Menu da Revista Fechar Menu da Revista

malware

Últimas histórias

Use a inteligência de ameaças para encontrar a agulha certa no palheiro de dados de cibersegurança

  • min de leitura
    • De acordo com Benjamin Franklin, nada é certo na vida, exceto a morte e os impostos. E, nesta era de tecnologias avançadas, podemos incluir um novo fator inevitável: as ameaças cibernéticas. Antes de você tomar seu primeiro gole de café em uma manhã de segunda-feira, já pode haver em seu sistema uma nova ameaça capaz de causar grande impacto em sua infraestrutura e em seus dados. Você apenas não a encontrou ainda. Monitoramento ininterrupto de ameaças: fortalecendo seu Centro de operações de segurança Em um mundo onde as ameaças estão por toda parte, quais são as suas opções? Bem, se a continuidade dos negócios e a proteção de dados são prioridade para a sua empresa, você provavelmente já investiu ou está planejando ter um Centro de operações de segurança (SOC). O SOC monitorará as ameaças 24 horas por dia, de modo que você poderá confiar à sua equipe de segurança o monitoramento e a execução de ações para manter afastados os riscos mais significativos. Descanse tranquilamente. É hora de aproveitar aquele delicioso café quente. Bom, nem tanto. Se os dados são o novo petróleo, hoje nós vivemos as consequências de um derramamento. E a sobrecarga de dados é um problema tão grande para sua equipe de segurança de informações quanto para suas operações de marketing ou com clientes. Com o contínuo crescimento de dispositivos cada vez mais interconectados e da Internet das Coisas, é muito bom ter dados sobre as muitas ameaças que atingem seu perímetro. Mas saber diferenciar os falsos positivos e quais situações exigem ação imediata é como encontrar uma agulha envenenada em uma pilha de dados. Para encontrar e imunizar-se contra esse alerta específico em um milhão, você precisa da inteligência de ameaças. Por que você precisa da inteligência de ameaças? A inteligência de ameaças é a camada que traduz a observação das ameaças em saber quando e como agir. A Gartner define inteligência de ameaças como: Não estou discutindo isso. Mas não existem duas batalhas iguais contra as ameaças cibernéticas. Ao usar a inteligência de ameaças, você pode ligar os pontos entre os ataques relacionados para descobrir quem é o seu adversário e então ajustar sua estratégia de defesa para bloqueá-lo. Nós enfrentamos mais ameaças a cada dia. Desde que a Kaspersky foi fundada, em 1997, nós incluímos mais de 700 milhões de novos arquivos maliciosos, o que representa um crescimento de 8.400 vezes. Isso abrange desde ameaças diárias a commodities – malware conhecido facilmente detectável – até ameaças avançadas e ataques direcionados que usam as conhecidas táticas, técnicas e procedimentos (TTPs) e as raras, porém mortais, ameaças persistentes avançadas (APTs). Os dados formam uma imagem interessante, muitas vezes chamada de "pirâmide de ameaças". As ameaças triviais e conhecidas, como malware comum e outros, compõem 90% de todas as ameaças que observamos. As ameaças avançadas e os ataques direcionados representam 9,9%. Elas impactam principalmente pequenas e médias empresas (PMEs) e corporações com ataques como o malware do tipo cavalo de Troia Emotet, que está bastante ativo hoje em dia. Apenas 0,1% de todas as ameaças são APTs, que afetam poucas organizações, mas com consequências devastadoras. Essas são as agulhas mais envenenadas em nossa pilha de dados. Você precisa de uma estratégia, não de uma plataforma   A boa inteligência de ameaças é mais do que simplesmente comprar uma plataforma e esperar pelo melhor. Como toda prevenção cibernética eficaz, ela envolve um misto de tecnologia, estratégia e esforço. A boa inteligência de ameaças fornece insights para que você possa agir, incluindo desde alertas em tempo real de uma possível violação até ajuda para formar uma visão mais ampla para explicar aos altos executivos sobre os riscos contínuos. Por sua vez, isso indica o tipo de software e o investimento de você precisa para manter afastadas as ameaças. No nível básico, a inteligência de ameaças fornece alertas e bloqueio de indicadores de comprometimento (IOCs). Os alertas contextuais e o gerenciamento de assinaturas eletrônicas ajudam a determinar a validade e a gravidade dos ataques para elaborar sua abordagem de resposta a incidentes. Outro caso de uso é a análise de fusão, que reúne e avalia feeds de dados desconectados a fim de identificar as ameaças