídeo, a primeira edição da Defcon China.

Para saber mais:

• Dan Kaminsky na Wikipedia
• Computer security world in mourning over death of Dan Kaminsky, aged 42

PS: Pequena atualização em 25/04 para incluir o link para  notícia sobre a causa da morte.

[Segurança] Aumenta ainda mais o arsenal de extorsões dos Ransomwares!

A vida não está nada fácil para as vítimas dos ransomwares. A cada dia os ciber criminosos inventam novas formas de extorsão.

Há poucos dias atrás, eu comentei das 5 extorsões utilizadas pelos operadores de Ransomware até o momento:

• O básico: Não descriptografar os dados;
• Expor publicamente os dados vazados, em fóruns online;
• Realizar ataques de DDoS contra a vítima;
• Call centers que ligam para a empresa atacada pelo ransomware.
• Avisar o cliente que a empresa teve os dados roubados!

Agora, uma nova tática de ameaça começou a ser utilizada...

Avisar os acionistas !

A intenção, ao avisar os acionistas das empresas antes de divulgar a extorsão, é causar o caos mesmo, pois assim eles tem oportunidade de vender as ações da vítima antes que o anúncio de ataque de ransomware cause impacto na avaliação da empresa.

A mensagem diz:

"Agora  nosso time e parceiros estão criptografando várias empresas que tem ações na NASDAQ e outras bolsas de valores. Se a empresa se recusar a pagar [o resgate], nós estamos prontos para fornecer informações antes da publicação, assim será possível lucrar quando os valores das ações [da empresa] caírem."

Fogo no parquinho!

A propósito, já que estamos falando de ransomware, olha a treta: a empresa Quanta, fornecedora da Apple, anunciou que sofreu ataque do ransomware REvil, e o grupo responsável está exigindo o pagamento de um resgate de 50 milhões de dólares para evitar que arquivos confidenciais sejam vazados na dark web, incluindo "blueprints" de produtos da Apple.

PS (Adicionado em 26/05): Veja também esse rápido artigo da Kaspersky sobre Os novos truques dos ransomware.

[Segurança] As técnicas de engenharia social utilizadas pelos ciber criminosos

Recentemente o portal CSO Online publicou um artigo sobre as "7 novas táticas de engenharia social que os agentes de ameaça estão usando atualmente". Embora interessante, é importante lembrar que o artigo representa uma visão do cenário americano.

Por isso mesmo, eu resolvi pensar nas principais técnicas de engenharia social que os ciber criminosos brasileiros estão utilizando atualmente em seus golpes contra os usuários finais - aproveitando e complementando esse artigo do CSO Online.

• Perfis falsos em redes sociais: um dos principais golpes é o uso de perfis fake nas redes sociais, principalmente no Instagram, em nome de empresas e de atendentes de suporte dessas empresas. Os criminosos entram em contato com suas vitimas para obter dados pessoais ou dados de acesso, ou para oferecer falsas promoções, que devem ser confirmadas através de um código recebido por SMS - justamente o código para conseguir roubar o WhatsApp da vítima!
• Descoberta de senha bancária: Eu não vejo notícia na imprensa sobre isso, mas hoje um golpe muito frequente para acesso a contas bancárias começa quando os criminosos conseguem roubar um celular da vitima, desbloqueado. Isso é fácil: basta pegar alguém distraído na rua, usando seu celular, ou assaltar um motorista que está usando o seu celular no painel, no app do Waze, por exemplo. Com o celular desbloqueado, eles vasculham os arquivos e até as informações no navegador do aparelho para buscar senhas gravadas no aparelho - e assim eles conseguem acessar o app bancário da vítima - e limpar a conta;
• Mensagens falsas, de phishing, via e-mail,SMS e Whatsapp: golpe velho, mas que até hoje faz muitas vítimas. O artigo da CSO Online classifica esses phishing por SMS e Whatsapp como "Text fraud";

  

• QR Codes maliciosos: esta é uma tendência que especulamos no mercado, principalmente com o uso de QR Codes como meio de pagamento (além de algumas empresas específicas, agora temos os QR Codes usados no PIX). No nosso caso, um QR code malicioso pode te fazer realizar um pagamento para a pessoa ou empresa errada;
• Typosquatting: Mais um golpe velho, quando criminosos criam domínios com nomes parecidos dos originais, usados para hospedar sites maliciosos que pareçam reais.

