[Segurança] Como funcionam as quadrilhas cibernéticas

Em um evento recente nos EUA, o FBI apresentou como estão organizadas as principais quadrilhas que cometem os crimes cibernéticos.

Segundo o FBI, as organizações criminosas estão operando eficientemente e com grande produtividade assim como as empresas comuns, além de contar com diversas funções especializadas, dividindo o trabalho criminoso entre vários especialistas. Além disso, as maiores organizações operam durante todo o dia, todos os dias da semana.

Segundo o FBI, as principais funções desempenhadas dentro dessas novas gangs podem ser divididas em:

• Programadores ("Coders"), quem escreve os códigos maliciosos (malware) e exploits que são utilizados pelo grupo para invadir os computadores das vítimas e obter seus dados. Também podem criar phishing e sites falsos. Há muitos programadores auto-didatas ou que compram kits prontos para criação dos códigos maliciosos.
  
• Os Distribuidores ("Distributors") que comercializam os dados roubados ou qualquer outro tipo de serviço ou ítem que a quadrilha necessite. Eles podem atuar em fóruns underground específicos.
  
• Técnicos ("Tech experts"), que mantém a infra-estrutura de informática do grupo, incluindo computadoes, servidores, bancos de dados, etc.
  
• Os "Hackers", que buscam e exploram as vulnerabilidades de sistemas, distribuem os códigos maliciosos e phishings, etc.
  
• Fraudadores, ("Fraudsters"), normalmente quem trabalha mais com engenharia social, criando e distribuindo esquemas de phishing e spam.
  
• Provedores ("Hosted systems providers"), que oferecem (intencionalmente ou não), os sistemas para as gangs hospedarem seus conteúdos ilícitos e disponibilizarem na Internet. Inclui sites falsos, bancos de dados para armazenarem as credenciais roubadas, servidores para controlar as máquinas infectadas (C&C), etc. Quando a empresa oferece estes serviços com a intenção de ajudar os criminosos, chamamos de "Bullet Proofing Hosting", pois eles fornecem servidores "a prova de investigações".
  
• "Cashiers", quem controla as contas bancárias utilizadas pelos criminosos para obter o dinheiro roubado.
  
• Os "laranjas", "mulas" ou "money mules", quem recebe as transferências fraudulentas realizadas a partir das contas das vítimas e retira o dinheiro roubado, ou o repassa para as contas dos criminosos. São normalmente os primeiros a serem pegos, pois correspondem ao momento em que o grupo consegue materealizar a fraude. É a operação mais fácil de ser rastreada pela polícia.
  
• Segundo o FBI ainda há os "Tellers" (caixas), que são remunerados por transferir e lavar o dinheiro obtido ilegalmente, as vezes usando dinheiro virtual. Muitas vezes este papel também é feito pelo "laranja" (acima).
  
• Por fim, há os Líderes ("Organization Leaders"), os chefes das quadrilhas, quem organiza os trabalhos, contrata os demais criminosos e escolhe os alvos.

É interessante comentar que nem todas as gangs possuem todos estes tipos de função bem divididinhas. As vezes uma mesma pessoa cuida de vários aspectos/funções ao mesmo tempo (por exemplo, é muito comum ter uma pessoa só fazendo o aspecto técnico do trabalho, de criar o phishing, obter os dados e realizar as transações para a conta-corrente do laranja). Além do mais, praticamente todas estas funções correspondem a serviços que podem ser contratados no mercado underground. Há centenas de criminosos vendendo serviços como "produção de vírus", vendendo conjuntos de dados roubados, alugando os serviços de laranja ou oferecendo lavagem de dinheiro.

Assim, uma gang cibernética pode ter apenas um membro, ou até mesmo dezenas de comparsas. Há também os "ladrões de galinha cibernéticos", ou seja, aqueles que fazem todo o trabalho por conta própria ou em pequenos grupos (normalmente amigos ou parentes), de forma simples, auto-didata e sem grande sofisticação.

[Cyber cultura] 25 anos de Internet

Há exatos 25 anos atrás, em 15 de março de 1985, uma empresa fabricante de computadores registrou o primeiro domínio .com da história: symbolics.com. Hoje a Internet já faz parte do nosso dia-a-dia. Atualmente cerca de 1.7 bilhões de pessoas (cerca de 1/4 da população na Terra) acessam os mais de 192 milhões de sites (nomes de domínio, para ser exato) existentes na Internet. Destes, mais de 80 milhões de sites usam o final ".com", dos quais 11.9 milhões são sites de e-commerce e de empresas.