que representam perigo. Além disso, a inteligência de ameaças também fornece informações para sua estratégia de cibersegurança. Ao usar a inteligência relevante para sua postura de risco, o planejamento de segurança informa as decisões de arquitetura e ajuda a refinar seus processos de segurança para melhorar a defesa contra ameaças conhecidas. Se estiver trabalhando com um provedor de serviços gerenciados (MSP) para executar suas operações de segurança, pergunte como ele instalará e executará o serviço de inteligência de ameaças e quanto tempo e esforço serão necessários. Devido a sua natureza ininterrupta, não é fácil terceirizar esse serviço. Três pontos principais da inteligência de ameaças Ao planejar e comprar sua solução, você precisará de três componentes: Indicador de comprometimento (IOC) Os IOCs são a base da inteligência de ameaças. São evidências que podemos medir e reconhecer, como a febre que sinaliza externamente alguma doença no corpo. Existem muitos serviços de IOC. Para escolher o mais adequado, você deverá saber quais ameaças está mais propenso a enfrentar. Feeds de dados de ameaças Fornecem inteligência integrada após analisar os adversários e o amplo cenário de ameaças. Existem muitos no mercado, tanto pagos como gratuitos. Para escolher o mais adequado, pergunte-se: precisamos de um feed de dados de APTs, mesmo não sendo um alvo provável dos grupos de APTs? Qual é o melhor lugar na infraestrutura de TI para adicionar esses feeds? Devemos bloquear as ameaças ou apenas alertar a equipe? As respostas dependerão da postura de segurança e da estratégia de TI da sua organização. Plataforma de inteligência de ameaças Uma plataforma de inteligência de ameaças permite gerenciar uma série de softwares especializados que oferecem suporte a diferentes componentes. A sua escolha e como você integra os serviços depende do seu orçamento e de suas necessidades de negócios. Embora haja feeds de dados de código aberto, você pode comprar uma inteligência mais específica para um setor. É essencial verificar todos os detalhes ao comprar serviços de inteligência de ameaças para garantir que o fornecedor oferece um serviço responsivo, tanto em termos de qualidade dos feeds de dados quando de velocidade, se ele estiver fornecendo resposta a incidentes. Com um planejamento cuidadoso ao escolher um fornecedor e uma estratégia bem pensada, seu SOC poderá se beneficiar de toda a proteção e capacidade da inteligência de ameaças. As agulhas ainda estarão em sua pilha de dados, mas você terá ferramentas para encontrá-las e bloqueá-las.

O Coronavírus e a cibersegurança: como os governos devem reagir

  • min de leitura
    • O fato de grande parte da população mundial ter ficado em quarentena durante a pandemia do Covid-19 trouxe muitos benefícios para o mundo. Parece até estranho falar isso, mas além de minimizar a propagação do vírus, a quarentena também afetou outros processos: nos deu a chance de ver nossas cidades com menos poluição e fez com que as empresas percebessem que o trabalho remoto é uma alternativa viável. Tive a oportunidade de discursar sobre o atual crescimento das ameaças digitais e o quê podemos fazer para lidar com elas, em um encontro recentes de líderes mundiais sobre cibersegurança do Fórum de Governança Digital das Nações Unidas, conhecido como IGF.  Durante a pandemia, os criminosos digitais tiveram tempo o bastante para melhorar suas habilidades e testar novos métodos. Com isso, vimos uma forte alta no número de ameaças digitais de todos os tipos, desde malwares até ameaças avançadas persistentes (APTs). Novos grupos de hackers também entraram em cena, e com eles, novos tipos de ataques apareceram. Tirando a máscara dos criminosos Aqui está um exemplo da expansão que os ciberataques tiveram desde o início da pandemia. Somente em 2020, vimos um aumento de até 25% em novos ataques. A maioria dessas ameaças são fáceis de lidar, como os malwares. Mas também estamos vendo um aumento no número de gangues de cibercriminosos. Pesquisadores da Kaspersky estão monitorando atualmente mais de 200 gangues que têm lançado ataques minuciosamente planejados contra alvos importantes, como bancos e instituições governamentais. Também temos visto mais "iniciantes" entrando no mundo dos crimes digitais. Mas mesmo que seja facilmente barrada, a onda de juvenis dos crimes digitais promete ser uma classe altamente perigosa no futuro. Um dos maiores medos é justamente o potencial que essa nova escala de crimes