Cinco razões para não usar apps de mensagens no desktop

Muitas empresas, principalmente as pequenas, não usam sistemas especializado como Slack ou Microsoft Teams para comunicação instantânea entre os funcionários e, em vez disso, usam apps de comunicação instantânea comuns como WhatsApp, Telegram e Signal. E enquanto as pessoas preferem principalmente as versões móveis para uso pessoal, quando se trata de necessidades de trabalho, muitos instalam aplicativos de desktop sem pensar muito no quanto eles são seguros.

Em nosso post recente sobre vulnerabilidades na versão desktop do Signal, escrevemos que “o melhor conselho seria não usar a versão desktop do Signal (e as versões desktop de outros apps de mensagens instantâneas)”. Mas como não é imediatamente óbvio o porquê, aqui explicamos com alguns detalhes as falhas deste tipo de aplicação para desktop em termos de cibersegurança.

Observe que estamos falando de versões desktop de aplicativos de mensagens “civis” (como Telegram, WhatsApp e Signal) —, não de plataformas corporativas como Slack e Microsoft Teams, que são especialmente adaptadas para processos de trabalho (e como tal operam um pouco diferente e, portanto, não são abordados neste post).

1. App por fora, navegador por dentro

Uma das coisas importantes a entender sobre as versões de desktop dos mensageiros é que a grande maioria deles é construída na estrutura do Electron. O que isso significa é que esse programa, por dentro, é um aplicativo da Web que é aberto em um navegador Chromium incorporado.

Na verdade, esse é o principal motivo pelo qual o Electron é tão popular entre os desenvolvedores de versões de desktop de messengers: a estrutura torna mais rápido e fácil criar aplicativos executados em todos os sistemas operacionais. No entanto, isso também significa que os programas criados no Electron herdam automaticamente toda a gama de suas vulnerabilidades.

Ao mesmo tempo, é preciso entender que, devido à sua incrível popularidade, o Chrome e o Chromium estão sempre em destaque. Os cibercriminosos descobrem regularmente vulnerabilidades neles e criam exploits prontamente com descrições detalhadas de como usá-los. No caso do navegador Chrome autônomo normal, isso não é um problema tão grande: o Google responde muito bem às informações sobre vulnerabilidades e lança patches regularmente. Para ficar seguro, você só precisa instalar atualizações sem enrolação. Mas quando se trata de programas baseados no Electron, o navegador incorporado recebe uma atualização apenas quando os desenvolvedores lançam uma nova versão do aplicativo.

Então, com o que terminamos? Se seus funcionários usam aplicativos construídos no Electron, isso significa que eles têm vários navegadores em execução em seus sistemas para os quais as falhas aparecem regularmente. Além disso, nem você nem eles podem controlar as atualizações desses navegadores. Quanto mais aplicativos como este houver, maiores serão os riscos associados. Portanto, seria sensato pelo menos limitar o número de messengers “civis” usados ​​para fins de trabalho na empresa.

2. Pergunta-chave

Um dos maiores atrativos dos mensageiros modernos é o uso de criptografia de ponta a ponta; isto é – a decodificação de mensagens precisa das chaves privadas dos participantes do chat, que nunca saem de seus dispositivos. E enquanto ninguém mais souber as chaves de criptografia, sua correspondência estará protegida com segurança. Mas se um invasor obtiver a chave privada, ele poderá não apenas ler sua correspondência, mas também se passar por um dos participantes da conversa.

E é aqui que aparece o problema com as versões desktop dos apps de mensagens instantâneas: eles armazenam as chaves de criptografia no disco rígido, o que significa que podem ser facilmente roubadas. Claro, um invasor deve obter acesso ao sistema de alguma forma, digamos – por meio de malware, mas isso é perfeitamente possível no caso de sistemas operacionais de desktop. Quanto aos móveis, seus recursos arquitetônicos tornam o roubo de chaves de criptografia muito mais difícil – especialmente remotamente.

Em outras palavras, usar a versão para desktop de um messenger aumenta de forma automática e significativa o risco de que a chave de criptografia e, portanto, a correspondência de trabalho, caiam em mãos erradas.

3. RATs no chat

Vamos supor que tudo corra bem e ninguém (ainda) possua a chave de criptografia de nenhum de seus funcionários: isso significa que toda a troca de mensagens de trabalho está sã e salva, certo? Não exatamente. Os cibercriminosos podem usar ferramentas de administração remota, bem como trojans de acesso remoto (ambos compartilham o mesmo acrônimo em inglês: RAT) para colocar as mãos na correspondência de trabalho. A diferença entre eles é bastante simbólica: tanto ferramentas legítimas quanto trojans ilegais podem ser usados ​​para fazer muitas coisas interessantes com seu computador.

