Hackers encontraram falha e controlam mais de 17.000 computadores Apple via Reddit

Criminosos descobriram uma falha no OS X, e utilizaram para controlar milhares de computadores Apple ao redor do mundo.

A empresa de segurança russa Dr. Web foi a primeira a descobrir o software, conhecido como "Mac.BackDoor.iWorm". Ainda não se sabe como o software malicioso é propagado, mas a Dr. Web liberou informações interessantes que podem levar até ao hacker que controla o malware.

Quando um mac é infectado pelo Mac.BackDoor.iWorm, o programa tenta fazer uma conexão com um servidor de comando. O iWorm usa o sistema de busca do Reddit para encontrar por comandos do atacante em uma discussão na sessão Minecraft.

Após o iWorm encontrar o comando no comentário, tenta conectar no servidor que foi comentado no subreddit do Minecraft. Assim que consegue conectar, os criminosos podem enviar comandos diretos para sua "botnet". Estas botnets podem ser usadas para enviar spams, minerar bitcoins, fazer DDoS e outras coisas.

Até o momento não parece que os computadores infectados foram usados para algum ataque, por em quanto estão apenas aumentando sua rede.

Dr. Web publicou o número estimado de máquinas infectadas pelo iWorm. Este número já passa de 17 mil computadores Apple.

Fonte: Business Insider
Dica do Guilherme Alves lá no grupo do Facebook!

Read More

Como funciona o Spam

Como os endereços de email são obtidos

Existem diversas formas dos spammers conseguirem endereços de email válidos. Spammers e outros tipos de criminosos podem usar de ferramentas para vasculhar pela internet endereços válidos. A técnica mais comum é procurar pelo caractere “@“ em todos os sites da internet. Se seu email está público em algum lugar certamente você receberá algum spam.

Outro modo é gerar emails válidos através de ferramentas utilizadas para quebrar senhas. Diversos emails são gerados com diversas combinações de domínios e posteriormente testados.

Mesmo não tendo o email público cyber criminosos podem obter listas de email através de outras pessoas, roubando suas listas de contatos usando engenharia social ou ataque de malware. Neste caso provavelmente serão obtidos listas menores do que os dois primeiros modos, mas possivelmente com maior quantidade de endereços válidos.

O modo mais comum hoje em dia para obtenção de lista de emails é através da compra de listas prontas com milhares ou até milhões de endereços. Existem mercados legais e ilegais para compra e venda de dados pessoais, além do próprio endereço de email. Seu email pode estar sendo disponibilizado para um terceiro de modo legal. Por isso é importante sempre ler as políticas de privacidade dos serviços usados.

Também podem ser usados, listas de discussão por email, perfis em redes sociais, contatos em registros de domínios, em anúncios, invasão de sites e banco de dados e etc.

Como os spams são propagados

Do mesmo modo que existem diversos meios para obter os endereços válidos, a propagação também acontece de formas variadas, uma delas é usando open relays. Open relays acontecem por causa de uma propriedade do protocolo SMTP. Spammers podem atacar servidores SMTP ou encontrar servidores abertos e desprotegidos e usar estes servidores para mandar seus spams. Pesquisas indicam que se um servidor replay for colocado no ar em qualquer lugar do mundo, em cerca de uma hora este servidor já estará enviando milhares de spam.

Outro método usado é através de botnets. Botnet é uma rede de computadores zumbis. Alguns tipos de malwares tem como objetivo apenas colocar os computadores infectados em uma dessas redes. O malware se instala na máquina e fica aguardando comandos do seu dono/criador. Estas redes gigantes de computadores são utilizadas para mandar spam entre outras atividades maliciosas. Usuários que tem suas máquinas infectadas raramente sabem ou conseguem detectar o malware.