digitais tem para danificar as infraestruturas de diversos países num futuro próximo. Com o crescimento da famosa Internet das Coisas, o número de pontos disponíveis para ataques digitais deve crescer exponencialmente, e sabemos que os criminosos digitais têm a capacidade e a vontade de atacar esses aparelhos. Um dos primeiros exemplos disso foi um dos maiores ataques globais já realizados, o ataque malware da Mirai, de 2016, que afetou a empresa provedora de domínios de internet Dyn, um ataque que derrubou centenas de sites de veículos de mídia ao redor do mundo. Como os governos devem responder ao novo cenário de ameaças digitais A pandemia teve dois impactos diferentes sobre a cibersegurança mundial. Primeiro, as pessoas se tornaram alvos mais fáceis para as ameaças digitais por estarem trabalhando de casa, com menos ferramentas de segurança, e passando cada vez mais tempo conectadas. Segundo, porque o número de criminosos digitais também aumentou e eles ainda tiveram a chance de melhorar suas habilidades durante a quarentena. Enquanto isso, o investimento na economia digital só aumenta. Muitos negócios decidiram usar a pausa nos mercados e os cortes da pandemia para digitalizar uma parte maior do seu funcionamento. Então estamos vivendo um momento no qual as organizações e seus consumidores ainda precisam se sentir confiantes sobre essas novas maneiras de comprar, vender e entregar produtos e serviços. É construindo essa confiança que as economias se fortalecem. Mas como chegar a esse ponto? Podemos listar três prioridades: Líderes mundiais discutem sobre cibersegurança internacional na edição 2020 do Fórum de Governança Digital das Nações Unidas.   1. Criar tecnologias mais seguras desde a origem   Podemos criar tecnologias muito mais difíceis e caras de invadir e penetrar, mas isso tem que ser feito desde o início, a partir da fabricação. Temos sistemas operando em dispositivos que já estão disponíveis no mercado e que são tão seguros que fomos obrigados a criar um novo termo para falar dessa categoria: "ciberimunidade". O termo se refere aos sistemas onde os ladrões têm que gastar mais para ter um ataque de sucesso do que o valor que provavelmente arrecadariam com o golpe. Ou seja, não vale a pena. Podemos usar esses sistemas para tornar algumas infraestruturas cruciais muito mais seguras e o momento para dar início a esse movimento é agora.   2. Aplicar leis de cibersegurança em escala internacional A cooperação internacional é crucial para caçar e prender criminosos digitais, mas parece que os países não estão indo rumo à cooperação e sim se distanciando cada vez mais. Precisamos de um espaço dentro da cibersegurança onde as nações possam cooperar de maneira segura, sem que questões políticas e geopolíticas entrem no caminho.   3. Uma cooperação de alto nível exige um entendimento de alto nível Para poder cooperar precisamos superar nossas diferenças, mas também precisamos de gente que entende de cibersegurança. É a vez dos "ciberdiplomatas" aparecerem: gente capacitada e atualizada sobre o movimentado cenário das ameaças digitais que assuma uma posição de liderança. A boa notícia para quem imagina um grupo de pessoas numa sala vendo uma apresentação entediante de Power Point é que a capacitação em cibersegurança se mantém a par dos avanços e inovações da ciência do aprendizado. Hoje existe gente aprendendo, por exemplo, por meio de simulações imersivas e gamificadas, como a Kaspersky Interactive Protection Simulation (KIPS), que tem se mostrado popular e eficiente. Enquanto o mundo se recupera do choque e dos impactos da pandemia do Coronavírus, temos que entender que muita coisa mudou, inclusive entre as ameaças digitais. Precisamos dar início a uma nova era de cooperação internacional para poder caçar os criminosos digitais. E precisamos que esses novos "ciberdiplomatas", aqueles que desenvolvem e aplicam políticas nacionais e internacionais de cibersegurança, entendam o cenário por completo e saibam o que estão fazendo. As gangues profissionais de criminosos digitais estão afiando suas habilidades. E por isso acredito que veremos os cibertaques crescendo no mundo todo e em todos os níveis, causando mais danos para os negócios e para as instituições. Felizmente, a tecnologia evolui para todos e nós também ganhamos novas ferramentas. E adotar sistemas ciberimunes pode ser o primeiro passo para que nações inteiras mantenham luz, água e internet funcionando durante os períodos de crise que vêm por aí.

