Menu da Revista Fechar Menu da Revista

Segurança de Endpoint  

Últimas histórias

how to ransomware factory

Como lidar com Ransomware: aprenda a deter e diminuir os impactos do mais comum dos ataques cibernéticos.

  • min de leitura
    • O sequestro de dados de um negócio exigindo um resgate (em inglês "ransom") tem se tornado uma forma de ataque cada vez mais comum. Uma pesquisa da Kaspersky mostrou que o volume desse tipo de ameaças aumentou 25% nos últimos três anos. Em 2019, o Breach Investigations Report, estudo realizado pela Verizon, também reafirmou essa informação: "Os ataques de ransomware têm se tornado tão comuns que já não chamam a atenção da mídia especializada, a menos de que aconteçam com empresas do alto escalão".   Essa estranha familiaridade pode fazer com que as pessoas deixem de se preocupar com eles, mas, na verdade, este é o momento ideal para que você comece a se planejar e pensar o que sua empresa pode fazer para prevenir e lidar com esse tipo de ataque tão comum.   O que são business ransomware? Não, não são aqueles e-mails de spam que afirmam ter seus dados pessoais. Um ransomware é um tipo de ataque sofisticado e envolve uma série de etapas.   Primeiro, os criminosos encontram uma forma de acessar um endpoint, que é uma porta de entrada para seu sistema. Geralmente, utilizam métodos como engenharia social ou phishing para obter as credenciais e senhas de alguém da sua equipe ou conseguem invadir por meio de um pen-drive infectado. Depois, inserem um malware no sistema que criptografa arquivos e pastas. Finalmente, o malware envia um aviso ao usuário dizendo que sua máquina está infectada e exigindo um resgate em troca daqueles arquivos.  Os criminosos têm o costume de estudar a infraestrutura do alvo para entender que bases de dados e diretórios são os mais importantes. Logo, eles combinam diversos produtos e serviços maliciosos para hackear o sistema pouco a pouco, em uma determinada ordem. Quando não são pagos imediatamente, os invasores costumam divulgar abertamente os dados sequestrados. As indústrias mais vulneráveis ao ransomware Mas, as brechas causadas pelo ransomware não costumam ser incidentes isolados. É bem comum que esse tipo de ataque aconteça quando há uma série de erros de segurança de TI ou práticas não-recomendadas na área. Se o seu negócio não oferece treinamentos e programas de conscientização sobre segurança digital ou tem atrasos nos sistemas de atualização e patching, os riscos se tornam ainda maiores.  Ataques ao alto escalão: o ransomware high-profile Criminosos digitais têm usado ransomware para atacar empresas gigantes nos últimos anos.  Eliminando os dados O maior ataque de todos os tempos, ou ao menos o mais caro para as vítimas, foi o ataque às gigantes da logística Maersk e FedEx, chamado de NotPetya (também conhecido como ExPetr). A invasão derrubou os sistemas de ambas por semanas e foi feito através de um worm, uma espécie de vírus que apaga dados, causando centenas de milhões de dólares em danos. Agora você vê, agora você não vê O ransomware LockerGoga foi outro ataque famoso e teve a companhia norueguesa de alumínio e energia renovável Norsk Hydro como vítima. O malware tinha uma estrutura muito avançada, com a habilidade de se autodeletar quando fosse detectado, para prevenir que os pesquisadores pudessem analisá-lo. Segundo a Norsk Hydro, o prejuízo causado não foi tão grande graças a um bom sistema de backups que a empresa mantinha, mas ainda assim as perdas chegaram a cerca de US$ 90 milhões. Um conto de 174 cidades. E contando... Ataques por ransomware a sistemas governamentais também estão em alta. Somente em 2019, criminosos digitais atacaram aproximadamente 174 prefeituras dos Estados Unidos via ransomware, cerca de 60 cidades a mais que no ano anterior. A cidade de Baltimore, por exemplo, uma das maiores do país, sofreu dois ataques em 2018 e 2019 que juntos custaram mais de US$ 18 milhões aos cofres públicos. Um dos ataques, inclusive, tirou do ar o sistema de resposta emergencial da cidade.   