O que é um ataque spear phishing?

18 dez 2017 no site Kaspersky Lab

Se esta não é a sua primeira visita ao nosso blog, você provavelmente já sabe o que é phishing. Se não sabe, confira esse post. Basicamente, phishing é um tipo de fraude para roubar dados pessoais: logins, senhas, informações bancárias e assim por diante. É essencialmente engenharia social.

Há um tipo de phishing conhecido como spear phishing. A principal diferença se comparado com as outras formas é ele ter alvos específicos -mas ninguém está a salvo, pois ataca pessoas e empresas.

O fato de ter um alvo faz do spear phishing mais perigoso. Cibercriminosos coletam meticulosamente informações sobre a vítima para tornar a “isca” mais atrativa. Eles agem por meio de e-mails bem produzidos, confundindo a vítima sobre a autenticidade. Por isso, é mais eficiente.

Motivações e os responsáveis

Há dois motivos associados ao uso do spear phishing: roubar dinheiro ou ter acesso a informações confidenciais. Em qualquer um dos casos, o primeiro passo é entrar na rede corporativa. A abordagem padrão é mandar e-mails com documentos ou arquivos maliciosos para os funcionários. Por exemplo, é assim que opera o grupo responsável pelo APT Silence.

Um documento pode ser transformado em arma ao usar macros no Microsoft Word ou códigos do JavaScript – essencialmente, programas minúsculos e básicos desenvolvidos em arquivos padrão com o único propósito de baixar um malware bem perigoso no computador da vítima. O intuito é infectar a rede do alvo ou interceptar toda a informação possível, ajudando seus criadores a encontrar o que estavam procurando na rede.

Spear phishing não é para os pequenos golpistas, que buscam lançar as suas redes o mais longe possível. Eles não têm tempo, nem meios de customizar as suas ferramentas. É uma arma para ataques maiores em grandes corporações, bancos ou pessoas influentes. Esse tipo de ataque é desenvolvido em campanhas de ameaças persistentes e avançadas (APT), como  Carbanak ou BlackEnergy. Também foi usado nos ataques Bad Rabbit, que começaram via e-mail.

Quem são os alvos?

Os alvos mais comuns de spear phishing são os funcionários de alto nível com acesso à informação potencialmente estratégica e as equipes de departamentos que trabalham com  diversos documentos vindos de fontes externas.

Por exemplo, os departamentos de recursos humanos recebem vários currículos em todos os formatos. Por isso, e-mails com anexos de fontes desconhecidas não é são nem um pouco surpreendentes ou suspeitos. A área de relações públicas e vendas também são vulneráveis, assim como tantas outras.

O setor de contabilidade também está numa zona de risco especial. Para começar, lidam com contratantes, reguladores e só Deus sabe quem mais. E, claro, trabalham com softwares de bancos e dinheiro. Para os hackers em busca de uma brecha, é o lugar perfeito.

Já os espiões estão interessados em pessoas que têm acesso interno aos sistemas – de administração e TI.

Mas não seja enganado pela ideia de que spear phishing só acontece nas grandes companhias. Pequenos e médios negócios também são interessantes. Porém, enquanto os maiores estão mais propensos a serem espionados, os demais provavelmente serão roubados.

Medidas de proteção

No geral, as técnicas mais eficazes para combater spear phishing são mais ou menos as mesmas que para os outros tipos de phishing. Veja nosso post com 10 dicas para máxima proteção contra essa ameaça.

No mundo ideal, e-mails phishing não deveriam nem chegar à sua caixa de entrada. Em uma infraestrutura empresarial, tais mensagens devem ser filtradas no nível do servidor. Há pacotes de softwares especiais que podem ajudar nisso. Por exemplo, o Kaspersky Security for Mail Server usa tecnologias de nuvem para bloquear ataques maliciosos e links de phishing.

Ainda assim, para melhores resultados, o sistema de segurança deve ser multicamadas. Afinal, é possível na teoria (e na prática) que os funcionários usem serviços de e-mail de terceiros ou recebam um link de phishing em uma mensagem instantânea. Então, o melhor é equipar as estações de trabalho com uma solução capaz de detectar atividades maliciosas em aplicativos que os cibercriminosos costumam atacar. Nossa sugestão é o Kaspersky Endpoint Security for Business.

Cibercriminosos começaram a explorar a popularidade do Blockchain

Por IDGNow em 10/11/2017

Cryptocurrencies tem sido um tema regular na mídia há vários anos. Os analistas financeiros prevêem um grande futuro para eles, vários governos estão pensando em lançar suas próprias moedas, e as placas gráficas são varridas das prateleiras assim que elas estão à venda. Claro, os spammers não conseguiram resistir aos tópicos da tecnologia de criptografia, mineração e cadeias de blocos.