O que faz o spam ser lucrativo

O spam é uma atividade criminosa muito lucrativa atualmente, na casa dos milhões de dólares por campanha. De acordo com uma pesquisa da Universidade de Santa Barbara da Califórnia (UCSB), o sucesso do spam é devido a diversos fatores relacionados aos vendedores desses serviços de botnet, entre eles suporte 24 horas, manual de instruções sobre o uso e configuração da rede zumbi, listas de email de demonstração, números, equações e gráficos para auxiliar no uso das campanhas e outros. Pode-se notar que hoje em dia spam é um mercado muito poderoso mesmo sendo ilegal e o nível de atenção e desenvolvimento da operação como um todo é o que a mantém ativa a tantos anos, sempre evoluindo.

Read More

Redes Gameover Zeus e Cryptolocker completamente desativadas

O FBI, Agência Nacional de Crimes do Reino Unido, e um grande número de outras empresas e agências unidas interromperam duas das mais perigosas fraudes financeiras: A botnet Gameover Zeus e o ransomware Cryptolocker. Trabalhando com diversos parceiros, incluindo a Symantec, o FBI apreendeu boa parte da infraestrutura usada nas duas ameaças. Junto com a operação, a Symantec liberou uma ferramenta que as vítimas podem usar para remover completamente a infecção do Gameover Zeus.

O Gameover Zeus é responsável por milhões de infecções ao redor do mundo desde sua primeira aparição em setembro de 2011. Atacantes usam o malware para interceptar transferências em sessões de online banking fraudando clientes de centenas de instituições financeiras globalmente. A Symantec está disponibilizando uma ferramenta para remover ele e todos os seus componentes.

Já o cryptolocker é o malware mais ameaçador de todos os tempos. Quando infectado criptografa o disco da vítima. Até o momento nenhum correção foi descoberta para descriptografar os dados afetados. O que leva a vítima a perder seus dados ou pagar ao atacante.

Para mais informações sobre as ameaças e correção visite a página da Symantec.

Read More

Trojans Zeus representam 26,2% dos programas maliciosos difundidos via spam

A família de Trojans ZEUS/Zbot voltou a figurar entre os dez principais programas maliciosos que chegam aos usuários via mensagens de spam,  segundo a edição de maio do Relatório de Spam da Kaspersky Lab. A família ocupa agora as segunda e terceira posição no ranking com 26,2% de participação. 

O Trojan-spy.html.fraud.gen continua no primeiro lugar da lista dos programas maliciosos enviados por email. A ameaça é uma página de phishing, enviada diretamente pelos cibercriminosos, que possui um formulário para que os usuários introduzam seus dados pessoais. O objetivo desses criminosos é roubar essas informações.

Ainda de acordo com a pesquisa, o tráfego de spam no email sofreu uma redução de 2,5%, atingindo os 69,7%. O volume de mensagens phishing cresceu ligeiramente em maio, mês em que 2,8% de todas as mensagens eletrônicas continham arquivos maliciosos, um crescimento de 0,4% em comparação com o mês anterior.

Entre os países que mais criam spams, a China continua líder, seguida pelos Estados Unidos e pela Coréia do Sul. O Brasil também figura na lista das 20 nações que mais criam spams no mundo, com 1% de participação nesse cenário.

Phishing

O volume de mensagens de phishing no tráfego de e-mail cresceu ligeiramente, com as redes sociais encabeçando a lista de falsos emissores mais utilizados como meio de disseminação pelos phishers. O índice cresceu 0,5% e passou a atingir os 35,93%. No golpe, os usuários recebem mensagens falsas, se passando pela rede social. Os links da mensagem levam a sites falsos onde as credenciais serão roubadas.

Os sistemas de busca financeiros (14,95%) e os serviços de pagamentos (14,93%) trocaram de posições e ocupando agora o segundo e terceiro lugar, respectivamente entre os temas mais usados como isca. A quarta posição continua a ser ocupada por empresas de TI (9,93%) e no, quinto posto, estão as lojas online (8,68%). Os fornecedores de serviços telefônicos e de Internet (8,39%) caíram uma posição, e agora ocupam o sexto lugar.

Fonte: IDG Now

Read More

Botnets e Cyber Crime: Classificação de Botnets

Continuando com o artigo sobre botnets, segue agora uma breve explicação de como funciona e como é organizada uma botnet.