Não temos mais amigos, temos "contatos". Nossos amigos não são mais pessoas, eles viraram endereços de e-mail e "perfis". Eles não moram em casas, habitam sites e listas de contatos. Não temos mais "rodas de amigos", temos "redes sociais". Ainda uso cartão de visita, mas prefiro o LinkedIn. Esqueça o buteco e o "happy hour", agora encontramos nossos amigos em comunicadores instantâneos, páginas de blog, sites de redes sociais e no tal do Twitter. Não conversamos mais... nós nos comunicamos e trocamos e-mails e recados ("scraps"). O ladrão virou hacker, diário virou blog, jornal virou site, fofoca virou "tuíte", ou "tweet". O velho álbum de fotografia já foi aposentado e está online, em sites e redes sociais. O vinil virou MP3, a foto jpg, o livro pdf (isso dá quase uma poesia). Eu não dou mais risada, eu uso "emoticon" :) Empresa virou site .com, e isso já faz um tempinho. E o mundo está virando um grande cyber espaço.

O site oficial do aniversário dos domínios .com, www.25yearsof.com , tem um vídeo interessante na página inicial que mostra os principais fatos nestes últimos anos, e tem uma página que conta resumidamente um pouquinho da história. Além disso, a BBC publicou recentemente um infográfico muito legal, chamado Mapping the growth of the Internet, que mostra o crescimento da rede no mundo todo, desde 1998.

Ah, segundo um site de notícias, a Symbolics, a primeira companhia ".com", faliu e o domínio foi comprado em 2009 por uma empresa que compra e vende domínios.

OBS: Texto atualizado para incluir a quantidade de de pessoas que usam a Internet.

[Segurança] Os perigos no Twitter

A empresa de segurança Barracuda Networks lançou nesta semana um relatório que, dentre outras coisas, faz uma análise muito interessante sobre o Twitter.

Segundo o "Barracuda Labs 2009 Annual Report", após analisar mais de 19 milhões de contas no serviço de microblogging, a empresa identificou algumas coisas bem interessantes:

• Somente 21% dos usuários do Twitter são verdadeiros
  
• 49% dos usuários entraram no Twitter durante o que o relatório chama de "Twitter Red Carpet Era", um período de grande crescimento de Novembro de 2008 a Abril de 2009, quando o crescimento mensal teve um pico de 21.17% (em Abril 2009).
  
• Durante a maior fase de crescimento, a "Twitter Red Carpet Era", a quantidade de crimes via Twitter cresceu 66%. Diversas contas foram utilizadas para fins maliciosos, como enviar links que direcionavam para sites com códigos maliciosos (vírus, trojans, etc).
  
• Uma em cada 8 contas criadas no Twitter tem objetivo criminoso ou suspeito.

O site Geek lembra que "o grande público do serviço é um chamariz irresistível para os mal-intencionados".

[Segurança] Conhecendo um hacker russo

A BBC news publicou uma reportagem interessante, chamada "Inside the mind of a Russian hacker" ("Por dentro da mente de um hacker russo") onde entrevistaram um jovem especialista em segurança da informação, considerado um "hacker reformado".

Para proteger a identidade do entrevistado, a reportagem conta com o tradicional "criminoso com voz de pato". Andrei é um jovem de 20 anos, que trabalha para uma empresa de segurança local. Ele começõu a "hackear" quando aos 14 anos, e invadiu sites militares, como do exército americano e de alguns departamentos russos. Como normalmente acontece com pessoas como ele, Andrei disse que foi motivado pela curiosidade e não vê nada de errado com o que ele fez ao invadir sistemas, pois ele não obteve dinheiro com isso. Hacking para ele, assim como para muitos outros por aí afora, é motivado pelo desafio técnico e pela emoção.

"Hacking is an art, the art of breaking-in"

Seguem alguns outros comentários interessantes da reportagem:

• A Rússia é uma nação de "super-hackers", os mais sofisticados do mundo. Ataques russos são mais profissionais, o design dos códigos maliciosos é mais complicado e mais técnico.
  
