terça-feira, 30 de setembro de 2014

Servidores web vulneráveis baseados nos sistemas Linux tem sido utilizados em botnets para ataques DDoS. A Akamai Technologies está alertando empresas para ameaças de alto risco ao Iptables e Iptablex nesses sistemas. Segundo o relatório da Akamai, a infestação em massa do Iptables e Iptablex parece estar sendo ocasionada por sistemas Linux desatualizados, comprometidos principalmente por exploits de Apache, Tomcat e Elasticsearch.

Atacantes tem utilizado as vulnerabilidades, presentes nos servidores que estão sem manutenção, para ganhar o acesso, escalando os privilégios de modo a obter controle remoto da máquina, e então instalar códigos maliciosos no sistema e executá-los. A indicação de que o sistema foi comprometido é a existência de um arquivo nomeado .Iptables ou. Iptablex localizado no diretório /boot.

O malware também possui um mecanismo de atualização, fazendo com que o sistema infectado tente contatar dois endereços IP localizados na Ásia. Segundo Stuart Scholly, membro da unidade de segurança da Akamai, os administradores de sistemas Linux precisam tomar conhecimento dessas vulnerabilidades para tomarem ações que protejam seus servidores.


Maiores informações através do link.

Fonte: SegInfo

segunda-feira, 29 de setembro de 2014

Com o avanço dos dispositivos móveis, está cada vez mais simples de um dispositivo se tornar uma ferramenta de ataque com grande poder.

Veja essa palestra sobre Wardriving e ataques a redes usando apenas dispositivos móveis.

Link para a palestra: http://www.secdocs.org/docs/wardriving-from-your-pocket-video/

sexta-feira, 26 de setembro de 2014

Segundo dados divulgados recentemente pelo Instituto Brasileiro de Geografia e Estatística (IBGE), mais da metade dos brasileiros já está conectada à Internet. A proporção de internautas no país passou de 49,2% em 2012 para 50,1% do total da população, em 2013. 



Alguns outros dados interessantes: 
  • O Brasil tem aproximadamente 86,7 milhões de usuários de Internet com 10 anos ou mais;
  • As mulheres representam 51,9% do total de internautas;
  • A maioria dos internatuas está nas faixas etárias entre 15 e 17 anos e de 18 a 19 anos, com 76% e 74,2%, respectivamente;
  • 44,4% do pessoal entre 40 e 49 anos acessa a Internet;
  • A maior penetração de Internet está na região Sudeste (57,7% da população local).


Fonte: Anchisesbr

quinta-feira, 25 de setembro de 2014

Uma pesquisa divulgada nesta semana pela Aspect Security revelou que uma boa parte dos desenvolvedores de apps realmente não sabe lidar com segurança. Feito na forma de um questionário, entregue a 1.425 desenvolvedores de 695 empresas pelo mundo, o estudo mostrou, por exemplo, que 80% dos participantes não sabem proteger dados e informações de usuários.

Este resultado ruim talvez explique o número alarmante de vazamentos e casos de informações expostas que aconteceram nos últimos meses anos. Mas o problema maior é que ele não é o único apontado alarmante pelos resultados da pesquisa.

Além dele, o questionário mostrou que só 51% dos desenvolvedores avaliados demonstrou algum conhecimento em relação ao gerenciamento de sessões seguranas (Secure Sessions Management), enquanto apenas 34% deles sabiam algo sobre a implementação de controle de acesso de URLs. Por fim, somente 26% entendiam de modelos de ameaças e avaliação de arquitetura de segurança (Threat Modeling and Security Architecture Review).

Há o que "comemorar", no entanto. Mesmo com poucos mostrando conhecimento sobre alguns pontos cruciais, os desenvolvedores ainda demonstraram ter domínio sobre alguns dos assuntos. 
Quase 80% deles mostrou saber como evitar ataques de injeção de scripts, e uma parcela pouco maior que 70% saberia prevenir vulnerabilidades XSS (cross-site) e usar SSL nas aplicações criadas.