Teste a eficiência de sua inteligência de ameaças

  • min de leitura
    • O ditado "peça, e você receberá" parece estar precisando de uma ou duas observações. Tenha certeza de que os móveis que está comprando não são para casas de bonecas. E você se lembra daquele poema, rosas são vermelhas; cebolinhas são verdes? Quem seria o feliz ganhador desta caneca "mágica" natalina? Nós nunca saberemos. A inteligência de ameaças também pode ser um caso de "entrega incorreta". Existem muitos produtos descritos como inteligência de ameaças, mas que não são. E talvez os clientes não percebam que não estão recebendo o que pediram. Então, como testar a eficiência da sua inteligência de ameaças? Inteligência de ameaças são dados analisados A inteligência de ameaças identifica e analisa as ameaças cibernéticas direcionadas à sua empresa. A palavra-chave é "análise". Isso significa examinar pilhas de dados, identificar problemas reais analisando o contexto e implementar uma solução específica para o problema. Muito frequentemente, ela é confundida com "dados de ameaças". Os dados de ameaças são uma lista de possíveis ameaças, sem análise de contexto ou soluções personalizadas. A inteligência de ameaças deve cativar sua equipe de segurança Era uma vez listas de bloqueio de IPs e URLs. Os primeiros produtos de segurança apenas consultavam essas listas de bloqueio para avisar sobre um IP ou URL perigoso. Com o tempo, a quantidade de dados de ameaças cresceu exponencialmente. Ficou difícil definir o que era e o que não era uma ameaça real. Os softwares de segurança não eram projetados para processar tantos indicadores de comprometimento, como somas hash de arquivos, domínios ou endereços de servidores de botnets maliciosos. Alguns produtos comercializados como inteligência de ameaças incluem feeds de ameaças e indicadores de comprometimento, mas sem nenhum contexto; são apenas enormes quantidades de dados brutos. Isso é um problema. O fornecimento dessa "inteligência" para as operações de segurança deverá gerar muitos alertas de segurança falsos. O excesso de alertas provoca um impacto grande sobre a segurança geral da sua empresa. Uma pesquisa mostrou que 52% dos alertas de segurança não são investigados. E os dados, apesar de relevantes, são inúteis, a menos que sejam contextualizados e possam servir para agir. Com a verdadeira inteligência de ameaças, uma equipe de segurança de informações pode interromper uma violação no início e proteger a rede ou perceber que trata-se apenas de um malware comum que não representa uma ameaça grave. A inteligência de ameaças deve indicar seu futuro A identificação de ameaças passadas ficou para trás. A inteligência de ameaças agora está focada na qualidade das fontes de dados. Não é suficiente que os dados apresentem insights, sem fornecer orientações para a tomada de decisões e ações. E quando a qualidade deles é limitada pela falta de fontes, como a não verificação na darknet, ou pela falta de alcance multilíngue global, esses dados não podem ser processados para fornecer uma inteligência de ameaças efetiva. A inteligência deve ser capaz de prever como a sua empresa deve se preparar para ameaças futuras e como combatê-las. A inteligência de ameaças deve se adaptar à sua organização Uma solução de inteligência de ameaças deve conseguir se adaptar às necessidades de segurança da organização. Ela deve orientar a organização na definição de pontos de coleta de dados internos relacionados a ativos críticos. Depois, deve correlacionar esses dados com a inteligência de ameaças externa para identificar as ameaças. Sem essa abordagem direcionada, não será possível priorizar as informações necessárias para defender ativos importantes. Helen Patton, diretora de segurança de informações da Ohio State University, disse em um artigo da Forbes de 2019, "as ameaças são ameaças somente no contexto do risco à própria empresa". A inteligência de ameaças pode ser usada para agir A inteligência de ameaças é algo que você pode usar para agir. Ela deve integrar várias fontes de informações às operações de segurança da organização, usando um único ponto de entrada. Para ser eficaz, a organização precisa usar a inteligência de ameaças legível por máquina e por humanos. Seus métodos e formatos de entrega devem permitir que ela seja integrada perfeitamente aos fluxos de trabalho de segurança existentes. Eles devem fornecer insights exclusivos sobre ameaças emergentes, de modo que as equipes de segurança possam priorizar alertas, maximizar recursos e acelerar a tomada de decisões. A inteligência de ameaças da sua organização passou no teste? Se não passou, está na hora de receber o que foi prometido.
how to ransomware factory

Como lidar com Ransomware: aprenda a deter e diminuir os impactos do mais comum dos ataques cibernéticos.