Nem todos os pacientes se recuperam  A empresa de seguros de saúde californiana Wood Ranch Medical anunciou que estava encerrando suas operações no final de 2019, como resultado de um ataque por ransomware. Isso porque o ataque havia criptografado tanto os registros médicos dos pacientes quanto os backups da empresa.  Como evitar um ataque de ransomware 1. Tenha as ferramentas certas para entender as vulnerabilidades  Seu departamento de segurança de TI precisa de ferramentas para investigar o que aconteceu em cada ataque e que partes da infraestrutura precisam ser atualizadas ou substituídas. Será que você não está executando um app ou ponto de acesso solto? Você tem pontos de rede abertos e não-monitorados? Os acessos escalonados a conteúdos restritos estão sendo monitorados? Entender e verificar as raízes de problemas significa saber sua postura de defesa, ou seja, o status de segurança da sua rede e dos seus dados, e a capacidade que você tem de defendê-los, reagir a qualquer tipo de mudanças e monitorar sua resposta a incidentes. 2. Fique atento ao patching e às atualizações Invasores hoje em dia vasculham a internet procurando por servidores e aplicativos desatualizados. Com isso, muitos ataques de ransomware acontecem rapidamente, apenas dias depois de que essas vulnerabilidades sejam detectadas pelos criminosos. Atrasos são convites a invasões. Por isso, para evitar ataques, assegure que seus programas de patching cubram todos os endpoints, tanto os físicos quanto aqueles na nuvem. 3. Teste regularmente seus procedimentos de recuperação e resposta  Faça o backup de dados essenciais e assegure que esses backups estejam intactos e sejam recuperáveis. Pratique os procedimentos de recuperação e desenvolva uma ordem correta para restabelecer os dados em caso de problemas e invasões. Identifique seus arquivos mais valiosos e garanta que eles estejam resguardados. E revise regularmente esta lista para ter certeza de que não esqueceu de nada. Backups de dados e procedimentos de recuperação devem ser o ponto de partida para qualquer plano de resposta emergencial. Esse plano deve incluir exercícios e treinamentos regulares e programados, tanto de "table top" (reuniões organizadas onde cada um cumpre um papel assinalado) até a resolução de problemas organizacionais e a simulação de ataques. Tudo isso pode ser utilizado para encontrar elos fracos e obstáculos que possam bloquear a volta da infraestrutura ao ar. Além de tudo, seu plano de resposta também deve considerar um seguro digital para te proteger em casos de vazamento. Pesquise com cuidado as opções para saber qual é a cobertura ideal para o seu negócio. 4. Melhore seu programa de segurança e a média de segurança das suas senhas  Senhas fracas foram a causa de cerca de um terço de todos as tentativas de ransomware em 2019.  Realizar treinamentos regulares sobre cibersegurança é a melhor maneira de ajudar os usuários a melhorar a intensidade das suas senhas. Instale um gerenciador de senhas para toda a empresa ou uma ferramenta de verificação pessoal e ponha no ar um sistema de autenticação de múltiplos fatores (MFA) para usuários que lidem com dados privados e tarefas relacionadas a dinheiro.  O quê fazer se seu negócio for atacado por um ransomware Ao aumentar sua segurança, será mais difícil que você fique a mercê de um sequestro de dados. Ainda assim, você faz um favor para sua empresa ao se preparar para caso isso aconteça. 1. Planeje meios de comunicação alternativos Vítimas de ransomware muitas vezes ficam incomunicáveis porque sistemas como o e-mail, chamadas telefônicas e mensagens de texto podem estar afetados pela invasão. Por isso, inclua formas alternativas de comunicação na sua empresa dentro dos planos de emergência, como WhatsApp, Skype ou SMS, mas tenha em mente que esses tipos de sistema também não costumam ser os mais seguros. 