Arquivos de tag para “malware”

Olá, pessoal!

Já faz um tempo desde a minha última edição do iNews, também conhecida como notícias de cibersegurança ou histórias do lado oculto dos ciberataques, então sou encorajado a reviver esta série para voltar aos trilhos e compartilhar com vocês alguns momentos cibernéticos incríveis que podem não ter sido mencionados em suas fontes de notícias habituais…

Nesta edição, eu só compartilho uma notícia, mas é mais do que suficiente: qualquer elemento adicional poderia ter minimizado (dificilmente apropriado quando há um “ponto de virada” no título :)…

Mas primeiro, aqui está um pequeno resumo: após longos processos legais nos EUA,  um tribunal decidiu a favor da grande empresa farmacêutica Merck contra sua seguradora por um pagamento de 1400 milhões de dólares americanos (!!) cobrindo os danos que a empresa teria sofrido por causa do NotPetya (também conhecido como ExPetr ou simplesmente Petya ), em 2017.

Vamos voltar para 2017…

Em junho do mesmo ano, NotPetya apareceu, um worm criptografado tecnologicamente avançado e terrivelmente desagradável, que se espalhou como fogo. Inicialmente se concentrou na Ucrânia, onde atacou vítimas por meio de softwares de contabilidade popular, afetando bancos, sites do governo, aeroporto de Kharkov, os sistemas de monitoramento da usina nuclear de Chernobyl (!!!) e assim por diante. A epidemia então se espalhou para a Rússia e depois para o mundo inteiro. Muitas fontes oficiais consideram o NotPetya o ataque cibernético mais destrutivo da história. O que parece certo ao contar o número de empresas atacadas (dezenas das quais perderam centenas de milhões de dólares), enquanto os danos globais à economia mundial foram estimados em um mínimo de US$ 10 bilhões.

Uma das vítimas mais notáveis deste ataque cibernético internacional foi a gigante farmacêutica americana Merck. De acordo com as informações, 15.000 de seus computadores receberam o ataque 90 segundos (!) após o início da infecção, enquanto o backup de seu data center, que estava conectado à rede principal, também foi perdido quase instantaneamente. No final do ataque, a Merck havia perdido cerca de 30.000 estações de trabalho e 7500 servidores. Levou meses até que eles pudessem se recuperar, custando cerca de US$ 1400 milhões, segundo relatado. A Merck ainda teve que pedir emprestadas 250 milhões de dólares em vacinas de fontes externas por causa de interrupções em suas operações de fabricação.

Bem, e agora que temos o contexto, vamos para o mais suculento …

Leia em:Uma seguradora é forçada a pagar 1400 milhões de dólares para cobrir os danos de um ciberataque

Em algumas ocasiões, ao ler um artigo sobre o que fazer em caso de um ataque de ransomware, encontro o seguinte conselho: “Pense na opção de pagar”. Nesse momento, respiro fundo e fecho a guia do navegador. Porque você nunca deve pagar esses golpistas (e não apenas porque isso significaria apoiar atividades criminosas). Claramente, chegou a hora de explicar os motivos sobre esta indicação.

Primeiro, você está patrocinando o crime

Leia em:Pagar ou não pagar? Eis a questão.

Primeiro, um breve contexto…

Em 10 de setembro, o ransomware/malware DoppelPaymer criptografou 30 servidores de um hospital, na cidade alemã de Dusseldorf, e devido a isso, a taxa de transferência de pacientes doentes caiu drasticamente. Há uma semana, devido a esta invasão, o hospital não conseguiu admitir uma paciente que precisava de uma operação urgente, e teve que encaminhá-la para um hospital em uma cidade vizinha. Ela morreu no caminho. Foi o primeiro caso conhecido de perda de vidas humanas como resultado de um ataque de ransomware.

Um caso muito triste, de fato – especialmente quando você olha mais de perto: houve o próprio “acidente” fatal (presumindo que os criminosos não previram uma fatalidade causada por suas ações horríveis); houve também uma clara negligência quanto ao cumprimento das regras básicas de higiene de cibersegurança; e também é evidente a incapacidade por parte das autoridades responsáveis ​​em aplicar a lei para combater com êxito os criminosos envolvidos neste crime.

Os hackers atacaram a rede do hospital por meio de uma vulnerabilidade (também conhecida como Shitrix) nos servidores Citrix Netscaler, que foi corrigida em janeiro. Parece que os administradores do sistema esperaram muito tempo antes de finalmente instalar a patch e, nesse meio tempo, os criminosos conseguiram entrar na rede e instalar uma backdoor.