O artigo cita outras táticas, que eu acredito que ainda vão demorar um pouco para se popularizar no Brasil:

• Sequestro das notificações dos navegadores ("browser notification hijack")
• Scams em falsos projetos colaborativos ("collaboration scams")
• Personificação de fornecedores ("suply chain partner impersonation")
• Gravações com deepfake ("Deepfake recordings") -isso pode virar uma tendência para uso em fake news e também para fraudadores tentarem burlar ferramentas de autenticação basedas em reconhecimento facial e liveness.

Para saber mais:

• 7 new social engineering tactics threat actors are using now

[Segurança] Ataques de subdomain takeover

Imagina que você vai no cartório e no Correios e registra que existe uma casa na Rua José das Couves, número 51. Mas tem um detalhe: esse número não existe na rua! Aí um espertinho descobre isso, vai lá na rua e constrói uma casa e bota a plaquinha de número 51 na porta. Você tem o endereço, seus amigos mandam carta para você (faz de conta, né, porque hoje em dia ninguém manda carta), a sua compra na loja de e-commerce vai para esse endereço, mas a casa é de outra pessoa. Em vez de isso tudo chegar para você, o “espertinho” é quem fica com a sua correspondência.

Esse exemplo é bem tosco, criado por um amigo, o Julio Carvalho, que também me indicou alguns dos links que usei nesse post. Tudo isso para ilustrar o significado de um ataque de...

Subdomain Takeover

Em português, seria algo como "sequestro de subdomínios".

Esse é um ataque que acontece com frequência, aonde uma empresa cria um subdomínio apontando para algum serviço online, mas esse serviço não está ativo ou o serviço existente foi desativado. Esse subdomínio, portanto, aponta para lugar nenhum. O atacante, então, vai nesse serviço e cria uma entrada com o nome da empresa, conseguindo que o subdomínio válido aponte para um serviço malicioso. Tais casos frequentemente acontecem com serviços em nuvem oferecidos por terceiros, como o GitHub e com os serviços de bucket S3 da AWS. Nesses dois casos, por exemplo, o atacante descobre que o domínio está errado e cria um repositório com conteúdo malicioso no GitHub ou na AWS – mesmo que usando uma conta própria nesses serviços.

Com esse tipo de ataque, um ciber criminoso pode criar uma página de phishing, um site falso ou um repositório em nome da empresa, mas que esteja hospedando um conteúdo malicioso – só para citar 3 exemplos de consequências indesejáveis para as empresas.

De fato, com a popularização dos serviços de computação em nuvem e repositórios de dados em nuvem, esse ataque ganhou força. É o caso da Amazon Simple Storage Service (Amazon S3), o serviço de armazenamento de dados da Amazon.

No caso da AWS, o ataque de subdomein takover explora a forma que a AWS trabalha com a nomenclatura dos buckets S3. É possível criar uma URL virtual para identificar e dar acesso ao seu bucket, utilizando o formato https://bucketname.s3.Region.amazonaws.com (por exemplo, "ttps://suaempresa.s3.us-west-2.amazonaws.com"), que é equivalente a URL https:// s3.Region.amazonaws.com/bucketname.