Este post é continuação do post Botnets e Cyber Crime: Introdução, é recomendado que o leia primeiro.
Classificação das Botnets

Tentar categorizar o conceito de botnet não é fácil. Existem muitas arquiteturas feitas e pensadas especialmente para um certo propósito. É inevitável que fatores como estes vão influenciar desde no malware utilizado para comprometer o computador da vítima até a tecnologia empregada.

As botnets podem ser dividas pela estrutura implementada. A maioria é baseada em um ou mais centros de controle e comando (C&C), onde cada bot é ligado diretamente ao servidor C&C. O servidor C&C administra a lista de máquinas infectadas, seu status e manda as instruções.

Esse tipo de estrutura é fácil de organizar e manter, mas tem um grande problema que é a vulnerabilidade do controle, desligando/desconectando o C&C toda a rede fica inoperante. O servidor representa o único ponto falho do sistema, porque é o único ponto que comanda tudo, sem ele a botnet se torna inútil. O método mais usado para detectar uma rede de botnets é analizando o tráfego de máquinas infectadas, detectando um padrão e chegando até o C&C.

Em arquiteturas decentralizadas, conhecidas como botnets Peer-to-Peer (P2P), os bots não estão necessariamente conectados com o servidor C&C, a conexão é transmitida de zumbi a zumbi. Cada nó da rede tem uma lista de bots próximos, onde eles mesmos se comunicam e trocam comandos. Neste caso, muito mais difícil de rastrear o C&C, porque o atacante precisa se comunicar com apenas uma máquina, e ela espalha para as demais. Caso essa máquina seja removida, qualquer outra pode assumir seu lugar e seguir com a botnet em funcionamento.






Ano passado, pesquisadores da Symantec detectaram uma variante do popular malware Zeus, que mantinha um sistema de backup por P2P em caso de o servidor C&C não estiver acessível. Essa variante não usa um servidor C&C isolado como uma botnet normal, o expert em segurança Andrea Lelli declarou:

"Cada nó da botnet pode agir como um servidor C&C, mas nenhum deles de fato é um. Os bots são capazes de baixar os comandos, arquivos de configuração e executáveis de outros bots, cada computador comprometido é capaz de prover dados para outros bots."

Este tipo de botnet é realmente preocupante. É mais difícil lutar contra, já que o ponto fraco aparente em arquiteturas clássicas não está presente. Por este motivo que os hackers preferem estas arquiteturas híbridas.

As botnets também podem ter subgrupos, classificadas pela tecnologia ou protocolo que operam, e estes protocolos podem variar bastante. O mais comum é a transmissão de comandos para os bots através de um canal IRC.

Já as botnets mais avançadas usam seus próprios protocolos, baseados em TCP, ICMP ou UDP. Por exemplo o Zeus citado anteriormente que usa variantes do protocolo UDP.

Outra forma interessante é o uso de serviços de mensagens baseados no IM, como por exemplo o MSN ou o ICQ. Também não podemos esquecer as botnets controladas por um servidor web baseado em HTTP.

A principal porta de entrada da maioria desses malwares é através de links maliciosos enviados via email ou mensagens através de redes sociais. A idéia aqui não é pegar uma máquina em específico, e sim o máximo de máquinas possível vulneráveis ao exploit kit.

Às vezes, as funções das redes sociais modernas, serviços em nuvem e web-portais são utilizados como um canal secreto para armazenamento de informações. Um dos incidentes mais recentes foi relacionado aos serviços Evernote, onde os hackers dispostos a sua própria conta de usuário, carregaram o arquivo com os comandos para a botnet. O mesmo método foi utilizado também com o Twitter na botnet Flashback. O botnet Zeus é um exemplo clássico deste tipo de arquitetura, que era conhecido por ser capaz de furtar dados bancários de vítimas.

Read More

Botnets e Cyber Crime: Introdução

Uma das mais comuns cyber ameaças classificada pela comunidade de segurança é a difusão das botnets, redes de computadores infectados (conhecidos como bots ou zumbis) controlados por um atacante e normalmente desenvolvedor do malware, conhecido como botmaster. O botmaster gerencia toda a estrutura de bots dando ordens e manipulando essas máquinas para fazerem uma devida função. O uso de botnets é bem amplo desde quebra de senhas ou distribuição de processamento até cyber war.