Execução – A “prova” foi entregue no decorrer de um ano a profissionais envolvidos em diferentes áreas da indústria de desenvolvimento, da financeira (pouco mais de 400 participantes) a militar (cerca de uma dezena), passando pela de software de TI e de saúde.

A maioria dos participantes (quase 50% deles) tinha menos de 2 anos de experiência na área, mas uma parte considerável dos avaliados  (perto dos 25%) passava dos 10 anos de atuação. Ainda assim, apesar da variedade, o resultado obtido foi similar em todos estes setores – o que mostra que o problema está bem longe de ser isolado.

Boa parte dos desenvolvedores (quase 500 deles, na verdade) obteve uma nota entre 60 e 70, que equivale a um já preocupante D. Porém, mais de 550 deles se mostraram ainda mais despreparados quando o assunto é segurança e acabaram com um F na avaliação – ou seja, uma nota entre 0 e 59. Menos de 350 avaliados, portanto, conseguiram um C ou um B, e cerca de 50 desenvolvedores obtiveram um A (entre 90 e 100). Se quiser checar todos os dados da pesquisa, clique aqui.


Fonte: Info

quarta-feira, 24 de setembro de 2014

Uma terra quase sem lei, com uma “universidade” para hackers, um ranking com os mais bem-sucedidos cibercriminosos e uma lista dos IPs mais procurados pelo FBI – tudo acompanhado de um fórum para discussões internas. Poderia ser mais uma daquelas descrições mirabolantes sobre sites na deep web, mas não é nada disso. Todos esses elementos estão presentes em um jogo aberto, lançado por um brasileiro na semana passada, batizado de Hacker Experience – e que, a sua maneira, pode ser considerado um “GTA do cibercrime”.
O simulador é o primeiro projeto lançado por Renato Massaro, que trabalhou na criação de toda a estrutura “por diversão ou hobby”. Com 21 anos e estudando Ciências da Computação no interior de São Paulo, o jovem desenvolvedor começou a colocar ideias no papel ainda em 2005, quando ainda estava há alguns anos de entrar na universidade, e tentou executá-las por três vezes, pelo menos.
“Nas duas primeiras tentativas, parei na metade, ou por falta de tempo ou de conhecimento”, contou, por e-mail. “Já a terceira, comecei em fevereiro de 2012, um mês antes de entrar no curso – e ‘terminei’ agora no início de setembro.” Ou seja, foram dois anos e meio para criar a versão atual da aplicação, que roda direto no navegador.
A demora, justifica ele, está muito relacionada à faculdade, que tirava – e ainda tira – boa parte do tempo de Massaro. “Mas nos últimos seis meses, fiquei relativamente impaciente com essa demora e resolvi dedicar tempo integral ao jogo”, afirmou, dizendo ainda que deixou para implementar novas ideias apenas depois da conclusão do jogo, de forma a acelerar o desenvolvimento. “Faltei em várias aulas da faculdade e tive que cancelar várias disciplinas”, disse. “Mas acredito que valeu a pena” – e talvez por ter colocado em prática parte do que aprendeu na faculdade, como ele mesmo contou.
O jogo – A estrutura e a dinâmica do jogo, ambas desenvolvidas por Massaro, impressionam, de cara, pela complexidade. O visual remete ao do painel de controle do WordPress, e apresenta, primeiramente, informações de hardware (o computador do jogador e hacker) e gerais (reputação, tarefas e missões, por exemplo).
Logo abaixo, notícias mostram quem hackeou quem dentro da comunidade do game – sim, isso é possível –, um ranking classifica os melhores usuários em termos de reputação e uma lista exibe quais os IPs mais procurados pelo “FBI”. Por fim, o fórum e os anúncios dos administradores (Massaro, no caso) aparecem na parte inferior da página.
Visual apresentado, vamos à parte que interessa: o menu lateral dá acesso à tal Universidade, que ajudará você a começar a jogar e dará as primeiras missões. É por ela que os jogadores vão conhecer a fictícia Numataka Corporation, que desafia todo novo hacker a invadir o endereço da NSA – algo que ninguém nunca conseguiu fazer, segundo a mensagem.
