ESET divulga as dez ameaças virtuais mais propagadas em abril

A fornecedora de soluções de segurança ESET acaba de divulgar um ranking com as dez ameaças virtuais mais propagadas no último mês de abril, elaborado com auxilio da ferramenta de análises estatísticas ThreatSense.Net, utilizada nas soluções fornecidas pela companhia.

No período, as três ameaças mais detectadas foram o INF/Autorun, o HTML/ScrInject.B e o Win32/Sality.

Segundo o sistema de estatística ThreatSense.Net, as dez principais ameaças à segurança da informação detectadas durante abril de 2013 foram:

1. INF/Autorun

Porcentagem total de detecções: 2.98%

Arquivo malicioso utilizado para executar e propor ações automaticamente, quando uma mídia externa, como um CD, DVD ou dispositivo USB, é usado no computador.

2. HTML/ScrInject.B

Porcentagem total de detecções: 2.29%

Infecção de páginas HTML que contêm scripts escondidos ou tags Iframe maliciosas, que redirecionam o usuário para o download do malware.

3. Win32/Sality

Porcentagem total de detecções: 1.82%

O Sality é um vírus polimórfico. Quando executado, inicia um serviço e cria ou elimina registros relacionados com as atividades de segurança no sistema. Modifica os arquivos .exe e .scr, além de desativar os serviços e processos referentes às soluções de segurança.

4. Win32/Dorkbot

Porcentagem total de detecções: 1.62%

Worm propagado por meio de mídias removíveis e que contém um backdoor, que permite o controle remoto. Seu objetivo é obter senhas de acesso dos usuários quando utilizam determinados sites.

5. HTML/Iframe.B

Porcentagem total de detecções: 1.48%

Iframe malicioso encontrado em páginas HTML e que são redireciona o usuário para uma URL específica com conteúdo malicioso.

6. Win32/Bundpil

Porcentagem total de detecções: 1.48%

Ele é um worm que se espalha por meio de mídias removíveis.

7. Win32/Ramnit

Porcentagem total de detecções: 1.46%

Trata-se de um vírus que se executa ao iniciar o sistema. Infecta arquivos .dll e .exe. Também busca arquivos htm e html para escrever instruções maliciosas neles. Ele pode ser controlado remotamente para tirar screenshots, enviar informações de maneira disfarçada, baixar ou executar arquivos e desligar ou reiniciar o computador.

8. HTML/Phishing.LinkedIn.A

Porcentagem total de detecções: 1.34%

É um trojan que redireciona o navegador para uma URL específica com o programa malicioso.

9. Win32/Conficker

Porcentagem total de detecções: 1.25%

É um worm de rede que aproveita diferentes vulnerabilidades do sistema operacional Windows, além de outros meios, como dispositivos de armazenamento removível e recursos compartilhados de rede. Quando infecta a máquina, ele permite que o cibercriminoso controle o computador do usuário de forma remota e realize ações maliciosas, sem a necessidade do uso de senhas de acesso.

10. JS/TrojanDownloader.Iframe.NKE

Porcentagem total de detecções: 0.97%

É um trojan que redireciona o navegador para uma URL específica com código malicioso. Geralmente, é encontrado em páginas HTML

BYOD: A mobilidade e a insegurança de redes de mãos dadas

Quando as empresas começaram a conectar suas redes internas à internet, elas descobriram rapidamente a importância da segurança. Vírus de movimentos rápidos e worms como o “I Love you”, “Melissa” e “Code Red” poderiam facilmente passar de desktop para desktop entupindo as redes e trazendo à infraestrutura de uma empresa inteira uma completa paralisação. Para combater essas ameaças, as empresas bloquearam seus desktops e servidores, forçaram a instalação de softwares antivírus, asseguraram que todos os sistemas tinham os patches mais recentes e softwares aprovados que só poderiam ser executados em seus sistemas proprietários.

Logo depois veio a mudança de desktop para laptop. Primeiro, eram os funcionários, que queriam trazer seus próprios computadores de casa para aproveitar a conexão rápida da internet no escritório. E em seguida, eram os vendedores e parceiros, que queriam se conectar remotamente às redes do escritório, através da internet, para verificar seus e-mails, ou obter a versão mais recente de uma apresentação. Essas conexões eram vistas como um grande risco, e declaradas proibidas por algumas corporações. Dessa forma, muitas empresas criaram um segmento de rede específico, para que os sistemas externos pudessem acessá-las, via internet, mas não interagir diretamente com os sistemas corporativos.

