Nesta semana, ainda estamos falando sobre a vulnerabilidade Heartbleed no OpenSSL; a Apple resolveu um problema de criptografia em ambos sistemas operacionais iOS e OSX; a AOL e seus clientes sofreram um sério incidente de segurança e o servidor da Universidade do Estado de Iowa foi hackeado por cibercriminosos que procuravam explorar os recursos de computação da universidade para obter Bitcoins.
A Saga Continua
Havia – como sempre – muito discussão sobre a amplitude e a gravidade do bug Heartbleed no OpenSSL. Muito do dos debates gira em torno das perspectivas a longo prazo para o sistema de certificado digital que constitui essencialmente a confiança na Internet, bem como a eficácia e as armadilhas de criptografia. No entanto, esta semana foi diferente, pelo menos um pouco das anteriores, em que parece ser a primeira vez que as empresas realmente começaram a procurar maneiras de evitar que esses erros avancem.
Uma nova colaboração, conhecida como Iniciativa de Infraestrutura Básica, reuniu os seus recursos, a fim de construir um fundo multimilionário dedicada a apoiar projetos de código aberto vitais para a segurança da Web. O OpenSSL é o primeiro projeto em consideração a receber recursos, que estão sendo fornecidos principalmente pela Fundação Linux, Microsoft, Facebook, Amazon, Dell, Google e várias outras empresas de tecnologia. A Mozilla Corporation também está reagindo com um programa novo e especial que oferece recompensa de 10 mil dólares para quaisquer pesquisadores que possam encontrar uma vulnerabilidade de segurança grave na nova biblioteca de verificação do certificado que pretende adicionar ao navegador Firefox versão 3.1 ainda neste ano.
A Apple Fixes SSL no iOS, OSX
A Apple lançou correções para uma séria falha de segurança que estava presente em muitas versões de ambos os sistemas operacionais iOS e OSX. A vulnerabilidade pode dar a um invasor a capacidade de interceptar dados de conexões SSL supostamente criptografados. Em outras palavras, o erro poderia permitir que um invasor tivesse acesso ao conteúdo das mensagens e outras informações confidenciais.
O bug é um dos muitos que a empresa de informática Cupertino, na Califórnia identificou em seus dois sistemas operacionais primários. Embora talvez não seja tão grave, essas falhas de criptografia estão entre as várias vulnerabilidade que tem importância. Então, se você está trabalhando (ou jogando) com qualquer produto Mac, você deve ir até a App Store e instalar as atualizações do sistema operacional da Apple o mais rápido possível.
Normalmente silencioso, a AOL volta a aparecer
Não sei o que a participação da AOL no mercado de provedores de e-mail é nos dias de hoje (e acredite em mim, eu verifiquei), mas um número desconhecido de contas de usuários do AOL Mail foram “falsificadas” esta semana. Uma vez comprometida, o cibercriminosos ou botnet responsável começou a injetar spam nos contatos das contas comprometidas. A AOL confirmou que está ciente da ataque – embora a AOL não esteja chamando o incidente de uma ação fruto de um hacker – , mas não está claro quantas contas de usuários foram afetados nem está claro o quanto de spam foi enviado. Curiosamente, a AOL está afirmando que é pouco provável que as contas de e-mail tenham sido comprometidas, dizendo que é muito mais provável que as contas tenha sido falsificadas.
Como observou AOL, os ataques de spoofing são, basicamente, e-mails de spam que parecem vir da vítima, mas são tecnicamente provenientes contas de e-mail enviados através de spammers. Em outras palavras, a AOL diz que nenhuma conta foi hackeada em grande escala, mas sim que os cibercriminosos estão apenas imitando as contas de suas vítimas. Esta explicação não foi clara o suficiente para explicar como os cibercriminosos têm em suas mãos as listas de contatos das suas vítimas, o que significa que pode surgir mais informações mais em frente.
Trojans SMS nos EUA
O sistema operacional de plataforma móvel do Google continua a crescer em popularidade, o mesmo acontece com a tendência entre os cibercriminosos para o desenvolvimento de malware para atacar esta plataforma. O interessante é que até agora (ou seja desde os últimos dias), nossos amigos investigadores da Kaspersky Lab nunca tinham visto um Trojan SMS para Android direcionado aos usuários dos Estados Unidos. Isso, é claro, mudou com o surgimento de um trojan para Android conhecido como “Trojan-SMS.AndroidOS.FakeInst.ef” (FakeInst).
Como se já não fosse suficiente este “sucesso” nos Estados Unidos, o trojan FakeInst está atacando também usuários de outros 65 países. Como Unuchek observa, esta é uma ameaça móvel com ambições globaiis. Na verdade, o FakeInst é conhecido por ter atacado usuários na Alemanha, França, Finlândia, Hong Kong, Ucrânia, Reino Unido, Suíça, Argentina, Espanha, Polônia, Canadá, China e muitos outros países.
Se o Trojan SMS que afeta os usuários estadunidenses seguir a tendência dos outros trojans bancários dirigidos a Android, então você deve esperar para ver um pouco mais destes tipos de ameaças mais adiante.
Hackearam a Universidade Estadual de Iowa para … Bitcoins?
Isso mesmo. A Universidade Estadual de Iowa nos Estados Unidos foi hackeada e seu poder de computação foi utilizada para gerar Bitcoins. Bitcoins são um cripto-moeda digital que tiveram seus altos e baixos ao longo do último ano. Se você tem poder computacional suficiente, você pode usar esse poder para resolver problemas de algoritmos e gerar novos Bitcoins. Esse processo é conhecido como mineração Bitcoin e pode envolver uma grande quantidade de dinheiro. Como todos os crimes cibernéticos, os cibercriminosos seguem o dinheiro. A mineração Bitcoin maliciosa não é uma forma nova, mas este incidente é certamente emblemático na medida em que tem como alvo o poder de computação de uma instituição reconhecida de ensino superior. E isso não é tudo, o ataque também parece ter exposto os números de segurança social de cerca de 30 mil alunos do Estado de Iowa.
Tradução: Juliana Costa Santos Dias
Dicas