O mais comum é ver botnets serem usadas para conduzir grandes ataques de negação de serviço (DDoS), normalmente sem um objetivo muito claro, mas tem casos em que um DDoS foi usado como ferramenta em uma espionagem industrial. Existem vários tipos de botnets, diferenciados por arquitetura, protocolo de conexão utilizado ou em que tipo de tecnologia são baseados.

O nível de difusão de uma botnet depende das capacidades de quem a controla, e quais são as técnicas o administrador usa para camuflar as atividades maliciosas. Existem basicamente dois métodos de se conseguir uma botnet, ou espalhando phishing com malwares para tomar o controle do computador, ou alugando a botnet pronta no underground.

Como veremos mais a frente, a difusão de botnets vem crescendo bastante nos últimos anos devido a diversos fatores, entre eles estão o crescimento de plataformas desprotegidas, principalmente móvel. Junto com este crescimento veio um mercado completamente novo de aluguéis e serviços de botnet.

Um exemplo bem simples é o uso dessas redes zumbis para espalhar spams, obtenção de informações de desavisados, espalhar malware e os famosos DDoS's

Situação Atual

De acordo com a análise proposta recentemente pelas maiores agências de segurança do mundo, as botnets foram o que causaram a maior parte das ameaças e perdas financeiras no ano de 2012, causando danos sérios em quase todas as empresas ao redor do mundo. A ameaça das botnets preocupa dos experts em segurança pela quantidade de computadores comprometidos com acesso a internet, praticamente todos os dias recebendo diferentes funções maliciosas. Estas estruturas são muito complexas e bem organizadas, e junto com o problema o mercado cresceu junto, milhares de botnets, bots, malwares para atacar as maquinas, softwares para gerenciamento de botnets, criação e aluguel de botnets para os mais diversos fins.

O negócio cresceu tanto que hoje em dia é mais rentável vender ou alugar serviços de uma botnet do que ganhar dinheiro com fraudes ou outros tipos de ataques que esta rede pode fazer.

De acordo com a F-Secure, a ZeroAccess é a maior botnet descoberta em 2012. Comprometeu um numero absurdo de máquinas, principalmente na França, Estados Unidos e Suécia, e é considerada a mais rentável arquitetura maliciosa. A ZeroAccess infectou milhões de máquinas globalmente, em 2012 com mais de 140.000 IP's únicos só nos Estados Unidos e Europa. Veja abaixo o relatório da F-Secure:

"O site malicioso contém um exploit, normalmente um Blackhole, com vulnerabilidades para os mais diversos tipos de sistemas e versões e são gatilhadas quando o usuário acessa o site. Quando ma máquina é comprometida, o exploit baixa no computador um malware que torna este computador em um bot da ZeroAccess."

Para ter uma idéia do impacto econômico que essa botnet causou, um relatório revelado da ZeroAccess apontou que a rede fazia mais de 140 milhões de cliques em anúncios por dia, custando mais de US$ 900.000 por dia a anunciantes online. Outro uso da botnet era usar o poder computacional dessas máquinas para minerar bitcoins para benefício do desenvolvedor, mas isso não é uma função específica dessa botnet, Zeus, Carberp, Dorkbot e SpamSoldier também são muito ativas nessa funçna

A botnet Zeus foi confirmada como a botnet especializada no ramo de banking. A maior concentração desses malwares está nos Estados Unidos, Itália e Alemanha.

Especialistas afirmam que seguindo nesta velocidade, os exploit kits vão crescer tanto em quantidade quanto em qualidade de administração, sincronicidade e eficiência.

Outra coisa interessante encontrada pelos experts em segurança é que as comunicações com o centro de comando estão cada vez mais ocultas e difíceis de encontrar, utilizando de protocolo HTTPS ou mesmo mensagens através de redes sociais.

Fonte: InfoSec Institute

Read More