Nesse caso, um atacante pode descobrir que sua empresa tinha uma URL cadastrada no DNS, via CNAME, apontando para um bucket desativado. Assim, ele pode “sequestrar” o seu bucket na AWS criando outro bucket com o nome (bucketname) equivalente ao previamente cadastrado pela sua empresa (por exemplo, “suaempresa”) dentro da “amazonaws.com”. Quem cair numa página que tenha esse link ou quem acessar diretamente o link (por exemplo, "ttps://suaempresa.s3.us-west-2.amazonaws.com" oi "https:// s3.us-west-2.amazonaws.com/suaempresa") vai cair numa URL com o nome da sua empresa, mas o conteúdo será malicioso.

O segredo para prevenir esse ataque é, principalmente, ter uma gestão muito cuidadosa dos seus registros DNS, aqueles que apontam o nome (URL) de um site ou serviço para o serviço em si. E também o monitoramento frequente dos seus ativos na nuvem e dos seus registros no DNA, para garantir que os seus domínios continuam válidos. Normalmente esse cadastro de subdomínios é feito pelos campos CNAME do DNS.

Para saber mais:

• Esses artigos explicam esse ataque: #dicadoJulio
• What Are Subdomain Takeovers, How to Test and Avoid Them? - Ele tem até um exemplo de como identificar um subdomínio problemático em vários serviços online (AWS, Bitbucket, GitHub, Gitlab, Heroku, Wordpress, etc);
• How To Avoid Hostile Subdomains Takeovers
• How an unclaimed AWS S3 bucket escalates to subdomain takeover
• Documentação da AWS:
• Accessing a bucket
• Virtual Hosted-Style Requests 

[Geek] Os Pássaros não são reais

Para mim, de todas as teorias da conspiração, esta é a mais engraçadas e mais non-sense que eu já vi.

Resumindo.... Um grupo de americanos acredita que o governo trocou todos os pássaros do país por drones, pássaros robóticos usados para espionar a população.

Essa teoria tem um nome, site e diversos seguidores: de...

Birds Aren't Real

Em português, "Os Pássaros não são reais".

O site deles tem várias páginas explicando a teoria - e uma lojinha que me deixou com vontade de comprar várias coisas legais - e engraçadas.

O site e a FAQ explicam diversos detalhes sobre essa teoria da conspiração: Os seguidores desta teoria da conspiração acreditam que, entre 1959 e 2001, o governo americano matou mais de 12 bilhões de aves e as substituiu por robôs, forçando a extinção de diversas espécies de pássaros. Para que a população não perceba, os pássaros utilizam uma "tecnologia futurista" que mistura partes robóticas com organismos biológicos - assim as pessoas não percebem que um pássaro morto é um drone. As fezes doa pássaros são usadas para marcar alvos de vigilância - não é a toa que eles alegam que 87% das fezes caem em cima de carros, segundo "documentos confidenciais que vazaram em 2018".

Ah, se você tem um pássaro em casa, cuidado, pois ele é um robô da NSA que está te vigiando, e portanto, evite conversar sobre assuntos confidenciais perto dele!

Para saber mais (links adicionados em 25/04):

• https://birdsarentreal.com
• Inside The Online Movement Which Believes Birds Are Government Spy Drones

[Segurança] Programa nuclear do Irã sofre um novo ciber ataque!

Há 11 anos atrás uma usina de refinamento de urânio virou notícia: em Novembro de 2010 a usina de Natanz, no Irã, teve uma grande parte de suas centrífugas utilizadas para enriquecer urânio destruídas por um ataque do vírus Stuxnet - ao alterar a velocidade de rotação das centrífugas de forma aleatória, o Stuxnet conseguiu destruir aproximadamente 1.000 das 4.700 centrífugas existentes.

Desde então, o Stuxnet virou sinônimo de guerra cibernética. O ataque foi o resultado de um longo plano criado em conjunto pelas forças de espionagem de Israel e dos Estados Unidos, numa operação que recebeu o nome de "Olimpic Games".