Até aqui, apresentamos apenas fatos. A partir de agora, continuaremos com uma conjectura que não pode ser confirmada, mas que parece um tanto provável…

Não é possível descartar que, depois de algum tempo, que o acesso à backdoor não tenha sido vendido a outros hackers em fóruns clandestinos como “acesso à backdoor em uma universidade”. O ataque, de fato, foi inicialmente direcionado à vizinha Heinrich Heine University. Foi essa universidade que foi especificada no e-mail dos cibercriminosos exigindo um resgate pela devolução dos dados que eles criptografaram. Quando os hackers descobriram que era um hospital – não uma universidade – eles rapidamente entregaram todas as chaves de criptografia (e então desapareceram). Parece que os hospitais com Trojan não são tão atraentes para os cibercriminosos – eles são considerados ativos muito “tóxicos” (como ficou claro, da pior forma – com uma morte).

É provável que o grupo de hackers que tem como língua materna o russo, Evil Corp, esteja por trás do DoppelPaymer, um grupo com dezenas de outros cibercriminosos de alto perfil (incluindo na rede da Garmin). Em 2019, o governo dos Estados Unidos emitiu uma acusação para indivíduos envolvidos na Evil Corp e ofereceu uma recompensa de cinco milhões de dólares pela ajuda para capturá-los. O curioso é que as identidades dos criminosos são conhecidas e, até recentemente, eles se gabavam e exibiam seu estilo de vida estilo gangster – inclusive nas redes sociais.

Fonte

Leia em:Ransomware: sem piadas

Códigos maliciosos… chegam por todo os lugares…

É um pouco parecido com um gás, que sempre preenche o espaço em que se encontra, mas diferente: sempre passa por “buracos” (vulnerabilidades) em um sistema de computador. Portanto, nosso trabalho (aliás, um deles) é encontrar esses buracos e abri-los. Nosso objetivo é fazer isso de forma proativa; isto é, antes que o malware os tenha descoberto ainda. E se o malware encontrar esses buracos, estaremos aguardando, prontos para atacá-lo.

Na verdade, é uma proteção proativa e a capacidade de prever as ações dos invasores e criar uma barreira antecipada que possa distinguir a cibersegurança genuinamente de excelência e alta tecnologia do marketing BS.

Hoje quero falar sobre outra maneira pela qual nossa proteção proativa protege contra outro tipo de malware, particularmente astuto. Sim, quero falar sobre algo chamado código malicioso sem arquivo (também conhecido como sem corpo) – uma raça perigosa de malware fantasma que aprendeu a usar as desvantagens de arquitetura do Windows para infectar computadores. E sobre a nossa tecnologia patenteada que combate essa ciberdoença específica. E farei como você gosta: coisas complexas explicadas simplesmente, de maneira leve e emocionante de um ciberthriller com elementos de suspense).

Primeiro, o que significa sem arquivo?

Bem, o código sem arquivo, uma vez inserido em um sistema de computador, não cria cópias de si mesmo na forma de arquivos em disco, evitando assim a detecção por métodos tradicionais como, por exemplo, com um monitor antivírus.

Então, como existe esse ‘malware fantasma’ dentro de um sistema? Na verdade, ele reside na memória de processos confiáveis! Sim. Eek.

No Windows (na verdade, não apenas no Windows), sempre existiu a capacidade de executar código dinâmico, o qual, em particular, é usado para compilação just-in-time; isto é, transformar o código do programa em código de máquina não imediatamente, mas como e quando for necessário. Essa abordagem aumenta a velocidade de execução de alguns aplicativos. E para oferecer suporte a essa funcionalidade, o Windows permite que os aplicativos insiram o código na memória de processo (ou mesmo em outra memória confiável de processo) e o executem.

Dificilmente isso pode ser considerado uma ótima ideia, do ponto de vista de segurança, mas o que você pode fazer? É assim que milhões de aplicativos escritos em Java, .NET, PHP, Python e outras linguagens e para outras plataformas estão trabalhando há décadas.

Previsivelmente, os cibercriminosos aproveitaram a capacidade de usar código dinâmico, inventando vários métodos para abusar dele. E um dos métodos mais convenientes e, portanto, mais difundidos que eles usam, é algo chamado injeção reflexiva. É o quê?! Deixe-me explicar (isso é bastante interessante, por favor, tenha paciência comigo:)…

Iniciar um aplicativo ao clicar no ícone – bem simples e direto, certo? Parece simples, mas, na verdade, existe todo o tipo de coisas: um carregador de sistema é acionado, no qual pega o respectivo arquivo do disco, carrega-o na memória e executa-o. E esse processo padrão é controlado por monitores antivírus, que verificam a segurança do aplicativo em tempo real.