De acordo com o relatório Spam e Phishing, Kaspersky Lab, no terceiro trimestre de 2017 os criminosos usaram, com sucesso, vários truques para enganar usuários e roubar seu dinheiro. Passaram até a explorar o grande interesse pelo Blockchain. Blockchain: Saiba com a SONDA o que é e como essa tecnologia pode ser utilizada Patrocinado  

Geralmente, os fraudadores começam por motivar as pessoas a investir mais e mais dinheiro e, em seguida, simplesmente desaparecem, deixando a vítima ler críticas irritadas na Internet de outros depositantes enganados.

Em um dos esquema de fraude observados por pesquisadores da Kaspersky Lab, oc criminosos ofereceramm aos internautas mais informações sobre criptografia do BitCoin e como poderiam se beneficiar com ela, através de treinamento online. Os usuários enganados pagam um preço alto, acreditando ser diante de um anúncio legítimo.

Em outro golpe, os usuários receberam um convite por e-mail para instalar um software especial de negociação no mercado de moedas criptografadas, mas, ao clicar no link, eram redirecionados para diversos sites que promovem opções de investimentos, inclusive negócios com opções binárias. O objetivo dos cibercriminosos, nesse caso, foi motivar os usuários a investir cada vez mais dinheiro e a transferir moeda para a conta comercial dos criminosos.

Mais primitivas, mas não menos eficientes, as táticas usadas para explorar as vítimas também incluem a distribuição de e-mails com ofertas para transferir dinheiro para uma carteira criptografada específica, onde o usuário receberia seu dinheiro de volta com juros – mas é claro que isso nunca acontece. Inicialmente, os usuários transferem dinheiro para uma carteira desconhecida, e o criminoso virtual é beneficiado.

"Enquanto no segundo trimestre do ano observamos ataques de phishing e o spam WannaCry, nos três últimos meses observamos a exploração ativa da popularidade e do interesse nas moedas criptografadas por criminosos. Mais uma vez, isso mostra que a maneira mais confiável de atacar as vítimas é utilizando as modas atuais e tirar vantagem de um mercado que os usuários ainda não conhecem bem, mas desejam muito explorar”, diz Darya Gudkova, especialista em análise de spam da Kaspersky Lab. “Não há dúvida de que os ataques desse tipo continuarão, então é extremamente importante que os usuários prestem muita atenção, estejam alertas e em dia com os fenômenos globais.”

Phishing em alta

Além disso, durante o terceiro trimestre do ano, os pesquisadores detectaram um aumento de 13 milhões nos ataques de phishing. O sistema antiphishing da Kaspersky Lab foi disparado 59.569.508 vezes nos computadores de usuários da Kaspersky Lab. No geral, 9,49% de usuários únicos de produtos Kaspersky Lab em todo o mundo foram atacados por phishers no terceiro trimestre de 2017.

Ao mesmo tempo, os criminosos têm focado mais os aplicativos de mensagens em dispositivos móveis para realizar golpes populares. Frequentemente, os golpistas tentam roubar dinheiro sob pretexto de atualizar o WhatsApp ou pagar uma assinatura. Scammers oferecem uma escolha de assinatura - por um ano, três anos ou cinco. No entanto, as vítimas perderão muito mais do que o montante indicado se inserirem os detalhes do cartão bancário em tal site.

Os usuários da Netflix são outro alvo popular de phishers. O número de ataques contra eles aumentou no terceiro trimestre. Os criminosos costumam pedir detalhes do cartão bancário dos usuários sob o pretexto de uma falha no pagamento ou outros problemas relacionados à renovação da assinatura.

O Brasil foi o país com maior porcentagem de usuários afetados por ataques de phishing (19,95%), como no trimestre anterior. Em geral, 9,49% dos usuários da Kaspersky Lab em todo o mundo foram atacados por phishing.

Os principais alvos de ataques de phishing continuaram os mesmos desde o início do ano. Estão principalmente no setor financeiro e incluem bancos, serviços de pagamentos e lojas virtuais.

Hackers Stole $150,000 from Cryptocurrency Wallets Using CryptoShuffler Trojan

By Waqas on November 2, 2017 

Popular cryptocurrency wallets are under threat currently as the notorious CryptoShuffler Trojan is stealing cryptocurrencies. According to the findings of Kaspersky Labs, which discovered the Trojan, mainstream cryptocurrencies including Dash, Monero, Ethereum, Bitcoin, and Zcash, etc., have been targeted by attackers so far using CryptoShuffler and hackers have stolen $150,000 (£113,250) worth of Bitcoins.