Mas hoje temos algo bem mais radical: o Bring Your Own Device (BYOD). Não são apenas alguns dispositivos que estão fora do controle do departamento de TI das organizações, mas as infinidades de atalhos de acesso e configurações de redes que já podem, potencialmente, significar comprometimento dos níveis de segurança. Uma situação que se torna especialmente preocupante quando dispositivos móveis, de várias origens, passam a ter acesso total ao servidor interno da empresa e aos diversos recursos de rede.

Nos dias de “Melissa” e “Code Red”, contando-se com o fato de que tudo foi devidamente salvo via backup, os únicos riscos reais para as empresas eram a perda de produtividade e o tempo de recuperação. Hoje o risco é maior e potencialmente mais destrutivo, devido a ataques direcionados que procuram a propriedade intelectual de uma empresa e informações financeiras. Não basta garantir que os dados estejam copiados para assegurar uma proteção adequada contra perdas catastróficas.

Os dispositivos móveis são hardwares poderosos e têm mais opções de conexão de rede do que qualquer desktop. É quase natural que tais dispositivos disponham de kits para se conectar automaticamente a qualquer rede wi-fi visível. O telefone ou tablet no bolso de um funcionário pode ligar e desligar uma dúzia, ou mais, de redes diferentes em um espaço de tempo que você levaria para caminhar até a esquina para almoçar. Sem mencionar a ligação com dados, quase sempre fornecidos inadvertidamente pela operadora de telefonia móvel. Cada uma dessas conexões traz consigo o potencial para a instalação de um software malicioso. O funcionário, então, inconscientemente, traz esse dispositivo de volta ao escritório e se conecta automaticamente à rede corporativa.

O malware móvel é uma ameaça que vem aumentando exponencialmente. O Escritório de Contabilidade do Governo dos EUA (GAO) divulgou um relatório, em 2012, no qual aponta que o malware móvel aumentou 185% em menos de um ano, passando de 14 para 40 mil amostras. Algumas dessas amostras podem ser secretamente instaladas, sem o conhecimento do usuário, conforme eles visitam certas páginas, ou até mesmo quando eles se conectam a pontos de acesso Wi-fi gratuitos que estão comprometidos. Esses dispositivos comprometidos, então, sem saber, são trazidos para se conectar de volta à rede corporativa.

O risco é escalado quando se considera que muitos dispositivos móveis, particularmente aqueles com sistema operacional Android, não foram atualizados em meses ou até anos. Segundo o relatório de segurança “2013 Trustwave Global Security Report”, no ano passado registrou-se um aumento de 400% no número de ocorrências com malware móvel. Todos os principais fornecedores, rotineiramente, emitem atualizações do sistema operacional, mas os fabricantes dos dispositivos não enviam essas atualizações para os usuários. Isso faz com que estes fiquem vulneráveis para códigos maliciosos que podem conter patches. Além do mais, as tais atualizações só serão úteis se o sistema operacional for modificado até a data de aparecimento de um novo malware. Por exemplo, a Verizon disponibilizou o Android versão 4.1 para o Motorola Droid 4 em março deste ano – oito meses após o Google tê-lo liberado!

Embora os malwares, em algumas plataformas móveis, sejam uma grande preocupação, não são a única. Inúmeros aplicativos móveis legítimos já foram utilizados para desviar contatos e outras informações a partir de um dispositivo móvel, sem o conhecimento do usuário. Assim, se o dispositivo do funcionário tem acesso ao diretório da empresa e ao banco de dados com contatos dos clientes, pode estar aí o risco de um duro golpe para qualquer empresa.

A perda do diretório corporativo poderia deixar toda a empresa aberta a um ataque de phishing com forte poder de estrago. Já a perda de dados de contatos de clientes poderia ser o ponto de partida para os clientes serem roubados pela concorrência. Enquanto as principais lojas de aplicativos fizeram um esforço para garantir que o aplicativo peça a permissão explícita do usuário, antes que possam acessar informações confidenciais, a maioria dos usuários irá cegamente clicar em “permitir” no aplicativo e, assim, possibilitar o acesso do aplicativo às informações de contato, sem perceber as implicações.