  • min de leitura
    • O sequestro de dados de um negócio exigindo um resgate (em inglês "ransom") tem se tornado uma forma de ataque cada vez mais comum. Uma pesquisa da Kaspersky mostrou que o volume desse tipo de ameaças aumentou 25% nos últimos três anos. Em 2019, o Breach Investigations Report, estudo realizado pela Verizon, também reafirmou essa informação: "Os ataques de ransomware têm se tornado tão comuns que já não chamam a atenção da mídia especializada, a menos de que aconteçam com empresas do alto escalão".   Essa estranha familiaridade pode fazer com que as pessoas deixem de se preocupar com eles, mas, na verdade, este é o momento ideal para que você comece a se planejar e pensar o que sua empresa pode fazer para prevenir e lidar com esse tipo de ataque tão comum.   O que são business ransomware? Não, não são aqueles e-mails de spam que afirmam ter seus dados pessoais. Um ransomware é um tipo de ataque sofisticado e envolve uma série de etapas.   Primeiro, os criminosos encontram uma forma de acessar um endpoint, que é uma porta de entrada para seu sistema. Geralmente, utilizam métodos como engenharia social ou phishing para obter as credenciais e senhas de alguém da sua equipe ou conseguem invadir por meio de um pen-drive infectado. Depois, inserem um malware no sistema que criptografa arquivos e pastas. Finalmente, o malware envia um aviso ao usuário dizendo que sua máquina está infectada e exigindo um resgate em troca daqueles arquivos.  Os criminosos têm o costume de estudar a infraestrutura do alvo para entender que bases de dados e diretórios são os mais importantes. Logo, eles combinam diversos produtos e serviços maliciosos para hackear o sistema pouco a pouco, em uma determinada ordem. Quando não são pagos imediatamente, os invasores costumam divulgar abertamente os dados sequestrados. As indústrias mais vulneráveis ao ransomware Mas, as brechas causadas pelo ransomware não costumam ser incidentes isolados. É bem comum que esse tipo de ataque aconteça quando há uma série de erros de segurança de TI ou práticas não-recomendadas na área. Se o seu negócio não oferece treinamentos e programas de conscientização sobre segurança digital ou tem atrasos nos sistemas de atualização e patching, os riscos se tornam ainda maiores.  Ataques ao alto escalão: o ransomware high-profile Criminosos digitais têm usado ransomware para atacar empresas gigantes nos últimos anos.  Eliminando os dados O maior ataque de todos os tempos, ou ao menos o mais caro para as vítimas, foi o ataque às gigantes da logística Maersk e FedEx, chamado de NotPetya (também conhecido como ExPetr). A invasão derrubou os sistemas de ambas por semanas e foi feito através de um worm, uma espécie de vírus que apaga dados, causando centenas de milhões de dólares em danos. Agora você vê, agora você não vê O ransomware LockerGoga foi outro ataque famoso e teve a companhia norueguesa de alumínio e energia renovável Norsk Hydro como vítima. O malware tinha uma estrutura muito avançada, com a habilidade de se autodeletar quando fosse detectado, para prevenir que os pesquisadores pudessem analisá-lo. Segundo a Norsk Hydro, o prejuízo causado não foi tão grande graças a um bom sistema de backups que a empresa mantinha, mas ainda assim as perdas chegaram a cerca de US$ 90 milhões. Um conto de 174 cidades. E contando... Ataques por ransomware a sistemas governamentais também estão em alta. Somente em 2019, criminosos digitais atacaram aproximadamente 174 prefeituras dos Estados Unidos via ransomware, cerca de 60 cidades a mais que no ano anterior. A cidade de Baltimore, por exemplo, uma das maiores do país, sofreu dois ataques em 2018 e 2019 que juntos custaram mais de US$ 18 milhões aos cofres públicos. Um dos ataques, inclusive, tirou do ar o sistema de resposta emergencial da cidade.   Nem todos os pacientes se recuperam  A empresa de seguros de saúde californiana Wood Ranch Medical anunciou que estava encerrando suas operações no final de 2019, como resultado de um ataque por ransomware. Isso porque o ataque havia criptografado tanto os registros médicos dos pacientes quanto os backups da empresa.  Como evitar um ataque de ransomware 1. Tenha as ferramentas certas para entender as vulnerabilidades  Seu departamento de segurança de TI precisa de ferramentas para investigar o que aconteceu em cada ataque e que partes da infraestrutura precisam ser atualizadas ou substituídas. Será que você não está executando um app ou ponto de acesso solto? Você tem pontos de rede abertos e não-monitorados? Os acessos escalonados a conteúdos restritos estão sendo monitorados? Entender e verificar as raízes de problemas significa saber sua postura de defesa, ou seja, o status de segurança da sua rede e dos seus dados, e a capacidade que você tem de defendê-los, reagir a qualquer tipo de mudanças e monitorar sua resposta a incidentes. 2. Fique atento ao patching e às atualizações Invasores hoje em dia vasculham a internet procurando por servidores e aplicativos desatualizados. Com isso, muitos ataques de ransomware acontecem rapidamente, apenas dias depois de que essas vulnerabilidades sejam detectadas pelos criminosos. Atrasos são convites a invasões. Por isso, para evitar ataques, assegure que seus programas de patching cubram todos os endpoints, tanto os físicos quanto aqueles na nuvem. 