Ontem, 12 de Abril, diversos portais de notícia divulgaram que a usina de Natanz sofreu um novo ciber ataque na manhã de domingo, 11/04, que atingiu seu sistema de energia e causou um grande dano - possivelmente uma grande explosão no sistema de energia do complexo, que alimenta as centrífugas de enriquecimento de urânio. Especula-se que a recuperação do complexo pode durar 9 meses..

Embora não haja confirmação oficial, a suspeita é que o ciber ataque foi realizado pela força de ciber inteligência de Israel. Além disso, acredita-se que Israel está por trás do assassinato de diversos cientistas nucleares iranianos nos últimos anos.

O ataque aconteceu um dia após o governo do Irã celebrar o "dia da energia nuclear" e quando estavam prestes a inaugurar um novo modelo de centrífuga, capaz de enriquecer o urânio mais rapidamente.

Para saber mais:

• Iran blames Israel for Natanz attack, vows to ‘take revenge on the Zionists’ - notícia bem detalhada
• Natanz blast took out main power and backup, Iranian official acknowledges
• Blackout Hits Iran Nuclear Site in What Appears to Be Israeli Sabotage
• Iranian Nuclear Site Shut Down by Apparent Cyberattack
• Na Wikipedia: Stuxnet
• Aqui no blog: Explicando o Stuxnet

[Segurança] Bomb Denial of Service (BDoS) attack

Recentemente o FBI prendeu um americano que planejava "derrubar 70% da Internet" explodindo um datacenter da Amazon.

A história parece bizarra demais para ser verdade, mas é sim: é bizarra e é verdade.

O americano Aaron Pendley, do Texas, pretendia explodir um datacenter da Amazon Web Services (AWS) localizado em Ashburn, Virginia. O FBI ficou sabendo desse plano maluco quando, em Janeiro desse ano, o terrorista amador postou uma mensagem num fórum online monitorado pelo FBI, o MyMilitia - um fórum usado por radicais de direita nos EUA. Em seguida, ele compartilhou seus planos com um participante do fórum, que o denunciou para o FBI.

Um agente disfarçado do FBI, que participava do fórum, entrou em contato com esse usuário e se ofereceu para vender explosivos plásticos C-4. Detalhe: o Aaron queria destruir o datacenter da AWS para tirar do ar os sistemas da CIA, FBI e do governo americano.

O agente do FBI marcou um encontro no dia 8 de Abril para fazer a venda do suposto explosivo, e aí o Aaron foi preso. Ele pode ser condenado a até 20 anos de prisão.

Os consultores e vendedores de planos e soluções de Recuperação de Disastres devem estar adorando essa história, e vamos vê-la em muitas apresentações comerciais de agora em diante.

Eu prefiro batizar esse "ataque" de...

Bomb Denial of Service (BDoS) attack

Que comecem os jogos!

[Geek] 60 anos do vôo de Yuri Gagarin

Hoje, 12/04, fazem 60 anos que o primeiro homem foi para o espaço. Em 12 de Abril de 1961, às 9h07 no horário de Moscou, o cosmonauta russo Yuri Gagarin entrou para a história ao iniciar o seu voo a bordo da pequena cápsula Vostok 1 rumo ao espaço - com uma frase que entrou para a história: "Lá vamos nós". A decolagem aconteceu na base de Baikonur, na república soviética do Cazaquistão, que na época era uma instalação secreta.

Foi ele quem descobriu, pela primeira vez, que "a Terra é azul".

Um piloto de jatos da força aérea russa, major com apenas 27 anos de idade na época, Gagarin completou uma volta ao redor da Terra e, 108 minutos após o lançamento, pousou em solo russo – marcando a hegemonia da União Soviética (URSS) na recém inaugurada corrida espacial. Na época, o cosmonauta não possuía controle nenhum sobre a nave – ele apenas ficava sentado enquanto o centro espacial russo manobrava a nave.

Algun anos antes, em 1957, os russos já tinham assustado o mundo ao colocar em órbita o satélite artificial Sputnik, o primeiro satélite em órbita da Terra. 