• Quando Andrei começou a hackear, ele era constantemente abordado por pessoas que ofereciam dinheiro para contratar seus "serviços". Inicialmente, eram amigos e parentes que queriam invadir contas de e-mail ou destruir sites. Em seguida, a coisa se tornou mais séria, quando pessoas queriam que ele infectasse um grande número de usuários que eram clientes de um determinado banco, para que pudessem usar seus computadores para transferir dinheiro.
  
• A Polícia cibernética da Rússia alega ter descoberto mais de 7.000 crimes informáticos nos últimos nove meses.
  
• Andrei estima que haja pelo menos uma centena de hackers russos ativos.
  
• Por fim, Andrei diz que abandonou o hacking criminoso e agora presta serviços de segurança na Internet. Segundo ele, "Ainda é pirataria, mas porque eu sou pago que me dá mais prazer. É melhor do que hackear ilegalmente - e por nada".

Assim como citado pela BBC, é muito comum ouvirmos relato de criminosos que procuram "hackers" para ajudá-los a realizar crimes via Internet. E eu tenho visto várias pessoas que começaram na área de segurança hackeando sistemas e depois partiram para a profissionalização como consultores de segurança. Isto é muito comum hoje em dia, principalmente depois do surgimento dos serviços de "Teste de Invasão" (ou "Penetration test", ou "Pentest"), que exigem do profissional um elevado conhecimento técnico que também envolve ferramentas e técnicas de invasão. Assim, abriu-se um grande mercado "legal" para uma atividade que antes era mais ativa no submundo.

Atualização em 16 de Março: A BBC também publicou um vídeo curto com o "behind the scenes" do documentário, onde a repórter Sarah Rainsford contou como elafez a entrevista e compartilhou vários comentários interessantes sobre o que ela viu e apreendeu.

[Segurança] Primeira reportagem sobre virus de computador

Recentemente eu vi no YouTube ó vídeo abaixo, que diz ser a primeira reportagem sobre virus de computador, que foi ao ar em 1990 pela TV Cultura. A reportagem fala sobre o vírus Michelângelo, que era um vírus que atuava somente no dia do aniversário do pintor, dia 06 de março de qualquer ano (neste dia ele apagava todos os arquivos do computador infectado). Segundo o apresentador do jornal, este é um dos 1.200 vírus conhecidos. Ou seja, na época haviam "apenas" 1.200 vírus conhecidos, sendo que hoje em dia são criadas mais de 1.400 novas ameaças por hora (na verdade deve ser muito mais do que isso, pois este é um dado de 2009). Hoje em dia soa extremamente non-sense a dica de proteção inocentemente oferecida no final da reportagem: manter o computador desligado no dia 06 de março.




Na década de 90 haviam vários vírus que chamávamos de "bomba relógio" (do inglês "time bomb"), pois eles entravam em ação em datas específicas. Os mais famosos foram o vírus Michelângelo e o "Sexta-feira 13" (que entrava em ação toda sexta-feira que caísse num dia 13). O engraçado é que, na época, algumas empresas e revistas criavam "calendários de vírus", que mostravam que vírus estavam programados para atacar os computadores em cada dia do ano.

Os vírus de computador surgiram em 1986. O primeiro vírus que eu vi foi no final dos anos 80 e se chamava "Ping Pong", pois ele apenas fazia aparecer uma bolinha que ficava pulando na tela - algo extremamente inofensivo. E era super fácil removê-lo, nós simplesmente editávamos o setor de boot do disquete e apagávamos o vírus (na verdade, apagávamos o setor de boot, sobrescrevendo-o com uma sequencia de zeros). Algum tempo depois começaram a surgir os softwares anti-vírus. A propósito, alguns anos depois eu tive aula com o professor Marco Gubitoso (Gubi), que criou em 1989 a vacina para o Ping Pong, reconhecido como um dos primeiros vírus a se espalhar pelo Brasil.

[Cidadania] Campanha AIDES Graffiti

Recentemente eu vi no twitter uma excelente dica para o vídeo "AIDES Graffiti" abaixo, uma divertida campanha francesa de proteção contra a AIDS.



A dica para este divertido vídeo de conscientização foi publicada no blog Garotas de Propaganda, que publicou o seguinte comentário:

"Finalmente uma maneira nova de defender o uso da camisinha como a principal forma de proteção à Aids, sem colocar pessoas morrendo ou gente que perdeu alguém para a doença."