The Trojan attacks cryptocurrency wallets by modifying the original, legitimate address of the user with its own on the clipboard of the targeted device. As per the researchers at Kaspersky Lab, attacks that involve hijacking of clipboards are not unheard of as there are instances where attackers targeted online payment systems with this method but cases involving hijacking of cryptocurrency host address are quite rare.

More: How SS7 Flaw Can Be Used to Hack Gmail ID and Bitcoin Wallet

“The malware described is a perfect example of a ‘rational’ gain. The scheme of its operation is simple and effective: no access to pools, no network interaction, and no suspicious processor load,” noted malware analyst at Kaspersky Lab, Sergey Yunakovsky.

Researchers also noted that the mechanism of CryptoShuffler is quite straightforward where user’s walled ID number which is widely used in transaction process by copy-pasting it as the Destination Address in the transaction software that is being used, is replaced with the one sent by the malware creator. All the Trojan has to do is monitor the clipboard to do the modification.

What happens later is that the wallet ID that user enters in the Destination Address line is not the original one and the money is transferred to the attacker. The entire process is completed within milliseconds since searching for wallet addresses is quite easy; most cryptocurrency wallet addresses bear similar beginning and an identifiable number of characters.

“Intruders can easily create regular codes to replace them,” wrote the researchers.

A Russian language forum discussing CryptoShuffler trojan

CryptoShuffler has been around since 2016 when it attacked Bitcoin wallet while the latest campaign was discovered in June 2017. Kaspersky researchers stated that the way this Trojan attempts to attack cryptocurrency wallets shows that an infected device may not necessarily display ransom note or slow down the device, but they work discreetly without getting detected.

“The longer they remain undetected, the more money they will make for their creators,” read the blog post from the security firm.

Cryptocurrency has become part of our daily life, but this very fact makes it vulnerable to targeted cyber-attacks. The more embedded it gets into our world, the higher is its tendency to be targeted by malicious cybercriminals.

“Lately, we’ve observed an increase in malware attacks targeted at different types of cryptocurrencies, and we expect this trend to continue. So, users considering cryptocurrency investments should think about protecting their investments carefully,” stated Yunakovsky.

If you want to keep your crypto savings protected from cybercriminals, you need to monitor transactions carefully and cross-check the wallet ID listed in the Destination Address line with the one you need to send money on. An invalid address and an incorrect address both different significantly since the system and transaction will instantly identify an invalid address will be halted whereas a wrong address will not be identified as such.

Hackers russos teriam usado antivírus da Kaspersky para roubar dados da NSA, diz jornal

Da Redação Computerworld

11 de Outubro de 2017

O software antivírus da Kaspersky, usado por várias agências dos EUA, foi supostamente explorado por hackers russos como uma espécie de ferramenta de buscas para acessar informações sensíveis do governo americano, informa o The New York Times. Na semana passada, o The Wall Street Journal havia noticiado que hackers russos roubaram os documentos depois que um profissional contratado da Agência de Segurança Nacional (NSA) dos EUA acessou o material classificado como informação confidencial e salvado em seu computador.

Segundo o New York Times, agentes de inteligência israelenses descobriram a exploração depois de invadir os sistemas da Kaspersky em 2014. Os agentes disseram ter roubado senhas, screenshots e capturaram e-mails e documentos, para analisar atividades de ciberespionagem russas. Ao fazê-lo, descobriram que hackers patrocinados pela Rússia usavam o software Kaspersky para escanear informações classificadas dos EUA que poderiam ser retransmitidas de volta às agências de inteligência russas.

O governo dos EUA disse que vai parar de usar o software Kaspersky.

A Kaspersky Lab emitiu comunicado na terça-feira, 10, negando qualquer envolvimento nos hacking russos. "A Kaspersky Lab reitera a sua vontade de trabalhar junto com as autoridades dos EUA para abordar quaisquer preocupações que possam ter sobre nossos produtos", diz a nota. "A Kaspersky Lab nunca ajudou, nem ajudará, nenhum governo no mundo com seus esforços de ciberespionagem", finaliza o texto.

Apesar da reação do governo norte-americano, é comum que hackers patrocinados por governos explorem softwares antivírus para fins de espionagem. Funcionários da NSA e da CIA garantiram nunca ter utilizado o software Kaspersky para esse motivo.

U.S. Believes Russian Spies Used Kaspersky Antivirus to Steal NSA Secrets

Mohit Kumar

Em 06/10/2017 no site The Hacker News

Do you know—United States Government has banned federal agencies from using Kaspersky antivirus software over spying fear?

Though there's no solid evidence yet available, an article published by WSJ claims that the Russian state-sponsored hackers stole highly classified NSA documents from a contractor in 2015 with the help of a security program made by Russia-based security firm Kaspersky Lab.