Veja mais em:

• Aqui no Blog: Cosmonautas
• Rússia celebra 60 anos da façanha de Gagarin, primeiro homem a voar ao espaço
• Cinco fatos sobre o voo espacial de Yuri Gagarin
• Vale muito a pena a leitura desse artigo: Yuri Gagarin: os perigos ocultos no primeiro voo tripulado ao espaço há 60 anos

[Segurança] App vaza dados da Williams antes de lançamento do novo carro de F1

Esse é um caso interessante aonde uma falha em um app desenvolvido por terceiros impactou o lançamento de um carro de Formula 1 - mostrando uma relação importante entre segurança de aplicações e o negócio.

A Williams estava pronta para fazer um grande lançamento de seu novo carro de Fórmula 1 no dia 05 de Março deste ano, com o uso de um aplicativo de realidade virtual para que as pessoas "vissem" o seu novo carro para a temporada 2021.

Entretanto, uma pessoa conseguiu "invadir" o app na véspera do lançamento, permitindo acesso a imagens com os detalhes do carro, antes do lançamento.

As informações vazaram e as fotos do modelo 3D do novo carro foram compartilhados na Internet. O app de realidade virtual foi tirado do ar, causando uma situação embaraçosa para a Williams.

  

Não foi necessária uma invasão complexa. O incidente aconteceu pois uma pessoa fez uma rápida engenharia reversa do app de realidade virtual e encontrou o arquivo com os modelos em 3D. O atacante, identificado como Astorphobis, descreveu como conseguiu obter os dados:

[Segurança] Raio X do mercado de Bug Bounty

No início de março a HackerOne lançou a nova versão de seu The 2021 Hacker Report, um relatório que descreve o mercado de Bug Bounty, do ponto de vista da HackerOne.

Veja algumas informações interessantes do relatório, que traça um perfil da comunidade de hackers e pesquisadores que participam dos programas de Bug Bounty gerenciados pela HackerOne:

• Houve um aumento de 63% no número de hackers que enviaram vulnerabilidades válidas na HackerOne no ano passado, que atingiu mais de 1 milhão de hackers registrados na plataforma;
• Os hackers ganharam US$ 40 milhões apenas em 2020. Nove participantes ganharam mais de 1 milhão de dólares desde 2019, e um pesquisador ultrapassou a marca de US$ 2 milhões em 2020;
• A maioria (82%) da comunidade se define como hackers em tempo parcial e 35% mantêm um emprego em tempo integral;
• 55% da comunidade possui menos de 25 anos;
• A maior motivação, 85%, é de aprender e expandir suas habilidades. 76% são motivados pelas recompensas, 62% participam com objetivo de avançar em suas carreiras. Os hackers também são motivados pelo desejo de fazer o bem, com 47% hackeando para proteger e defender empresas e indivíduos de ameaças cibernéticas;
• Das 10 principais vulnerabilidades, a categoria de "divulgação de informações" ("information disclosure") teve o maior aumento em envios válidos, com um crescimento de 65% comparado com o ano passado. Embora ainda não seja uma das dez principais vulnerabilidades relatadas, os relatórios de configuração incorreta aumentaram 310% em 2020, impulsionados pela mudança para a nuvem provocada pela pandemia.

O relatório também discute um pouco o impacto da pandemia do Coronavírus no mercado de Bug Bounty:

• 38% dos pesquisadores passaram mais tempo hackeando desde o início da pandemia;
• 34% ganharam mais recompensas;
• 34% dos hackers disseram que viram mais bugs como resultado da transformação digital provocada pela pandemia.

Para saber mais:

• Hacking ético: Programas de bug bounty motivam aprendizado e estimulam hackers a protegerem negócios e pessoas
• Covid: White hat bounty hackers become millionaires
• The 2021 Hacker Report

• (Adicionado em 12/04): Veja essa matéria com dados da BugCrowd: How the Pandemic is Reshaping the Bug-Bounty Landscape