[Segurança] Segurança em Cloud Computing

Na semana que vem, o IDETI vai realizar a 2ª edição do Seminário de Cloud Computing em São Paulo. O evento vai acontecer no dia 02 de março e contará com palestras de diversos profissionais da área, eu inclusive.

Nesta edição eu irei apresentar uma nova versão do meu material sobre riscos e estratégias de mitigação relacionados a tecnologia de Cloud Computing. Desta vez eu quero da um enfoque maior aos riscos que eu considero serem exclusivos dessa tecnologia. Ou seja, dos diversos tipos de ameaças ou problemas potenciais que a idéia de Cloud Computing pode apresentar, alguns deles já estão presentes no dia-a-dia das empresas (por exemplo, o risco de vazamento de dados por causa de um controle de acesso mal feito ou uma senha fraca), e portanto os profissinais já devem estar acostumados a identificá-los e a lidar com essas ameaças.

Porém, da mesma forma que Cloud Computing agrega conceitos e tecnologias existentes para criar um modelo de negócio totalmente novo para a área de TI, ele também traz alguns riscos e ameaças totalmente novos, que provavelmente muitas empresas sequer conseguiriam identificar. Por exemplo, poucas empresas jamais precisariam se preocupar com a localicação geográfica de seus dados antes de adotar uma solução baseada na nuvem. Quando a empresa começa a utilizar um serviço oferecido por um provedor no modelo Cloud Computing, a aplicação e seus dados estão sob responsabilidade desta empresa, que pode ter seus sistemas localizados, fisicamente, em qualquer lugar do mundo. Assim, a empresa passa a ser susceptível a legislações de outros países ou até mesmo a ameaças locais dominantes em determinados países. Por exemplo, vários países são mais susceptíveis a ataques de Distributed Deny of Service (DDoS) do que o Brasil. Estados Unidos, alguns países Europeus e Asiáticos sofrem com este tipo de ataque em uma frequencia muito maior que nós, brasileiros. E este é só um pequeno exemplo.

[Cyber cultura] A Internet em Números

Este é um vídeo excelente que mostra de uma forma agradável quais são os principais números da Internet, como a quantidade de domínios e bloggers, emails e mensagens de spam enviados, informações sobre as principais redes sociais e um mapeamento das redes sociais mais utilizadas por país.


JESS3 / AIGA Baltimore lecture from Jesse Thomas on Vimeo.
Além disso, o site Pingdom publicou em janeiro uma relação atualizada com os principais dados estatísticos da Internet em 2009. A maioria dos dados são semelhantes aos do vídeo acima, mas de qualquer forma esta é uma ótima referência e uma lista bem interessante. Abaixo, eu destaco alguns desses números:

• 90 trillion – The number of emails sent on the Internet in 2009.
  
• 247 billion – Average number of email messages per day.
  
• 81% – The percentage of emails that were spam.
  
• 1.73 billion – Internet users worldwide (September 2009).
  
• 234 million – The number of websites as of December 2009.
  
• 81.8 million – .COM domain names at the end of 2009.
  
• 126 million – The number of blogs on the Internet (as tracked by BlogPulse).
  
• 1 billion – The total number of videos YouTube serves in one day.
  
• 148,000 – New zombie computers created per day (used in botnets for sending spam, etc.)
  

Faltou mencionar, dentre todos estes dados, que o Facebook já atingiu a incrível marca de 400 milhões de usuários ativos, uma quantidade de pessoas maior que a população americana, o terceiro maior país do mundo.



Algumas destes dados sobre redes sociais eu costumo mencionar em minha apresentação sobre Aspectos de Segurança em Redes Sociais.

[Segurança] Vídeo mostra dispositivo para roubar cartões

A rede Record exibiu recentemente uma reportagem que mostra como uma gang conseguia roubar cartões de débito de clientes em um caixa eletrônico em São Paulo. O vídeo mostra o dispositivo colocado na leitora de um caixa eletrônico, que prendia os cartões dos clientes. O equipamento, com um pequeno saco, "engolia" os cartões em um caixa eletrônico de uma agência bancária na Lapa. Segundo a reportagem, o aparelho dos criminosos também registrava as senhas digitadas pelos clientes. Além disso, os bandidos conectaram um celular ao aparelho telefônico localizado dentro do caixa para obter mais dados dos clientes que tentassem falar com o banco.

