{"id":15884,"date":"2020-08-10T19:58:19","date_gmt":"2020-08-10T22:58:19","guid":{"rendered":"https:\/\/www.kaspersky.com.br\/blog\/?p=15884"},"modified":"2020-08-10T19:58:19","modified_gmt":"2020-08-10T22:58:19","slug":"hackers-ferramentas-legitimas-ataques","status":"publish","type":"post","link":"https:\/\/www.kaspersky.com.br\/blog\/hackers-ferramentas-legitimas-ataques\/15884\/","title":{"rendered":"Hackers usam ferramentas leg\u00edtimas em ataques bem-sucedidos"},"content":{"rendered":"

Quase um ter\u00e7o (30%) dos ciberataques investigados em 2019 pela equipe global de Resposta a Incidentes da Kaspersky utilizaram ferramentas leg\u00edtimas de administra\u00e7\u00e3o e gerenciamento remoto. Com isso, os hackers se mantiveram escondidos por mais tempo, espionando ou realizando roubo de dados durante 122 dias, em m\u00e9dia.<\/p>\n

Softwares de monitoramento e gerenciamento remoto ajudam as equipes de rede e de TI nas tarefas di\u00e1rias, como a solu\u00e7\u00e3o de problemas e suporte t\u00e9cnico a funcion\u00e1rios. No entanto, essas ferramentas leg\u00edtimas <\/a>tamb\u00e9m podem ser exploradas em ciberataques. Uma vez dentro do sistema, os criminosos usam esses programas nativos para acessar e extrair informa\u00e7\u00f5es sigilosas, sem serem percebidos pelos controles de seguran\u00e7a.<\/p>\n

Nossa an\u00e1lise<\/a> de dados an\u00f4nimos de casos de Resposta a Incidentes (IR, sigla em ingl\u00eas) mostrou que 18 ferramentas leg\u00edtimas foram usadas para fins maliciosos. A mais comum \u00e9 o PowerShell, que apareceu em 25% dos casos e pode ser usada para v\u00e1rios fins, da coleta de informa\u00e7\u00f5es \u00e0 execu\u00e7\u00e3o de malware. Em segundo lugar, o PsExec<\/a>, <\/u>app de console para execu\u00e7\u00e3o de processos em endpoints remotos, utilizado em 22% dos ataques. Em seguida o SoftPerfect Network Scanner,<\/a> destinado \u00e0 recupera\u00e7\u00e3o de informa\u00e7\u00f5es sobre ambientes de rede, com 14% dos casos de uso.<\/p>\n

Dificuldade de detec\u00e7\u00e3o<\/h2>\n

A execu\u00e7\u00e3o de ataques por meio de ferramentas leg\u00edtimas dificulta a detec\u00e7\u00e3o de amea\u00e7as pelas solu\u00e7\u00f5es de seguran\u00e7a, pois as a\u00e7\u00f5es relacionadas podem tanto ser parte de um cibercrime quanto uma tarefa normal do administrador do sistema. Exemplo disso \u00e9 que, no segmento de ataques que duraram mais de um m\u00eas, o tempo m\u00e9dio dos incidentes foi de 122 dias. Como n\u00e3o eram detectados, os cibercriminosos podiam coletar dados sigilosos das v\u00edtimas.<\/p>\n

Nossos especialistas observam por\u00e9m que, em alguns casos, as a\u00e7\u00f5es maliciosas aparecem rapidamente, como nos ataques de ransomware<\/a>, nos quais os danos s\u00e3o percebidos imediatamente. Nesses casos, o tempo m\u00e9dio de dura\u00e7\u00e3o do incidente foi de um dia.<\/p>\n

\u201cPara evitar serem detectados, os cibercriminosos usam amplamente softwares j\u00e1 existentes. Com elas, \u00e9 poss\u00edvel coletar informa\u00e7\u00f5es sobre as redes corporativas e ent\u00e3o realizar movimentos laterais, alterando as configura\u00e7\u00f5es de software e hardware ou at\u00e9 executar alguma a\u00e7\u00e3o maliciosa. Podem, por exemplo, usar um software leg\u00edtimo para criptografar dados de clientes ou passarem desapercebidos pelos analistas de seguran\u00e7a. Por v\u00e1rios motivos, n\u00e3o \u00e9 poss\u00edvel eliminar essas ferramentas, mas registros em log implementados corretamente e sistemas de monitoramento ajudam a detectar atividades suspeitas na rede e ataques complexos nos est\u00e1gios iniciais\u201d, explica Konstantin Sapronov, chefe da Equipe Global de Resposta a Incidentes da Kaspersky.<\/p>\n

Para detectar e reagir a esses ataques rapidamente, as organiza\u00e7\u00f5es devem, entre outras medidas, implementar uma solu\u00e7\u00e3o de detec\u00e7\u00e3o e resposta (ERD) nos endpoints com um servi\u00e7o de gerenciamento de detec\u00e7\u00e3o e resposta (MDR \u2013 Managed Detection and Response<\/i>). A MITRE ATT&CK \u00ae Round 2 Evaluation <\/a>\u2013 que avalia diversas solu\u00e7\u00f5es, incluindo o Kaspersky EDR e o servi\u00e7o de prote\u00e7\u00e3o gerenciada da Kaspersky \u2013 pode apoiar na escolha da solu\u00e7\u00e3o EDR mais adequada \u00e0s necessidades da empresa. Os resultados da ATT&CK Evaluation comprovam a import\u00e2ncia de ado\u00e7\u00e3o desta solu\u00e7\u00e3o, que associa um produto com v\u00e1rias camadas de seguran\u00e7a a um controle manual de amea\u00e7as.<\/p>\n

Dicas para evitar ataques com software leg\u00edtimos<\/h2>\n