Currently, there is no way to independently confirm if the claims on the popular security vendor published by the Wall Street Journal is accurate—and the story does not even prove the involvement of Kaspersky.

"As a private company, Kaspersky Lab does not have inappropriate ties to any government, including Russia, and the only conclusion seems to be that Kaspersky Lab is caught in the middle of a geopolitical fight," Kaspersky said in a statement.

The NSA contractor working with the American intelligence agency, whose identity has not yet been disclosed, reportedly downloaded a cache of highly classified information from government systems and moved it to a personal computer at home, which is clear violation of known security procedures.

Citing some anonymous sources, the Journal says that the targeted computer was running Kaspersky antivirus—the same app the U.S. Department of Homeland Security (DHS) recently banned from all government computer systems over spying fear.

The classified documents taken to home by the contractor contained details about how the NSA breaks into foreign computer networks for cyber espionage operations as well as defends its systems against cyber attacks.

Although what role Kaspersky played in the breach is not entirely clear, US officials believe antivirus scan performed by Kaspersky Lab’s security software on the contractor's computer helped Russian hackers in identifying the files containing sensitive information.

In response to the WSJ story, Kaspersky CEO Eugene Kaspersky said his company "has not been provided with any evidence substantiating the company's involvement in the alleged incident. The only conclusion sees to be that Kaspersky Lab is caught in the middle of a geopolitical fight."

Also, it is not clear exactly how the files were stolen, but it has been speculated that the antivirus’ practice of uploading suspicious files (malware executables) on the company's server, located in Russia, may have granted the Russian government access to the data.

Another possibility is that Russian hackers stole the confidential data by exploiting vulnerabilities in Kaspersky Lab software installed on the targeted system, according to the person, who asked not to be identified.

"Now, if we assume that what is reported is true: that Russian hackers exploited a weakness in our products installed on the PC of one of our users, and the government agencies charged with protecting national security knew about that, why didn’t they report it to us?" Kaspersky said.

"We patch the most severe bugs in a matter of hours; so why not make the world a bit more secure by reporting the vulnerability to us? I cannot imagine an ethical justification for not doing so."

This breach of NSA classified files, which is being called "one of the most significant security breaches in recent years," was occurred in 2015, but detected in 2016.

However, it is not clear whether this security incident has any ties to the Shadow Brokers campaign, an ongoing public leak of NSA hacking tools that many officials and experts have linked to the Russian government.

It is another embarrassing breach for the NSA, which has long struggled with contractor security—starting from Edward Snowden to Harold Thomas Martin and Reality Winner.

Ataques de malware já afetaram 30% dos internautas brasileiros neste ano

Da Redação Computerworld

11 de Setembro de 2017 - 17h58

Os ataques de malware cresceram 59% na América Latina nos primeiros oito meses deste ano, quando a Kaspersky Lab registrou mais de 677 milhões de ataques na região, número bem superior aos 398 milhões recebidos no mesmo período do ano passado.

Segundo estimativas da empresa de segurança, os usuários latino-americanos estão sujeitos a nada menos do que 117 mil ataques de malware por hora, o equivalente a 33 ataques por segundo.

Os usuários do Brasil, México e Colombia registraram o maior número de ciberataques desse tipo neste ano. O Brasil lidera em termos per capita, já que essas ameaças afetaram 30% dos seus internautas, de acordo com a Kaspersky — o top 5 é completado por Honduras (23,5%), Panamá (22,6%), Guatemala (21,6%) e Chile (20,6%).

Além disso, o Brasil lidera em termos de hospedagem de sites maliciosos. Nada menos do que 84% dos hosts localizados na América Latina usados em ataques contra usuários pelo mundo estão em no país.

Os dados divulgados nesta segunda-feira, 11, pela Kaspersky apontam que a região teve uma quantidade considerável de ameaças cibernéticas, muitas das quais foram direcionadas ao roubo de dinheiro.

Segundo o estudo da empresa, a grande maioria desses ataques foi off-line, tendo sido detectada e bloqueada no disco rígido dos usuários — a infecção pode ter ocorrido por meio de pendrives, redes ou outros meios. Mas se forem considerados ataques via internet, a maioria ocorreu pela pela web (85%), enquanto que os 15% restantes foram por e-mail. 

Cada vez mais comuns no mundo, os smartphones também vem se tornando um alvo e tanto para os cibercriminosos. A Kaspersky relatou ter encontrado 931 mil ataques de diferentes tipos de ameaças mobile, como adware, malware e tentativas de inserir links maliciosos em aplicativos.