Agora, quando há uma “reflexão”, o código é carregado ignorando o carregador do sistema (e, portanto, também ignorando o monitor antivírus). O código é colocado diretamente na memória de um processo confiável, criando um “reflexo” do módulo executável original. Essa reflexão pode ser executada como um módulo real carregado por um método padrão, mas não estará registrado na lista de módulos e, como mencionado acima, não possui um arquivo em disco.

Além disso, diferentemente de outras técnicas para injetar código (por exemplo, via shellcode), uma injeção de reflexão permite criar códigos funcionalmente avançados em linguagens de programação de alto nível e estruturas de desenvolvimento padrão sem praticamente nenhuma limitação. Então, o que você tem é: (i) nenhum arquivo, (ii) ocultação por trás de processos confiáveis, (iii) invisibilidade às tecnologias de proteção tradicionais e (iv) caminho livre para causar estragos.

Então, naturalmente, as injeções reflexivas foram um mega sucesso entre os desenvolvedores de códigos maliciosos: primeiro eles apareceram em pacotes de exploração, depois ciberespiões entraram no jogo (por exemplo, Lazarus e Turla) e depois cibercriminosos avançados (como uma forma prática e legítima de executar códigos complexos!), e depois pequenos cibercriminosos.

Agora, do outro lado das barricadas, encontrar uma infecção sem arquivos não é um passeio em um ciberparque. Portanto, não é de se admirar que a maioria das marcas de cibersegurança não estejam muito entusiasmadas. Algumas dificilmente conseguem fazer isso.

Leia em:Brincando de esconde e esconde – com malwares sem arquivos

Muita gente pelo mundo já está há cerca de três meses em lockdown! E você deve ter ouvido falar de um certo filme nesses últimos três meses, tenho certeza. Mas venho compartilhar uma nova opinião: Feitiço do Tempo não é mais um filme engraçado! Sem falar no clima: se o tempo está fechado, chuvoso e com cara de inverno, é um infortúnio extra para todos (além da quarentena); por outro lado, se está bom, seco e ensolarado, também é ruim, já que ninguém pode sair para aproveitar.

Mesmo assim, eu acho que talvez seja algum tipo de consolação o fato de que a maioria de nós está passando pela mesma coisa em casa. Talvez. Mas isso serve para nós, pessoas normais/boas. Mas e os cibercriminosos? Como eles estão “enfrentando” tudo isso, enfiados em casa? Bom, na outra semana eu passei para vocês algumas estatísticas e tendências sobre o tema. Hoje, eu quero seguir o assunto com uma atualização – porque, sim, os golpistas agem rapidamente. //Ah, e por falar nisso – se você estiver interessado em mais cibercontos do lado obscruso, também chamado de i-news, confira a nossa tag.

Para começar, mais algumas estatísticas atualizadas e tranquilizadoras.

Em março e especialmente em abril, houve um grande salto na atividade cibercriminosa de um modo geral; no entanto, em maio houve uma queda acentuada, de volta para os níveis anteriores ao coronavírus de janeiro a fevereiro:

Ao mesmo tempo, percebemos uma queda significativa em todos os números de malwares relacionados ao coronavírus:

Leia em:Cibernotícias da quarentena: 92 de Março de 2020

Entre as perguntas mais comuns que tenho recebido durante esses tempos difíceis, uma que se destaca é sobre a situação das ciberameaças devido à pandemia. Como a segurança online foi afetada de modo geral pelo grande número de pessoas trabalhando remotamente (ou não trabalhando, para aqueles desafortunados, mas também para aqueles que estão em casa o tempo todo). E, mais especificamente, quais novos golpes os criminosos estão cometendo, e o que devemos fazer para ficar protegidos?

Pois bem, vou resumir tudo isso neste post…

Como sempre, criminosos – incluindo cibercriminosos – monitoram de perto e se adaptam às condições atuais para que possam maximizar suas fontes de rendas ilegais. Então, quando a maior parte do mundo muda de repente muda para um regime no qual ficar em casa é o padrão quase o tempo inteiro (trabalho, entretenimento, compras, interações sociais, tudo de casa), os cibercriminosos se adaptam ao ambiente e mudam de táticas.