O 2013 Trustwave Global Security Report revela que 87,5% de todos os aplicativos iOS e Android sofreram algum tipo de defeito ou problema de segurança. As questões envolvem, geralmente, o cache de dados sensíveis no dispositivo, ou a transmissão dos dados sensíveis, através das muitas conexões de rede disponíveis. Muitas vezes, os desenvolvedores simplesmente incluem uma mera biblioteca ou framework para o aplicativo, e não estão mesmo cientes das ações que o próprio aplicativo está tomando.

O Webkit é o mecanismo de layout usado pelo navegador padrão no iOS, Android, e sistemas operacionais móveis do Blackberry 10, que suportam algumas das aplicações móveis mais disseminadas. Devido a isso, 90% das vulnerabilidades mais comuns em aplicações web de desktops também estavam presentes em aplicações móveis, tanto do Android como do iOS. O controle insuficiente de caches é um dos problemas mais comuns que afetam ambas as aplicações web, de Desktop e dispositivos móveis, permitindo que um invasor com acesso ao dispositivo abra as aplicações do cache para acessar informações valiosas. Por exemplo: em um ataque de repetição, o cibercriminoso é capaz de ouvir uma transação (através de engenharia social ou criptografia web mal configurada no aplicativo) e interceptar essa transação. O invasor pode, então, repetir essa operação ou alterar a sua lógica, sem ter que passar pelas etapas iniciais de autenticação e autorização. Há também a inserção de código, na qual um invasor pode injetar o código JavaScript em uma resposta enviada a partir de um servidor web. Como o aplicativo do cliente não valida a informação que recebe do servidor, o JavaScript será executado. Isso pode ser usado para roubar sessões de navegação ou, em um extremo, instalar malware no aplicativo.

Muitas pessoas pensam, erroneamente, que o Blackberry está imune a malwares. No entanto, a Blackberry tem visto uma parte da quota de malwares escrita em sua plataforma. O 2013 Trustwave Security Global Report revelou diversas variantes do Zeus, um dos mais populares trojans bancários, encontrados em aparelhos Blackberry, principalmente, na Alemanha, Itália e Espanha. A última versão do Blackberry, o Blackberry 10, virá instalada nos tão esperados novos dispositivos e, como acontece com qualquer lançamento, a segurança da plataforma ainda tem que ser testada. Considerando a base de usuários desses dispositivos, constituídas por executivos de alto nível e funcionários do governo, os invasores provavelmente tentarão comprometer a plataforma.

Não presuma que um dispositivo móvel que não tem conexão com o sistema de uma empresa não será valioso para um cibercriminoso. Eles ainda podem conter informações confidenciais, ou dados pessoais, que podem ser atraentes para um invasor online. Tais dispositivos têm realmente pouca idade, e, do ponto de vista da segurança, ainda estão na infância. Eles estão sujeitos a uma grande variedade de ameaças na forma de malwares, aplicativos mal codificados e sistemas operacionais desatualizados. Ao permitir o acesso de dispositivos móveis em suas redes, as empresas devem levar isto em conta, e procurar a proteção adequada em práticas como a segmentação da rede, autenticação, compartilhamento de dados e outras iniciativas para garantir a segurança dos dados da empresa.

Space Rogue é gerente de Inteligência de Ameaças da Trustwave

Lições que aprendemos com os ataques à Coreia do Sul

Os ataques realizados no dia 20 de março na Coreia do Sul podem trazer alguns aprendizados importantes sobre segurança e proteção para as empresas. Saltam aos olhos três questões que devem ser analisadas mais de perto, como:

1. Ataques Pós-PC não são apenas sobre dispositivos;

2. A atualização automática de infraestrutura é um alvo viável;

3. Produtos de segurança e infraestrutura também são alvos.

Há um tema que tange todas estas lições: quando se fala sobre ataques direcionados não significa apenas o destinatário para o qual o e-mail de spearphishing é enviado para iniciar os ataques. Ataques direcionados também o são no sentido de entender a infraestrutura de uma potencial vítima cuidadosamente selecionada, com o objetivo de analisar e comprometer aquela infraestrutura específica, o máximo possível. Mais importante ainda é que isto se aplica às proteções e controles de segurança instalados.