Dica de Segurança - Tecnologia torna golpes por telefone mais avançados

Igor Kuksov

Em 01/09/2017 no site Kaspersky

Leitores desse blog já conhecem golpes por telefone – você provavelmente até já recebeu uma ligação esquisita ou duas. Contudo, não aceita ofertas de estranho ou fornece informações pessoais ao falar com eles, então sem problema não é mesmo?

Bem, a resposta é não. Não só não, como não mesmo. Há pouco tempo, a Comissão Federal de Comunicações (FCC na sigla em inglês) dos EUA emitiu um alerta sobre um golpe de telefone curioso. Criminosos ligam para suas vítimas e fazem perguntas aparentemente inocentes: “Pode me ouvir?” -uma resposta “Sim” é tudo que precisam. Utilizando a gravação da afirmativa, inscrevem as vítimas em serviços pagos, que serão incluídos na conta de telefone.

O tipo de golpe no qual serviços adicionais são incluídos na conta do cliente sem seu consentimento (por exemplo, mensagens diárias com horóscopo ou notícias) é chamado cramming (encher).

Considere diversos pontos alarmantes sobre esse tipo de golpe. Como isso sequer é possível? Por que a polícia não faz nada? É realmente possível usar uma gravação de voz para inscrever alguém em um serviço adicional?

Tecnicamente, o golpe é possível porque as operadoras de telefone permitem incluir serviços terceiros na conta do usuário.

O truque em si não é novo: 800Notes.com, site que lista telefones suspeitos, informou sobre o esquema pela primeira vez ainda em 2008. Naquele tempo, era usado para impor serviços às empresas. De acordo com esses que morderam a isca, as gravações de áudio eram editadas de modo que parecia que a vítima concordou em adquirir um serviço pago.

Autoridades estão tentando combater o golpe. Em 2015, a FCC obrigou as gigantes da comunicação Verizon e Sprint a pagarem uma multa de US$ 158 milhões em virtude de queixas de clientes a quem foram impostos serviços. Ainda assim, técnicas de fraude como essa podem acabar crescendo, acompanhando o desenvolvimento das tecnologias da comunicação.

Voice banking

Com o crescimento da popularidade da autenticação por voz, em futuro próximo algo similar ao cramming pode se tornar um problema no setor bancário. Por exemplo, um dos maiores bancos no Reino Unido, o Barclays, introduziu autenticação por voz para todos os clientes privados em 2016.

O HSBC também permite que clientes utilizem essa forma de autenticação no lugar de senhas. Clientes tem de ligar para o banco e realizar a validação por meio de uma palavra código e dizem em voz alta “Minha voz é minha senha”.

A corporação global financeira alega estar protegida contra tentativas de transpassar seu sistema por meio de gravações por voz de seus clientes. Supostamente, a tecnologia de Biometria por voz cria uma impressão vocal que reconhece nuances físicas e comportamentais do discurso de alguém.

Além disso, golpes de telefone terão de encontrar uma forma de fazer com que o cliente diga a frase secreta inteira. O que parece pouco possível, contudo podem fazer com que o cliente fale as palavras que precisam uma a uma, em diversas ligações.

Assim que alguém consegue inventar uma forma de enganar as pessoas, outro pensará em uma forma de evitá-la. Por exemplo, a Pindrop criou uma tecnologia que leva em conta diversos fatores – incluindo localização – ao avaliar a autenticidade de uma validação remota. Uma chamada do outro lado do planeta irá alertar o sistema, por exemplo. Bancos usam esse tipo de tecnologia antifraude.

Outro sinal – embora não muito preciso – é o canal de comunicação escolhido. De acordo com estatísticas do Pindrop, golpistas usam o VoIP em 53% dos casos -se comparamos aos clientes genuínos, a proporção é bem diferente, com apenas 7% usando o VoIP para contatar seus bancos. Por essas razões, o sistema identifica automaticamente chamadas por VoIP.

Naturalmente, golpistas reagem – por exemplo, ao estimular conexão de baixa qualidade, que teoricamente torna mais difícil para o sistema identificar o remetente. Evidentemente, ataques por celular expandirão seus arsenais com ferramentas novas e poderosas logo.

Não diga nada

O projeto VoCo, conhecido por “Photoshop para vozes” foi demonstrado na Adobe MAX conference em 2016.

Depois de analisar fragmentos de discurso, o sistema gera uma amostra da voz da pessoa, e inclui palavras faladas que não foram ditas na gravação fonte. A invenção, de acordo com relatórios da BBC, já causou preocupação entre especialistas de segurança da informação. O VoCo, assim como seu ancestral gráfico, pode se tornar uma ferramenta que permita lesar as pessoas, ou burlar sistemas de autenticação por voz.