2. Defina se você está disposto a pagar um possível resgate Caso a resposta seja "sim": Nos EUA, o FBI têm suavizado sua política contra o pagamento de resgates nos últimos anos. Duas cidades da Flórida, por exemplo, votaram a favor do pagamento de resgates de dados nos valores de US$ 500 e 600 mil, prejuízos provavelmente muito menores do que seriam os custos para restaurar seus respectivos sistemas. Caso a resposta seja "não": Pagar o resgate não significa que o criminoso vai honrar sua palavra. Nada impede que ele faça ainda mais exigências e o que o vírus já esteja instalado dentro do seu sistema. Mas ainda que o termo "resgate" remeta a um sequestro, onde há riscos reais para a integridade e a vida de pessoas, a menos que você opere um hospital, é bem improvável que um ransomware tenha consequências físicas. No fim das contas, pagar o resgate pode ser mais barato da primeira vez, mas também faz a sua empresa se tornar um alvo mais fácil para futuros ataques. O projeto No More Ransom, cujos membros incluem a Europol e a Kaspersky, aconselha as vítimas de ataques desse tipo a não pagar o resgate. Ao mesmo tempo, o projeto trabalha para reduzir o impacto dos ataques de ransomware ao fornecer ferramentas grátis para retirar a criptografia de arquivos. Ou seja, ainda que essa seja uma ameaça crescente, é possível evitar maiores impactos e prejuízos causados por esses ataques com uma segurança bem alinhada e planejamento prévio. Entender o alcance dos ransomware e estabelecer treinamentos e exercícios regulares para preveni-los é o que vai determinar se seu negócio conseguirá responder bem a um ataque ou não.
worlds most phished country

Conheça as estratégias para evitar o crescimento do “phishing” no Brasil

  • min de leitura
    • Cibercriminosos sempre procuram os caminhos menos protegidos na hora de atacar. Mas vulnerabilidades tecnológicas, ainda que sejam problemas sérios, não costumam ser esses tais caminhos. Isso porque, quando você tem que atualizar um software anti-malware instalado em múltiplos computadores e conta com uma rede de firewall em dia é bem difícil superar essa barreira. Some a isso criptografia, análise heurística e autenticação de múltiplos fatores (MFA) e você terá uma fortaleza protegendo seus ativos digitais. Ou, ao menos, é isso que geralmente se pensa. Qual é o problema? A maioria dos criminosos digitais não segue o estereótipo hacker. Pelo contrário, eles gostam de mirar o elo mais frágil das redes: o humano. Afinal, por que tentar furar a criptografia ou hackear uma senha quando você pode facilmente, acima de qualquer suspeita, enganar alguém para te entregar essas informações? Se o endereço de e-mail e o domínio parecem autênticos, similares aos da empresa que você está acostumado a usar, você provavelmente vai clicar nesse link sem nem suspeitar. E, na maioria dos casos, não há nada que seu sistema anti-malware possa fazer sobre isso. Esse é um dos principais motivos pelos quais os esquemas de phishing estão em alta. Só no segundo trimestre de 2019, esse tipo de crime teve um aumento de 21%. O Brasil tem a infelicidade de ser o país com mais casos de phishing no mundo, onde 29% das pessoas já foram vítimas de algum ataque do tipo. A Kaspersky vem acompanhando essa tendência nos últimos anos e decidiu que era hora de tomar medidas radicais e mudar a abordagem para lidar com esse tipo de ameaças. Nossa equipe global de análise e pesquisa bloqueou quase 37 milhões de ataques em 2017 e pouco mais de 40 milhões em 2018. Só no Brasil. Então, quais são as melhores estratégias para bloquear o phishing desde sua origem? De onde vêm os ataques? Ainda que os ataques de phishing via e-mail sejam o centro da atenção, os ataques que acontecem em outras plataformas também são muito comuns. Isso inclui SMS, chamadas telefônicas, anúncios maliciosos e perfis fake em redes sociais. No entanto, o que a maioria das