Com os cartões roubados e os dados capturados, os bandidos poderiam facilmente sacar dinheiro das vítimas. Segundo estimativas de uma empresa do setor, a clonagem de cartões e outros tipos de golpes causaram um prejuízo de pelo menos R$ 39 milhões ao mercado de cartões no Brasil durante 2009. Por isso, devemos tomar muito cuidado ao utilizar o cartão de débito em caixas eletrônicos.

O vídeo da reportagem (abaixo) é curto e mostra muito bem como estes dispositivos funcionavam.





As principais dicas para que as pessoas evitem se tornar vítimas de golpes contra seus cartões são bem conhecidas, mas não custa repetir:

• Antes de utilizar os caixas eletrônicos, observe atentamente se eles aparentam estar funcionando normalmente. Desconfie se´a maioria dos equipamentos estiver desligada ou em manutenção e apenas um deles estiver operando normalmente.
  
• Veja também se todos os equipamentos são semelhantes e se todas as peças parecem estar devidamente conectadas.
  
• Desconfie se o equipamento do banco pedir suas informações em uma uma ordem diferente da normalmente solicitada para realizar as operações (por exemplo, solicitando diversos dados que normalmente não pede).
  
• Quando for digitar suas senhas no teclado do caixa eletrônico, tente tampar a sua mão com algum papel ou mesmo com a carteira, para evitar que alguém descubra sua senha vendo (ou filmando) as teclas que está pressionando.
  
• Jamais aceite ajuda de estranhos para realizar as transações no caixa eletrônico. Eu sou paranóico: Desconfie até mesmo de funcionários ou policiais uniformizados que estejam andando próximo aos caixas. Se precisar de ajuda, entre na agência e procure um funcionário

O mais importante é que normalmente os criminosos estão próximos do local do crime, prontos para retirar seus dispositivos com os dados roubados. Logo, se você identificar um dispositivo estranho em um caixa eletrônico, saia imediatamente do local e ligue para a polícia quando estiver longe. Não tente bancar o herói.

Nota: texto atualizado as 6:30pm para incluir a estatística de fraudes e as dicas.

[Cybercultura] Quando o Carnaval esvazia a Internet

Na semana passada os internautas brasileiros perceberam uma grande lentidão na madrugada do dia 18 (quinta-feira) para o dia 19 (sexta), causada pela falha em um cabo submarino que interliga uma parte da Internet brasileira com o mundo. Mais especificamente, a falha foi em um cabo que liga o backbone da RNP (Rede Nacional de Pesquisas) em São Paulo até Miami. Uma notícia da Info Online mostrou os dados de tráfego obtidos de um monitor online disponível no site da RNP, que mostra o momento em que a conexão fornecida pela Global Crossing enfrentou uma queda abrupta que durou, aproximadamente, das 22h até as 6:00 da manhã do dia seguinte.

Mas, na minha opinião, o mais interessante foi analisar as estatísticas disponíveis no site da RNP e perceber que há uma grande queda no tráfego internet durante o período do Carnaval, o que mostra que mesmo os internautas não resistem e dão uma pausa no feriado.

O gráfico abaixo foi retirado hoje do site da RNP, que mostra o tráfego de dados mensal do link com Miami. Nele, é possível ver a quantidade de dados trafegado nas últimas quatro semanas. Como a maior quantidade de dados trafegados pela Internet ocorre durante o dia, de segunda a sexta, é fácil identificar os dias da semana no gráfico (e os sábados e domingos são marcados por um volume muito menor de dados). Claramente, cada "morrinho" no gráfico corresponde a um dia da semana, com 5 picos que representam o volume de dados trafegado nesse link Internet de segunda a sexta, durante o dia. Assim, se olharmos bem, podemos achar facilmente o tráfego de dados na semana do Carnaval.

Marcado como "Week 7", a semana do Carnaval começa com um volume de tráfego na segunda e terça equivalente ao período de sábado e domingo (o período com quatro pequenos picos de tráfego aparece claramente no quadro), seguido por um volume de dados um pouco maior na quarta-feira de cinzas. O link Internet volta ao normal na quinta e sexta-feiras após o Carnaval, representado por dois picos mais altos que antecedem dois picos baixos, do final de semana seguinte.

Não há como negar, o Brasil realmente para durante o Carnaval. Seja no mundo físico ou no virtual; seja nas ruas, nas lojas ou na Internet.