A Adobe não é a única. O Google anunciou seu próprio projeto de síntese de discurso realístico em 2016, e uma startup canadense, chamada Lyrebird anunciou sua tecnologia de geração de fala em abril de 2017. Uma gravação de 1 minuto é suficiente para treinar o sistema a dizer frases aleatórias com a voz de uma pessoa gravada anteriormente (você pode ouvir um discurso sintetizado entre políticos americanos aqui). Os próprios desenvolvedores admitiram que a capacidade de síntese de fala do software é potencialmente perigosa, especialmente para políticos.

Os fundadores da Lyrebird resolveram a questão ética da tecnologia com a seguinte frase: “Esperamos que todo mundo logo esteja certo que essa tecnologia existe e que copiar a voz de alguém é possível.”

Como lidar com isso

1. As especificidades do ataque em que a vítima é coagida a dizer uma única palavra (“Sim”) pede por uma solução radical. O FCC recomenda não responder chamadas de número desconhecidos. Se alguém realmente quiser falar com você, deixará uma mensagem.

2. Não revele dados pessoais.

3. Sempre verifique notas fiscais e contas de itens inesperados.

4. Um método individual que oferece alguma proteção contra alguns spams de telefone é editar suas informações de contato no cadastro de empresas de telemarketing.

Dica de Segurança - Não digite durante videoconferências

Por Renato Rodrigues

Em 04/09/2017 no site Kaspersky

Muitos de nós conversamos pelo Skype, Hangouts, WhatsApp, ou Viber enquanto usamos o computador para outros fins. Você sabe que isso não é muito educado, mas pode ser também perigoso. Seu parceiro de conversa pode descobrir o que você está digitando.

Click, click, click… – falando ao telefone ou pelo Skype, quase todo mundo sabe que seu parceiro de conversa pode estar conversando ou fazendo algo mais durante a conversa. O som das teclas em um teclado físico é bastante característico.

Com o auxílio de aprendizado de máquina e um computador é possível descobrir o que seu parceiro de conversa está digitando. Quase toda tecla possui um som um pouquinho diferente da outra, o que significa ser possível usar uma gravação do áudio para descobrir quais teclas foram pressionada. A precisão não é perfeita, mas é bem alta.

Na conferência Black Hat em Las Vegas, vimos uma apresentação sobre isso. De acordo com pesquisadores, mesmo depois de distorções inerentes a transmissão online, a gravação da digitação ainda possui informação suficiente para alimentar o aprendizado de máquina que resulta nas cinco teclas mais prováveis para um dado clique. O resultado foi diferente para os três notebooks usados na pesquisa, mas foi possível recuperar o texto até dos sons mais indistintos, os de um laptop Lenovo.

É aqui que entram em cena os resultados baseados em dicionário. As pessoas geralmente digitam palavras que fazem sentido, portanto qualquer coisa fora do contexto é eliminada. É suficiente saber qual layout de teclado e língua a pessoa utilizou. O algoritmo de demonstração entregará um resultado plausível em segundos.

Os especialistas alegam que a tecnologia pode ser usada para roubar senhas, embora soe um pouco forçado. Senhas são curtas demais e não consistem em palavras de reais na maioria das vezes. Esperamos que não, pelo menos.

A ameaça da possibilidade de uso dessa técnica por Skype pode não parecer tão séria, mas consiste numa informação útil, especialmente se você lida com informação confidencial. Além do mais, digitar durante uma conversa não é nada educado, portanto, evite esse tipo de atitude multitarefas que irá proteger sua privacidade e mostrar respeito ao seu interlocutor.

Todavia, se você se pegar em uma videoconferência especialmente longa e cansativa, lembre-se da regra de ouro: qualquer um que não esteja falando deve deixar seu microfone mudo até que seja sua vez de falar.

Ataques contra empresas usam serviços da Microsoft

Serge Malenkovich
Em 23/08/2017 no site Kaspersky Lab

Hackers estão se aproveitando de softwares legítimos. Diversas apresentações da conferência Black Hat 2017 demonstraram que as soluções empresariais da Microsoft podem ser bem úteis nas mãos de pessoas mal-intencionadas.

Empresas que usam clouds híbridas precisam adotar diferentes considerações de segurança das que usam sistemas de nuvem tradicionais. Contudo, na prática, as atualizações não são feitas rápido o suficiente, e o resultado são inúmeros pontos cegos que hackers podem explorar, como demonstrado em julho na conferência hacker a Black Hat 2017. Estudos mostraram o quanto a infraestrutura de negócios pode de fato ajudar cibercriminosos a se manter invisíveis para a maioria das soluções de segurança.
Assim que os hackers se infiltram na rede corporativa, sua maior dificuldade é encobrir a troca de dados entre máquinas infectadas. Essencialmente, seu objetivo é impelir máquinas infectadas a receberem comandos e transmitir informações roubadas sem alertar sistemas de detecção de invasores (sigla em inglês IDS) e sistemas de prevenção de perda de dados (DLP). Favorecendo esses ataques, os serviços da Microsoft às vezes não funcionam em zonas de restrição de segurança, de modo que os dados transmitidos por esses eles não são verificados profundamente.