Ataques Pós-PC não são apenas sobre dispositivos.

Uma coisa que se destaca é a presença de um código que ataca visando sistemas operacionais Unix e Linux. Temos visto criminosos começando a voltar sua atenção para o Mac OS X no último ano, logo, os ataques de malware contra sistemas operacionais diferentes do Windows não são inerentemente novos. No entanto, o Unix e o Linux têm sido alvos, com mais frequência, de ataques de hackers ativos do que de malware, de modo que representa uma nova tendência ao trazer esses sistemas operacionais à mira dos ataques pós-PC.

A maioria das organizações tende a usar versões do Unix para sistemas de alto valor, por isso incluí-los neste código de ataque parece indicar uma segmentação ativa de que esses tipos de sistemas são alvos. O Linux tende a ser usado para infraestrutura e como uma commodity em termos de sistema operacional, então também é possível perceber que isto está sendo usado para selecionar os alvos com base em sistema operacional.

A principal lição quando se olha para ataques direcionados, é que agora é preciso ver todas as plataformas e dispositivos como alvos viáveis. Faz sentido estender as práticas de segurança de terminais para todas as plataformas e dispositivos, o máximo possível, e implementar outras camadas de proteção para resguardar plataformas e dispositivos que não podem ser protegidos por segurança de terminais (como o iOS).

A atualização automática de infraestrutura é um alvo viável. Os criminosos podem ter comprometido credenciais de gerenciamento de sistemas e patches das vítimas e usado para distribuir seu malware. Este é o segundo grande ataque alvejado que comprometeu um autoupdate ou patch de gestão de infraestrutura e o transformou em um sistema de distribuição de malware: o ataque Flame em maio passado representou uma grande escalada de metodologias de ataque por comprometer o cliente do Windows Update para fazer a entrega do malware.

Em vista do ataque Flame e agora este novo ataque, fica claro que os criminosos não só querem comprometer os mecanismos de atualização automática, mas que podem fazê-lo. Isto não significa dizer que as atualizações automáticas devem ser vistas como certamente pouco confiáveis, mas que já não podem ser vistas como à prova de falhas.

Enquanto o Flame foi o resultado de um trabalho muito sofisticado, os ataques da Coreia do Sul contaram com antiquados comprometimentos de credenciais. Enquanto há pouco que possa ser feito para se proteger contra o tipo de ataque usado no Flame, é possível tomar medidas para garantir uma melhor segurança na infraestrutura de gerenciamento e atualização de patches, sob controle. De um ponto de vista de gestão de risco, deve-se avaliar esses ativos como críticos, como alvos de alto valor e abordando os riscos de forma adequada.

Produtos de segurança e infraestrutura também são alvos.

Este ponto nasce do anterior e é uma lição mais ampla. O malware MBR wiper foi dirigido especificamente para os processos de dois ou três produtos de suítes de segurança coreanos. Alvejar produtos de segurança em si não é uma coisa nova: o Conficker/DOWNAD, entre outros, já fizeram isso no passado. Mas o que é mais interessante aqui é que as ações estão limitadas a alvejar apenas dois ou três produtos, em vez de um grande número, como fez o DOWNAD.

Isso mostra a consciência das proteções de segurança em vigor nos alvos pretendidos. Quando combinados com o fato de que o comprometimento do sistema de gerenciamento de patches também foi focado em um único fornecedor, podemos concluir que os criminosos fizeram sua lição de casa e reuniram informações sobre suas vítimas destinadas com relação à segurança e infraestrutura.

Na linha do ajuste da avaliação de risco da infraestrutura de gerenciamento de patches, a lição é que em um ataque direcionado a segurança da empresa e produtos de infraestrutura podem ser alvos viáveis. Como tal, é preciso mitigar esse risco em conformidade, com camadas adicionais de proteção, especialmente camadas que suportam capacidades de detecção heurística.

Para finalizar, duas coisas se destacaram nos ataques MBRwiper: quão destrutivos foram e como claramente focaram em alvos de alto valor. Ataques em grande escala como estes são raros: o exemplo mais recente que está próximo a isso é o WittyWorm de 2004 que alvejava sistemas que executavam o Black Ice e rendia os sistemas inoperantes.