3. Teste regularmente seus procedimentos de recuperação e resposta  Faça o backup de dados essenciais e assegure que esses backups estejam intactos e sejam recuperáveis. Pratique os procedimentos de recuperação e desenvolva uma ordem correta para restabelecer os dados em caso de problemas e invasões. Identifique seus arquivos mais valiosos e garanta que eles estejam resguardados. E revise regularmente esta lista para ter certeza de que não esqueceu de nada. Backups de dados e procedimentos de recuperação devem ser o ponto de partida para qualquer plano de resposta emergencial. Esse plano deve incluir exercícios e treinamentos regulares e programados, tanto de "table top" (reuniões organizadas onde cada um cumpre um papel assinalado) até a resolução de problemas organizacionais e a simulação de ataques. Tudo isso pode ser utilizado para encontrar elos fracos e obstáculos que possam bloquear a volta da infraestrutura ao ar. Além de tudo, seu plano de resposta também deve considerar um seguro digital para te proteger em casos de vazamento. Pesquise com cuidado as opções para saber qual é a cobertura ideal para o seu negócio. 4. Melhore seu programa de segurança e a média de segurança das suas senhas  Senhas fracas foram a causa de cerca de um terço de todos as tentativas de ransomware em 2019.  Realizar treinamentos regulares sobre cibersegurança é a melhor maneira de ajudar os usuários a melhorar a intensidade das suas senhas. Instale um gerenciador de senhas para toda a empresa ou uma ferramenta de verificação pessoal e ponha no ar um sistema de autenticação de múltiplos fatores (MFA) para usuários que lidem com dados privados e tarefas relacionadas a dinheiro.  O quê fazer se seu negócio for atacado por um ransomware Ao aumentar sua segurança, será mais difícil que você fique a mercê de um sequestro de dados. Ainda assim, você faz um favor para sua empresa ao se preparar para caso isso aconteça. 1. Planeje meios de comunicação alternativos Vítimas de ransomware muitas vezes ficam incomunicáveis porque sistemas como o e-mail, chamadas telefônicas e mensagens de texto podem estar afetados pela invasão. Por isso, inclua formas alternativas de comunicação na sua empresa dentro dos planos de emergência, como WhatsApp, Skype ou SMS, mas tenha em mente que esses tipos de sistema também não costumam ser os mais seguros. 2. Defina se você está disposto a pagar um possível resgate Caso a resposta seja "sim": Nos EUA, o FBI têm suavizado sua política contra o pagamento de resgates nos últimos anos. Duas cidades da Flórida, por exemplo, votaram a favor do pagamento de resgates de dados nos valores de US$ 500 e 600 mil, prejuízos provavelmente muito menores do que seriam os custos para restaurar seus respectivos sistemas. Caso a resposta seja "não": Pagar o resgate não significa que o criminoso vai honrar sua palavra. Nada impede que ele faça ainda mais exigências e o que o vírus já esteja instalado dentro do seu sistema. Mas ainda que o termo "resgate" remeta a um sequestro, onde há riscos reais para a integridade e a vida de pessoas, a menos que você opere um hospital, é bem improvável que um ransomware tenha consequências físicas. No fim das contas, pagar o resgate pode ser mais barato da primeira vez, mas também faz a sua empresa se tornar um alvo mais fácil para futuros ataques. O projeto No More Ransom, cujos membros incluem a Europol e a Kaspersky, aconselha as vítimas de ataques desse tipo a não pagar o resgate. Ao mesmo tempo, o projeto trabalha para reduzir o impacto dos ataques de ransomware ao fornecer ferramentas grátis para retirar a criptografia de arquivos. Ou seja, ainda que essa seja uma ameaça crescente, é possível evitar maiores impactos e prejuízos causados por esses ataques com uma segurança bem alinhada e planejamento prévio. Entender o alcance dos ransomware e estabelecer treinamentos e exercícios regulares para preveni-los é o que vai determinar se seu negócio conseguirá responder bem a um ataque ou não.

A evolução dos ciberataques à cadeia de produção

  • min de leitura
    • Ataques à cadeia de produção das empresas representam uma mudança entre os hackers. Esse tipo de ataque não é novo, mas está se tornando cada vez mais comum e vem evoluindo o suficiente para não ser detectado por métodos de segurança mais básicos. Esses ataques envolvem a implantação de uma parte do malware que executa o ataque (chamada de payload) dentro de softwares, firmwares e hardwares. Esse payload escondido pelo hacker acaba fazendo parte do produto final e as empresas, donas desses produtos, se tornam distribuidores dos malwares involuntariamente. Esses invasores se escondem nos computadores e redes dos consumidores até que algum gatilho dispare seu processo malicioso. O foco deste artigo são os ataques à cadeia de suprimentos de softwares, mas também serão abordados outros dois tipos de ataque para que seja possível entender a escala e o escopo das vulnerabilidades das cadeias de suprimentos. Ataques a hardwares Invasões à supply chain