Estudo desenvolvido por Ty Miller e Paul Kalinin, da Threat Intelligence, mostra como bots podem se comunicar por meio de serviços de diretórios ativos (AD em inglês) em uma rede corporativa. Pois todos os clientes – incluindo dispositivos móveis –  e a maioria dos servidores, tem de acessar o AD para autenticação, e seus servidores são o “ponto central de comunicação” -bem conveniente para gerenciar uma botnet. Além disso, os pesquisadores dizem que a integração do Azure AD com servidores de AD garantem acesso direto do lado de fora.

Como o AD pode auxiliar uma botnet a extrair dados? O conceito é bem simples. Por definição, cada cliente na rede pode atualizar suas informações – por exemplo, número do usuário e endereço de e-mail – no servidor AD. Os campos passíveis de escrita incluem alguns de alta capacidade que podem armazenar até 1 megabyte de dados. Outros usuários de AD podem ler toda essa informação, criando assim um canal de comunicação.

Pesquisadores recomendam monitoramento periódico de campos de AD por mudanças pouco usuais e ações que desabilitem a capacidade dos usuários de escrever na maioria dos campos.

Estudo realizado por Craig Dod, da Juniper Networks, esclarece outra técnica para extração de dados encobertos, utilizando o Office 365 services. A técnica mais popular emprega o OneDrive para Business, que quase 80% dos clientes usam. Hackers gostam disso porque o pessoal de TI normalmente confia nos servers da Microsoft, fornecendo conexões de alta velocidade e permitindo ignorar criptografia para uploads. Como resultado, a tarefa de um cibercriminoso é reduzida a conectar-se ao disco do OneDrive em um computador alvo por meio de credenciais de usuário fora da empresa. Nesse caso, copiar os dados para o OneDrive não se enquadra em evasão do perímetro, de modo que sistemas de segurança assumem que o disco conectado é de natureza corporativa. Esse disco pode ser conectado de forma invisível, diminuindo as chances de detecção. Por isso, o responsável pelo ataque precisa de duas outras ferramentas da Microsoft para isso, o Internet Explorer e o PowerShell. Como resultado, um bot pode copiar livremente dados para “seu próprio” disco, e o autor pode simplesmente baixá-los do OneDrive.

De acordo com Dods, para se proteger contra esse tipo de ataque, usuários precisam restringir o acesso para permitir apenas subdomínios do Office 365 que pertence à empresa. Executar uma inspeção do tráfego criptografado e analisar o comportamento dos conflitos do PowerShell em sandbox também é recomendado.

Leve em conta que essas ameaças são apenas hipotéticas. Para usar essas tecnologias, cibercriminosos entrar na infraestrutura da vítima, de alguma forma. Feito isso, sua atividade será indetectável não apenas para a maioria das soluções de segurança atualizadas, mas para observadores despreparados também. É por isso que faz sentido analisar a infraestrutura de TI em busca de vulnerabilidades periodicamente. Nós, por exemplos, temos diversos serviços especializadosem análises do que ocorre dentro da infraestrutura da perspectiva da segurança da informação – e, se necessário vasculhar o sistema por intrusões.

Descoberto vírus que pode roubar dados bancários de usuários do Android

Por Computerworld em 23/8/2017

Pesquisadores da empresa de segurança Kaspersky descobriram um novo vírus chamado Fakedtoken, capaz de roubar os detalhes bancários de usuários de smartphones com sistema operacional Android. Surpreendente por sua sofisticação, o programa lembra que é importante estar sempre atento: nunca digite seus dados bancários em aplicações e sites de fontes desconhecidas ou a sua conta pode ficar vazia rapidamente.

Infelizmente, parece que mesmo na loja Google Play as aplicações não são necessariamente confiáveis. Os pesquisadores da Kaspersky, que recentemente lançaram um antivírus gratuito, não apenas descobriram que o programa pode roubar dados bancários dos correntistas, mas também monitorar suas mensagens de texto e chamadas telefônicas.

O vírus foi criado no ano passado e aprimorado ao longo de tempo. Inicialmente era um cavalo de Tróia capaz de interceptar mensagens de texto para roubar identidades bancárias. Agora, ele se propaga em mensagens via SMS enviadas em ondas para roubar o acesso bancário ao oferecer aos usuários a possibilidade de colocar suas fotos.