armadilhas de phishing tem em comum é o fato de que elas costumam incluir uma cópia dos sites originais de alguma organização legítima, com o mesmo texto e aparência. Em alguns casos, as cópias são quase indetectáveis. O problema é que assim que a pessoa entrega suas informações confidenciais para fazer login, como nome de usuário e senha, esses dados vão parar diretamente na mão dos criminosos. Bancos e outras instituições financeiras estão entre as empresas mais "imitadas", não só no Brasil, mas no mundo todo. Mas é importante lembrar que todo tipo de organização, empresa e até indivíduo pode ser imitado. É por isso que o phishing é uma epidemia global e que afeta a todos. Cerca de 20 milhões de novos sites de phishing são criados todos os anos. É certo que a maioria deles é detectada, bloqueada e tirada do ar rapidamente, mas esse não é o ponto. Mesmo com isso, os golpistas ainda têm tempo suficiente para executar seus ataques antes de sair do ar. No Brasil, assim como em outros países, a legislação local permite que qualquer pessoa possa registrar seu próprio domínio. A única forma legal de tirar do ar um domínio malicioso é quando uma empresa entra com uma ação de violação de registro de marca contra o dono daquele domínio, em casos onde alguém usa o nome daquela marca sem autorização da empresa. Mas nem isso acontece da noite para o dia, é um processo longo. Fraudes online estão em todo lugar pelo Brasil. Os golpistas exploram quase todos os programas de fidelidade dos clientes, por exemplo. Sites governamentais são recriados para cometer fraudes em serviços públicos, como os de saúde, por exemplo. Os criminosos até já se disfarçam como corretores para manipular os índices de crédito de diversas pessoas. Em um ataque específico, o IBAMA, maior autoridade nacional para assuntos ambientais, foi usado para um esquema de phishing que liberou 23 empresas listadas por crimes ambientais para voltar às atividades. Nos dez dias seguintes, essas companhias conseguiram extrair ilegalmente uma pequena fortuna: R$ 11 milhões em madeira da floresta amazônica, o suficiente para encher 1400 caminhões. Ou seja, tudo que está online no Brasil está suscetível ao phishing a qualquer momento. Tudo começa no registro A maioria dos casos de phishing se dá com uma vítima sendo enganada e direcionada a visitar um domínio malicioso. É por isso que a equipe de pesquisa da Kaspersky quis ir direto à raiz do problema. Isso significa agir na pequena janela entre o momento em que um site suspeito é criado e a hora em ele é usado para um ataque. Demos início a esse projeto em 2014, monitorando todos os novos registros de domínio, o que incluía os nomes de todas as instituições financeiras em operação no Brasil e, por consequência, a checagem de seu registro WHOIS. A revisão desse registro nos permitiu encontrar informações básicas sobre quem registrou aquele domínio, quem foi o provedor desse registro e quando o site foi registrado. Mas esses dados isolados não são suficientes, especialmente quando há serviços de GDPR (Regulamento Geral de Proteção de Dados europeia) e privacidade ocultando outras informações. Precisamos usar alguns métodos especializados para monitorar a reputação de alguns domínios e identificar de maneira proativa registros suspeitos. As principais "histórias de pescador" da internet. Ou melhor, "histórias de phisher". Possíveis vítimas de ataques de phishing não acessam sites estranhos para acessar suas contas correntes ou outras plataformas por livre e espontânea vontade. É por isso que os criminosos têm que encontrar diferentes formas de chegar até eles. Uma das táticas mais comuns é o "typosquatting". É uma forma de "cybersquatting", que é nada menos que a prática de comprar um domínio com um nome comercialmente valioso com o intuito de vendê-lo ao titular da marca ou de enganar os consumidores. A diferença do "typosquatting" é que o domínio registrado não usa o nome de