Estes ataques definitivamente destacam algumas novas e emergentes tendências preocupantes em termos de ataques. O melhor a fazer é entender o que significam essas tendências e tomar providências agora para melhor se proteger contra eles. Se há uma coisa certa, é que as táticas de sucesso são adicionadas à gama de ferramentas coletiva dos criminosos e reutilizadas em outros ataques.

Leonardo Bonomi é diretor de Suporte e Serviços na Trend Micro

Novas leis aumentam a demanda por gestores em Sistemas de Segurança de Informação

 

Apesar da crescente demanda do consumidor em exigir segurança de seus dados aos lojistas e com os novos decretos instituídos pelo Governo, o nº 7.963 que institui o Plano Nacional do Consumo e Cidadania (já em vigor), e o nº 7.962 sobre a contratação no Comércio Eletrônico (em vigor a partir de 15 de maio), a maioria das empresas brasileiras ainda estão despreparadas para a gestão segura da informação.

Segundo pesquisa da Edelman Privacy Risk, somente 22% das empresas brasileiras consideram privacidade e segurança de informações pessoais como prioridade corporativa e apenas 19% afirmam ter tecnologia e conhecimento suficiente para proteger dados de clientes e funcionários. Além deste panorama, a pesquisa, que contou com 6.400 executivos responsáveis pelo gerenciamento de dados em 29 países, constatou que 81% dos respondentes brasileiros acreditam que a sua organização não tem experiência, treinamento ou tecnologia para proteger as informações pessoais.

“São dados alarmantes e revelam que as empresas não estão preparadas para atender essas novas legislações em vigor. Afinal, o tempo de processo de segurança da informação é longo e dentro dos 60 dias estipulados pelo governo para as adaptações do decreto 7.962, elas têm de estar ao menos com o plano estruturado neste sentido”, argumenta Edison Fontes, especialista no tema e professor do curso de Sistemas de Segurança da Informação da FIA -Fundação Instituto de Administração.

Outra legislação importante é a Lei 12.737/2012 que dispõe sobre a tipificação criminal de delitos informáticos que alterou o Artigo 154 do Código Penal criando o crime de invasão de dispositivo informático, porém exigindo a existência de mecanismo de segurança. “Desta maneira as organizações precisam implantar e manter controles de proteção da informação. Isto é, precisam ter um processo organizacional de segurança da informação. Sem este processo nenhuma organização pode se queixar de que foi criminalmente invadida” complementa Fontes.

Para as organizações que vão prestar o Serviço de Cadastro Positivo que estará comercialmente disponível a partir do mês de agosto próximo, o Decreto 7.829 exige que elas sigam as melhores práticas de segurança da informação, tenham políticas de segurança, planos de recuperação em caso de desastre e façam gestão de riscos.

O acadêmico informa que se engana quem acredita que segurança da informação se resume apenas à tecnologia. “A maioria das pessoas acredita que somente proteção contra vírus, firewall, por exemplo, são suficientes para garantir a segurança de informações. Claro que é um aspecto importante, mas não o único.

Baseado na Norma internacional ISO/IEC27002, consideramos 16 Dimensões para o Processo de Segurança da Informação em uma organização: políticas e normas; treinamento de pessoas; plano de continuidade de negócio; acesso à informação; desenvolvimento e aquisição de sistemas; classificação da informação, descarte de lixo são alguns deles. Por isso, a estruturação do processo de gestão da segurança da informação precisa da participação dos responsáveis pelas áreas, gestores e CEOs”, afirma Fontes.

Para atender essa necessidade do mercado, a FIA abre inscrições até 4 de junho para o curso de extensão em Sistemas de Segurança de Informação, que será realizado na unidade Butantã da instituição, em São Paulo. Com 16 horas de duração, é destinado a responsáveis pela segurança da informação na organização; auditores de sistemas; gestores de controles internos e compliance; profissionais de riscos, de continuidade de negócio e de treinamento em segurança; gestores de Tecnologia da Informação; gestores da Proteção Corporativa-Patrimonial; executivos que desejam estruturar a segurança da informação na organização e gestores de negócio com responsabilidade de Gestor da Informação.

Com coordenação do professor Nicolau Reinhard, o conteúdo do curso contempla: abordagem gerencial, com exposição das melhores práticas para a gestão da segurança da informação na organização, e apresentação de situações reais para discussão e exercícios com os participantes.