de hardwares são, em sua maioria, amadoras e baratas. Um exemplo são drives USB com keyloggers instalados, programas capazes de gravar mais de 8 mil páginas de toques de teclado. Outro caso, são os microfones instalados nos conectores de rede Ethernet (plugs RJ45), que ajudam a roubar senhas e outros dados sensíveis. Ataques a firmwares Hackers também adulteram o firmware de diferentes equipamentos ao aplicar códigos maliciosos que invadem os aparelhos dos usuários. O foco mais comum é o firmware de inicialização. Ao adulterar esse processo, o usuário executa o malware involuntariamente ao ligar seu aparelho. Ataques a softwares Hackers preferem atacar a cadeia de produção de softwares, pois dessa forma só precisam alterar um link dentro de toda a cadeia para inserir malware em todos os produtos. Eles podem aplicar um código malicioso durante diversas etapas do desenvolvimento do software, desde a criação, até a complicação, distribuição e atualizações. O aumento da sofisticação dos softwares empresariais também ajudou a aumentar o número de opções para os hackers. Ataques podem mirar o código-fonte de um software, inserindo códigos maliciosos na criação de aplicativos supostamente confiáveis, por exemplo. Às vezes, o código é aplicado em um arquivo executável por meio de um compilador (programa que traduz códigos de uma linguagem para outra) ou um linker (programa que combina dados que o compilador gera em arquivos executáveis) infectado. Outro alvo frequente são os mecanismos de atualização dos softwares. Enquanto desenvolvedores de software confiáveis costumam "assinar" seus arquivos executáveis e scripts com certificados digitais para confirmar que os códigos daqueles arquivos não foram adulterados, os ataques a esse tipo de softwares costumam incluir certificados roubados e que se passam por genuínos. Geralmente, empresas menores e outros desenvolvedores de softwares que dependem de código aberto acabam sendo os agentes mais vulneráveis desse tipo de ataque. Os principais ataques Um ataque para definir os próximos Algumas invasões de hackers à cadeias de produção de softwares contam com um planejamento prévio extremamente sofisticado, que serve para identificar os melhores alvos para ataques futuros. Um dos principais ataques à infraestrutura de um empresa aconteceu na Energetic Bear, onde os hackers usaram uma campanha de spear-phishing (e-mails maliciosos) para definir uma lista de fornecedores para atacar. O Fantasma da Ferramenta de Criação Até a Apple, famosa por sua resistência contra vírus , foi vítima de um ataque à sua cadeia de produção. Hackers usaram o Xcode, uma ferramenta para criar aplicativos para iOS e OS X, para inserir códigos maliciosos dentro de diversos aplicativos. E a Apple hospedou e disponibilizou esses apps na App Store. A maioria dos desenvolvedores geralmente baixa o Xcode de maneira segura, diretamente da Apple. Mas o programa também está disponível para download em diversos fóruns de desenvolvedores. Hackers então inserem códigos maliciosos nas versões disponibilizadas nessas fontes alternativas. Pesquisadores do gigante e-commerce Alibaba, chamaram essas variações adulteradas do programa de "XcodeGhost". As versões continham somente algumas linhas extras de código, difíceis de detectar, mas suficientes para penetrar e propagar. Entrando pelo backdoor de um gerenciador de servidores popular O incidente do ShadowPad é um dos mais conhecidos e mais sofisticados ataques à cadeia de produção já vistos. Em 2017, pesquisadores da Kaspersky descobriram um backdoor, chamado ShadowPad, implantado em um software de gerenciamento de servidores usado por centenas de grandes empresas no mundo todo. Quando ativado, ou melhor, aberto, esse backdoor permite que hackers instalem outros módulos maliciosos e roubem dados do sistema. Neste caso, os hackers verificaram o código malicioso com um certificado legítimo. Tudo que levava à função infectada foi escondido e se tornou invisível para os usuários. Os invasores haviam ganhado não só acesso aos certificados, mas também ao código-fonte e ao sistema de criação do software. Pesquisadores da Equipe de Análise e Pesquisas Global da Kaspersky, o GReAT, notificaram imediatamente a fornecedora NetSarang, que rapidamente tirou do ar o software infectado e o substituiu com uma versão anterior limpa. Neste caso, a NetSarang mostrou que uma resposta rápida a ciberataques como esse faz a diferença e, junto com a Kaspersky, encontraram somente um payload infectado, o que é um resultado excelente, considerando a alta popularidade do produto. Ataque ao limpador vai direto ao topo O CCleaner é um programa muito popular de limpeza de arquivos, com mais de 2 bilhões de downloads. Mas, depois de um ataque à sua cadeia de produção em setembro de 2017, uma versão infectada do software foi baixada mais de 2 milhões de vezes. O ataque foi feito através de uma pequena brecha, mas os hackers criptografaram todos os códigos, tornando-os muito mais difíceis de serem detectados. Assim como no caso do ShadowPad, os invasores assinaram os códigos maliciosos com certificados digitais legítimos. Os hackers deste ataque miravam o patamar mais alto. Eles