Agora, para os cibercriminosos, a coisa mais importante que eles perceberam é que quase todo mundo em lockdown aumentou muito o tempo gasto na internet. E isso significa uma “área de ataque” maior para seus atos maliciosos.

Em particular, muitas pessoas estão agora de home office, infelizmente, sem soluções de segurança confiáveis e de qualidade fornecidas pelos empregadores. Isso quer dizer que existem mais oportunidades para que cibercriminosos ataquem as redes corporativas que os empregados se conectam, levando a potenciais lucros volumosos para os bandidos.

Então, é claro, esses caras estão indo atrás desses lucros volumosos. Nós vemos essa evidência pelo aumento acentuado de ataques de força bruta em bases de dados de servidores e de acesso remoto (RDP, na sigla em inglês), tecnologia que permitem que um empregado tenha acesso integral ao seu computador corporativo – como arquivos, área de trabalho, tudo – remotamente, ou seja, de casa.

Leia em:Ciberameaças no mundo durante a pandemia

Olá a todos!

Hoje começamos com uma boa notícia …

Continuamos a solução de segurança “a mais testada, a mais premiada”.

Há pouco, o respeitado laboratório de testes independente AV-Comparatives divulgou os resultados de sua análise anual. No estudo, entrevistaram 3.000 pessoas em todo o mundo nas últimas semanadas de 2018 e, das 19 perguntas respondidas pelos participantes, uma era “Qual solução principal de segurança antimalware para computador que você usa?”. Adivinha qual marca está em primeiro lugar na Europa, Ásia e América Central e do Sul? Bem, sim: K! Na América do Norte, somos os segundos (e tenho certeza de que é temporário). Além disso, na Europa, fomos escolhidos como a solução de segurança mais usada em smartphones. Também estamos entre as empresas que recebem mais solicitações de testes de produtos de usuários, tanto na versão doméstica quanto em produtos destinados a empresas. Ótimo! Nós gostamos dos testes e acho que você pode imaginar nossos motivos! . A propósito, aqui você vai encontrar mais informações sobre avaliações independentes e testes que nossos produtos são submetidos

“Hipócrita, tire primeiro a viga do seu olho, e então você verá claramente para tirar o cisco do olho do seu irmão.”, Mateus 7: 5.

Em maio, outra backdoor foi descoberta com funcionalidades muito úteis para a espionagem. E onde esta porta dos fundos foi encontrada? Na Rússia? Na China? Bem, foi na Cisco (sim, novamente)! Houve uma agitação nas redes? Manchetes e discussões sobre ameaças à segurança nacional? Houve conversas sobre a proibição de produtos da Cisco fora dos Estados Unidos? Espere, você também não viu? Mas, ao mesmo tempo, a Huawei está no auge de um linchamento internacional, embora não exista backdoors ou evidências convincentes dos fatos.

fonte

Leia em:Notícias do lado sombrio: ciber-hipocrisia, Mirai, GCHQ de olho em você, BlueKeep à distância

Olá, pessoal.

Hoje, tenho algumas novidades fresquinhas e surpreendentes sobre cibersegurança para vocês. As primeiras são histórias preocupantes sobre ameaças provenientes de um pequeno dispositivo onipresente, que muitas pessoas simplesmente não conseguem largar nem por um minuto – inclusive na cama e no banheiro. As últimas são histórias positivas e animadoras – sobre a ascensão das mulheres em TI. Ok, vamos mergulhar nas preocupantes primeiro…

Não se junte ao clube de vítimas do Asacub

Hoje em dia, as pessoas tendem a confiar em seus (confiáveis?) smartphones para fazer qualquer coisa – transações bancárias, guardar documentos pessoais e profissionais importantes, trocar mensagens (muitas vezes com detalhes muito íntimos), e muito mais. Mas, ei, você já sabe perfeitamente de tudo isso, e pode até ser uma das pessoas nesse ou naquele caso; e se for – você realmente precisa ler esse texto atentamente…

No final de agosto, foi detectado um aumento acentuado na proliferação do Trojan para Android Asacub, que explora aquela fraqueza peculiarmente humana chamada curiosidade. Ele envia uma mensagem de texto com algo como: ‘Olá João: Você deveria ter vergonha de si mesmo! [link]’, ou ‘João – você recebeu uma mensagem MMS de Pedro: [link]’. Então João coça a cabeça, não consegue pensar em outra coisa o dia todo, imagina o que aparece na fotografia, clica no link, e (voluntariamente!) baixa um programa… que então acessa sorrateiramente toda sua lista de contatos e começa a enviar mensagens parecidas para todos os seus amigos.