Para Michael Magrath, diretor mundial de Regulamentações e Padrões da Vasco Data Security, muitos aplicativos móveis são infectados e os usuários precisam aprender rapidamente que seus dados pessoais, incluindo os bancários, podem estar em risco. “Fakedtoken é um vírus impressionante, mas controlável. Programas criminosos como ele podem ser inibidos quando as aplicações móveis empregam a tecnologia Runtime Application Self-Protection [RASP]”, comenta Magrath, destacando que ela reúne um conjunto de tecnologias que agregam uma camada adicional de segurança diretamente nas aplicações móveis detectando e prevenindo os ataques criminosos.

“As aplicações moveis são mais vulneráveis durante a execução, quando estão abertas e desprotegidas contra-ataques realizados em tempo real. A tecnologia RASP mantém a sua integridade mesmo se o usuário inadvertidamente baixa um programa criminoso em seu aplicativo”, conclui o especialista.

Trojans para Android imitam apps para chamar táxi

Alex Drozhzhin
Em 28/08/2017 no site Kaspersky Lab

Você está com pressa, tentando chegar ao trabalho, uma reunião de negócios, um encontro. Então decide usar seu app de táxi favorito como sempre, mas dessa vez, algo parece diferente: suas informações de cartão de crédito estão sendo solicitadas. Suspeito? Talvez não – aplicativos esquecem informações às vezes, e tudo que você tem que fazer é adicioná-las e esperar o taxista.
Contudo, depois de um tempo, percebe que dinheiro tem sumindo da sua conta. O que aconteceu? Você pode ter sido premiado com um mobile Trojan. Esse tipo de malware foi usado recentemente para roubar dados bancário por meio da sobreposição de aplicativos para solicitar táxi.

O Faketoken Trojan já existe há bastante tempo, e foi atualizado ao longo dos anos. Nossos especialistas batizaram a atual versão de “Faketoken.q” e no momento ele sabe diversos truques.

A partir do momento que entra em um smartphone (julgando pelo ícone do malware, o Faketoken entra no smartphone por meio de mensagens de SMS para baixar alguma foto) e instalar os módulos necessários, o Trojan esconde seu atalho e inicia suas atividades em segundo plano.
Primeiro, o Trojan está interessado nas ligações do usuário. Logo que uma é iniciada, a gravação começa. Quando a chamada termina, o Faketoken encaminha o arquivo de áudio para o servidor do criminoso. Ele também verifica quais apps o dono do smartphone usa.

Quando o Faketoken detecta o lançamento de um aplicativo cuja interface consegue imitar, ele a sobrepõe imediatamente. Para isso, utiliza as funções padrões do Android que permitem a exibição de telas sobre os outros apps. Diversos apps legítimos, como messengers e gestores de abas usam essa função.

A janela sobreposta utiliza a mesma cor da interface do aplicativo de verdade. Nessa janela, o Trojan faz o usuário inserir seu número de cartão de crédito, incluindo o código de verificação.

Na verdade, o Faketoken.q segue uma variedade gigantesca de apps que possui uma coisa em comum: nesses, uma requisição de inserção de dados de pagamento não parecem coisa de outro mundo. Entre os aplicativos atacados estão diversos bancários: Android Pay, o Google Play Store, reserva de voos e hotéis e pagamento de tickets de estacionamento – bem como para reservar táxis.

No momento do roubo do dinheiro do usuário, o Faketoken ainda tem mais subterfúgio: intercepta as mensagens SMS, escondendo-as do usuário. O vírus as encaminha para o servidor do criminoso, das quais senhas de confirmação de transação de uso único são extraídas.

A julgar pelo pequeno número de ataques registrados e os artefatos de UI, diríamos que os pesquisadores de nosso laboratório colocaram as mãos em uma versão de teste do Trojan, não a final.

Não podemos subestimar os criadores assíduos do Faketoken. Muito provavelmente irão melhorar o Trojan, e uma onda de ataques pode resultar da versão “comercial” do vírus em algum momento.

No momento, o Trojan tem por foco a Rússia, mas não seria a primeira vez que cibercriminosos roubam ideias uns dos outros, por isso, não há de demorar para que outros adotem o mesmo truque em outros países. Diversos habitantes de cidades utilizam aplicativos para chamar táxis com frequência, de modo que o truque representa uma excelente oportunidade aos criadores de malware.

Abaixo temos diversas dicas para você se proteger do Faketoken e Trojans similares que podem roubar informações de cartão de crédito e interceptar mensagens de SMS com senhas de uso único para a confirmação de pagamentos.

• Para isso, é imprescindível acessar as configurações do Android e proíba a instalação de aplicativos de fontes desconhecidas. Para bloquear, vá em Configurar -> Segurança e desmarque Fontes Desconhecidas.