incluíram no malware uma função para detectar se o usuário tinha credenciais de administrador. O ataque somente seguiria em frente se aquele usuário tivesse acesso às funções de comando e controle da empresa. Como o ataque era extremamente seletivo, a versão completa do malware só foi baixada em 40 computadores. Mas as vítimas do ataque ao CCleaner incluem alguns dos maiores nomes da indústria da tecnologia, como Samsung, Fujitsu, Intel, Sony e Asus, e isso fez com que o ataque fosse um dos mais destruidores e eficientes já descobertos. Infiltrando-se em funções de atualização automáticas Pesquisadores da Kaspersky descobriram o malware Operation ShadowHammer em janeiro de 2019. Eles encontraram um arquivo suspeito com um certificado legítimo da Asus. O arquivo era distribuído pelo servidor oficial da Asus, mas continha um backdoor. Ataques à cadeia de produção muitas vezes miram atualizações automáticas de sistema. Para começar, os hackers plantaram o código Operation ShadowHammer na ferramenta de atualizações em tempo real da Asus. Mas a complexidade do ataque foi evoluindo. O Operation ShadowHammer foi disparado para mais de 400 computadores, infectando 230. Mas a Asus não foi o único alvo. Desde a primeira descoberta, nossa equipe identificou diversos outros casos, incluindo 3 outras empresas de softwares, todas com arquivos digitalmente certificados. Os hackers verificaram a portas de acesso com diferentes certificados para cada ataque. Detectar é melhor do que curar Detectar ataques à cadeia de produção é um trabalho de muitas nuances. Muitas vezes esses ataques não manipulam diretamente o código original, mas sim atualizações baixadas e que são executadas somente pela memória do computador. Jogos estão entre os alvos mais atraentes para ataques à supply chain, porque neles é mais difícil saber se os malware são parte ou não das funcionalidades originais daquele software. Ferramentas contra trapaças ou para a proteção do IP são alguns exemplos que podem confundir o sistema e disparar processos de análise de comportamento. Códigos maliciosos de ataques à cadeia de produção são só uma parte minúscula dentro do código de um arquivo executável. Tentar encontrá-los é como procurar agulha em um palheiro. E isso fica ainda mais difícil quando esses malware estão verificados com o mesmo tipo de certificado que os arquivos originais. Como as empresas podem se defender contra ataques à sua cadeia de produção? Fornecedores são alvos menos resistentes que fabricantes de produtos, principalmente porque produtos finalizados são mais extensos e complexos. "A partir de uma única e pequena brecha escondida em um fornecedor, os criminosos podem danificar alvos muitos maiores". Mas o que as empresas podem fazer sobre isso? 1.     Usar as melhores soluções de cibersegurança Soluções de segurança básicas priorizam velocidade ao invés de rigor, abrindo espaço para que seus sistemas sejam enganados por certificados supostamente legítimos ou confundindo arquivos suspeitos por falsos positivos. Soluções completas e dedicadas somente à segurança digital fazem um trabalho melhor. Uma solução de nível corporativo com boa reputação é essencial para detectar e capturar invasores avançados. Esse tipo de solução analisa todo tipo de anomalias e fornece às equipes de cibersegurança das empresas uma completa visibilidade de sua rede, com resposta automática. 2.     Contrate a equipe certa. E também um red team. Empresas devem contratar funcionários de segurança de T.I. altamente capacitados, incluindo especialistas de segurança, analistas de SOC (Centros de Operação de Segurança) e um red team.   O red team faz a função de "advogado do Diabo". Eles atuam para forçar as empresas a repensarem suas estratégias, analisando também o trabalho da própria empresa e dando um ponto de vista crítico e diferente sobre seus processos. 3.     Use modelos de ameaças na hora de desenvolver um software Durante o desenvolvimento de um software, o ideal é que as empresas criem um modelo de ameaça em sua estrutura de criação para simular possíveis problemas e assim identificar e eliminar possíveis riscos futuros. Além disso, o modelo de acesso escolhido deve aplicar o Princípio do Menor Privilégio, PoLP na sigla em inglês (Principle of Least Privilege), para restringir o risco de acessos indesejados. 4.     Mantenha uma boa relação com seus fornecedores Crie uma relação de confiança com seus parceiros que seja mais forte do que o normal. 5.     Invista em resposta Como possível notar no caso da NetSarang e sua rápida resposta aos ataques no ShadowPad, é importante que as empresas invistam em gerenciamento de riscos tanto quanto em segurança. Se sua empresa não tem capacidade interna para lidar com isso, envolva uma equipe externa de resposta a incidentes para investigar possíveis ataques ou quaisquer atividades suspeitas.
by Tecnologia inovadora.
Inovando líderes.
Sobre o Secure Futures

A revista Secure Futures é o seu guia de negócios com dicas, opiniões, tendências e insights sobre o mundo da tecnologia e da cibersegurança. A Kaspersky ajuda sua empresa a antecipar o futuro, através dos especialistas globais em cibersegurança.