Mas esse malware habilidoso não para por aí. Também pode, por exemplo, ler textos recebidos e enviar o conteúdo para os hackers que o lançaram, ou enviar mensagens com um determinado texto para um determinado número. E essa funcionalidade para interceptar e enviar mensagens permite que os autores do Trojan consigam, dentre outras coisas, transferir dinheiro da conta bancária da vítima caso seu cartão esteja digitalmente conectado ao número de telefone. E como se isso não fosse suficientemente ruim – há um bônus para a vítima: uma conta gigantesca da sua operadora de celular por ter enviado todas aquelas mensagens para sua lista de contatos.

Então como você pode se proteger contra esse malware mobile assustador? Algumas dicas:

• Não clique em links suspeitos;
• Confira atentamente quais as permissões de acesso solicitadas pelo programa baixado (por exemplo, microfone, câmera, serviços de localização…);
• E por último e o mais importante: o passo mais simples – instale uma solução de segurança confiável em seu smartphone Android.

Android? Hummm. Posso ouvir todos os suspiros de alívio neste momento: ‘Ainda bem que eu tenho um iPhone!’!.

Não tão rápido, fãs da Apple. Aqui estão alguns links para vocês também (não se preocupem: podem clicar nestes – prometo!):

Leia em:Cibercontos do lado sombrio – e do luminoso também

Se você é um leitor regular do blog, você já deve saber do GReAT (sigla em inglês que significa em tradução livre, Equipe de Análise e Pesquisa Global) – são mais de quarenta especialistas em cibersegurança por todo o planeta especializados em proteger nossos clientes das ciberameaças mais sofisticadas. Os membros desse time gostam de comparar os trabalhos que desenvolvem com paleontologia: explorar as profundezas da internet a procura de “ossos” de “cibermonstros”, alguns podem considerar essa abordagem ultrapassada, porque você analisaria fósseis de criaturas do passado se são os monstros de hoje que ameaçam a rede? Bem, tem uma história bem legal que prova que não é possível encontrar os monstros do presente sem olhar o passado.

Alguns de vocês devem conhecer os wipers – tipo de malware que uma vez instalados em computadores, apagam todos os seus dados – deixando o dono do computador com um hardware limpo e não operacional. O mais famoso (e infame) desse tipo é o Shamoon – malware que fez bastante barulho no Oriente Médio em 2012 ao destruir dados de mais de 30.000 terminais na maior empresa de petróleo do mundo – Saudi Aramco, atingindo também outra gigante do setor energético – a Rasgas. Apenas imagine: 30.000 computadores inoperáveis na maior empresa de petróleo do mundo.

Curiosamente, desde sua campanha devastadora contra a empresa saudita, não se ouviu falar muito do Shamoon, até seu retorno em 2016 sob a alcunha de Shamoon 2.0, com diversas novas ondas de ataque – novamente no Oriente Médio.

Desde o começo das novas ondas de ataque do Shamoon, ajustamos nossos sensores em busca de tantas versões desse malware quanto possível (porque convenhamos, não queremos que nenhum dos nossos clientes seja atingido por um malware como o Shamoon). E de fato conseguimos encontrar diversas versões. Todavia, juntamente com o Shamoon, nossas redes pegaram um tipo completamente novo de wiper, que chamamos de StoneDrill.
Leia em:StoneDrill: Encontramos um Malware como o Shamoon só que mais poderoso – bem mais poderoso.

Olá pessoal!

Vamos a mais um cibernotícias – aquela coluna em que falo das fragilidades assustadoras do mundo digital.

Desde a última edição muitos assuntos que merecem atenção se acumularam. Sim, a proporção dos perigos apresentados na coluna realmente cresceu muito. Infelizmente, não percebemos nenhum declínio no número de ataques.

Como veterano em ciberdefesa, afirmo que cataclismas de escala planetária já foram discutidos por quase meio ano. Embora hoje, as notícias corram numa velocidade absurda, de modo que se tornam velhas em um piscar de olhos. “Ouvi dizer que fizeram a limpa naquela empresa, até o hamster do presidente foi levado por um drone”.

O fluxo de cibernotícias está sempre variando, e com seu aumento, o número das notícias que comentamos aqui também aumentará. No passado, eram três ou quatro por artigo. Hoje, teremos: sete!

Já pegou a pipoca/café/cerveja? Lá vamos nós…

1) Infecte um amigo e receba seus arquivos de volta de graça Leia em:Cibernotícias: os principais ataques e ameaças do ano