Os RATs representam ameaças contra as quais os clientes de apps de mensagens instantâneas para desktop, ao contrário de suas versões mobile, são praticamente indefesos. Esses programas permitem que até invasores inexperientes obtenham o conteúdo da correspondência secreta. Em um messenger rodando em um desktop, todos os chats já são descriptografados automaticamente, então não há necessidade de roubar as chaves privadas. Qualquer pessoa no modo de área de trabalho remota pode ler suas trocas de informação, mesmo que elas sejam realizadas no messenger mais seguro do mundo. E não apenas ler, mas também escrever mensagens no chat do trabalho se passando por funcionário da empresa.

Além disso, as ferramentas de administração remota são programas totalmente legítimos, com todas as consequências decorrentes. Em primeiro lugar, ao contrário do malware, que deve ser obtido em algum canto escuro da Internet, eles podem ser encontrados e baixados online sem nenhum problema. Em segundo lugar, nem toda solução de segurança avisa o usuário se ferramentas de acesso remoto forem encontradas em seu computador.

4. O que tem aí dentro?

Outro motivo para evitar o uso de aplicações de desktop de mensageiros populares é o risco de que eles possam ser usados ​​como um canal adicional descontrolado para enviar arquivos maliciosos aos computadores de seus funcionários. Claro, você pode ser vítima de um em qualquer lugar. Mas no caso de anexos de e-mail e, mais ainda, arquivos baixados da internet, a maioria das pessoas está ciente do perigo potencial. Mas os arquivos recebidos em um mensageiro, especialmente aquele marcado como seguro, são vistos de forma diferente: “o que pode dar errado aqui?” Este é especialmente o caso se um arquivo veio de um colega: “não deve haver nada para me preocupar” é o pensamento mais comum.

As vulnerabilidades encontradas na versão desktop do Signal relacionadas a como o mensageiro lida com arquivos (descrito em nosso post recente) servem de exemplo. A exploração dessas vulnerabilidades permite que um invasor distribua silenciosamente documentos infectados para participantes de conversas, fingindo ser um desses participantes.

Este é apenas um cenário hipotético que sugere recursos técnicos avançados do invasor. Outros também não podem ser descartados: de correspondências em massa com base em bancos de dados roubados a ataques direcionados usando engenharia social.

Novamente, os sistemas operacionais mobile são mais bem protegidos contra malware, portanto, esse problema é menos grave para usuários de apps de mensagens instantâneas para dispositivos móveis. Seus equivalentes de desktop apresentam um risco muito maior de atrair algum tipo de malware para o referido computador desktop.

5. Deveríamos ter armas contra esse tipo de coisa

Once again, this is far less of a problem on mobile devices. They’re harder to infect with malware, and fewer important files are stored there. Plus, lateral movement in the corporate network following a successful attack on a mobile device is unlikely to have the same devastating consequences.

Mais uma vez, isso é muito menos problemático em dispositivos mobile. Eles são mais difíceis de infectar com malware e menos arquivos importantes são armazenados lá. Além disso, é improvável que o movimento lateral na rede corporativa após um ataque bem-sucedido a um dispositivo mobile tenha as mesmas consequências devastadoras.

Um mensageiro de desktop em um computador de trabalho fornece um canal de comunicação que não é apenas incontrolável pelo administrador da rede, mas totalmente protegido contra suas ações; e desse estado de coisas algo muito desagradável poderia emergir.

Prevenir é melhor do que remediar e procurar culpados

Terminamos basicamente onde começamos: como mencionado na introdução, a melhor dica é não usar versões desktop de aplicativos de mensagens instantâneas. Se por algum motivo isso não for uma opção, pelo menos tome as precauções básicas:

• Certifique-se de instalar o software de segurança nos dispositivos de trabalho. Na verdade, essa é a única maneira de se proteger contra as coisas desagradáveis ​​que podem se infiltrar pelos messengers na rede da sua empresa.
• Se seus funcionários usam mais de um mensageiro para trabalhar, tente interromper essa prática. Escolha um e abandone o resto.
• Além disso, acompanhe as ferramentas de acesso remoto instaladas e usadas nos dispositivos de trabalho.
• Falando nisso, nosso Kaspersky Endpoint Security Cloud tem um recurso Cloud Discovery, que rastreia as tentativas dos funcionários de usar serviços em nuvem não autorizados.

E para tornar todas essas medidas mais eficazes e, ao mesmo tempo, demonstrar sua absoluta necessidade, seria útil fornecer treinamento de segurança da informação para os funcionários.