uma marca e sim um nome próximo, se aproveitando de um erro comum de digitação daquele termo. Dessa forma, o invasor espera que alguém tente acessar o site e cometa aquele erro, sendo direcionada assim a um site semelhante, porém malicioso. É por esse motivo que muitas empresas têm registrado também os domínios com os erros de digitação mais comuns em relação ao seu site original. O Google, por exemplo, redireciona para sua página principal todas as pessoas que por algum motivo cheguem até o "gooogle.com", ao invés do "google.com". De qualquer forma, existem milhares de possibilidades de erros de digitação, o que torna essa prática ainda mais difícil e pouco eficiente. Para evitar esse tipo de situação, nós usamos um método chamado "Distanciamento Levenshtein", um algoritmo de combinações de nomes que nos ajuda a detectar casos de typosquatting e bloquear domínios similares e suspeitos. Outra abordagem menos conhecida, mas cada vez mais comum é o uso de domínios internacionais (IDNs), que usam caracteres que não fazem parte do alfabeto latino. Tradicionalmente, todos os endereços da internet eram escritos em formato ASCII, mas desde a última década você já pode registrar também domínios em Unicode, para dar espaço a alfabetos como o cirílico, o grego e o chinês. O problema nesse caso é que alguns idiomas usam as mesmas letras, mas essas letras são interpretadas de diferentes formas pelos computadores. Por exemplo, a letra "b" em inglês é visualmente idêntica à letra "b" em russo, apesar de serem letras diferentes. Por exemplo, um domínio como o "caixa.gov.br", correspondente a um dos maiores bancos do Brasil, seria visualmente idêntico se escrito no alfabeto cirílico se a letra "c" fosse substituída por sua similar em cirílico. Somente um computador poderia detectar essa diferença, porque no computador cada uma dessas letras é representada por um código diferente. Existem também outras manobras que usam o sistema IDN, mas de maneira menos sutil. Algumas adicionam acentos a alguns caracteres ou letras similares,como o "k" russo em comparação com o "k" em inglês, por exemplo. Não são letras idênticas, mas sua forma parecida pode ser algo que passe despercebido por um usuário não tão atencioso. Protegendo o país do phishing. O que o futuro reserva para o Brasil? Percorremos um longo caminho desde 2014. Com o GDPR (Regulamento Geral de Proteção de Dados europeia) aparecendo como mais um obstáculo criado para mascarar informações sobre o registro de domínios, tivemos que encontrar outras formas de determinar sua autenticidade. Ainda assim, existem casos onde especialistas locais cumprem um papel fundamental e outros onde é necessária a aprovação humana. O caso da Caixa é um bom exemplo disso também. Como o termo é usado para falar tanto do objeto como do banco, é necessário um cuidado maior para não terminar colocando na lista de bloqueados, empresas inocentes que usem termos semelhantes, como marcas de logística ou embalagens. Para isso precisamos de uma análise mais especializada, muitas vezes feita manualmente. Um caso similar é o do Santander, já que o termo não é só o nome de um banco, como também o nome de uma cidade da Espanha, uma província das Filipinas e um estado da Colômbia. Em conclusão, essa abordagem preventiva e proativa se tornou algo essencial para evitar o phishing, já que os métodos de segurança tradicionais já não são suficientes para lidar com esse tipo de ameaça; Porém, a Kaspersky espera que esses esforços possam ajudar as organizações e as pessoas, não só no Brasil, mas no mundo todo, a se manter sempre um passo à frente desses criminosos.
by Tecnologia inovadora.
Inovando líderes.
Sobre o Secure Futures

A revista Secure Futures é o seu guia de negócios com dicas, opiniões, tendências e insights sobre o mundo da tecnologia e da cibersegurança. A Kaspersky ajuda sua empresa a antecipar o futuro, através dos especialistas globais em cibersegurança.