Fora a escola, o menu mostra o gerenciador de tarefas e a “internet” do game, que funciona basicamente por IPs – como o da agência de segurança e os dos jogadores procurados pelos policiais. “Software”, por sua vez, mostra os programas que você tem à disposição para usar nas invasões e quebras de segurança, enquanto “Log de Dados” exibe todas as suas atividades (lembre-se de apagar tudo que aparecer por lá para não ser detectado) e “Hardware” traz dados sobre sua máquina e permite melhorá-la. Por fim, “Finanças” dá acesso ao banco e à carteira de bitcoins e “Banco de Dados” lista suas atividades e permite pará-las.
Apesar das linhas de código mostradas na página inicial de Hacker Experience, o processo de hack não é exatamente complexo e nem requer muito conhecimento técnico da parte do jogador. Pelo menos no início do jogo, as invasões exigem basicamente um programa (crack) adequado, o IP do alvo (que precisa estar acessível) e um pouco de agilidade para achar os arquivos necessários e apagar seus logs o quanto antes.
Inspiração e lançamento – Massaro, no entanto, não nega que, mesmo com as diferenças visuais, a inspiração para o projeto vem de antigos games do tipo – alguns até guardam semelhanças a animação apresentada ao acessar o site. “Acredito que eu tenha jogado praticamente todos desse gênero, e tentei tirar as melhores ideias de cada um, complementar com as minhas e criar algo novo”, disse, revelando ainda ter preferência por Uplink, da Introversion Software. “A única falha dele é que não há um modo multiplayer” – algo que o desenvolvedor incluiu no projeto mais novo antes de começar a divulgá-lo pela internet.
O lançamento de Hacker Experience, aliás, aconteceu no último dia 13 de setembro, quando o desenvolvedor colocou a página no ar – em inglês e português – e resolveu publicar o endereço no fórum Hacker News. A recepção do jogo, no entanto, foi bem maior do que ele mesmo esperava. “Para ser sincero, não esperava que alguém fosse jogá-lo e muito menos se interessar e viciar nele”, contou. “Só não desisti do projeto porque era apenas por diversão.”
Massaro conta que, em apenas dois dias, a página teve “milhões de visitas, aproximadamente 12 mil cadastros e 4 mil jogadores online ao mesmo tempo”. A demanda foi tanta que o desenvolvedor pensou até em vender o jogo, como mostra este post aqui, “simplesmente pelo fato de não dar conta de manter o suporte que os usuários merecem”.
Graças ao cansaço e ao grande número de mensagens, pedidos, sugestões e críticas recebidos, o servidor do jogo chegou a ser desligado, mas foi colocado de volta ao ar pouco depois. “Continua sendo difícil manter o contato necessário com todo mundo, mas as várias mensagens que recebi me fizeram perceber que vale a pena esse esforço extra.”
O bom número de acessos e jogadores simultâneos – número que está entre 1.000 e 2.000 – fez com que as tarefas fossem divididas pelo responsável, que conta agora com mais duas pessoas para ajudá-lo na administração. O comunicado da mudança foi feito no fórum interno do jogo, e no texto, o desenvolvedor atribui a novidade mais uma vez à faculdade. Aliás, Massaro está hoje no Canadá, em intercâmbio, e continua aproveitando as horas vagas para trabalhar em novos projetos pessoais.
Se quiser jogar, o Hacker Experience pode ser acessado por aqui – dá para fazer login pelo Twitter ou pelo Facebook ou criar uma conta no site. O jogo é gratuito, mas dá a opção de desembolsar uma pequena quantia para eliminar os anúncios, que nem de longe atrapalham as invasões virtuais.

Fonte: Info

sexta-feira, 19 de setembro de 2014


Sinopse

Kevin Mitnick foi o hacker mais esquivo da história. Ele acessou computadores e redes das maiores empresas do mundo, e por mais rápidas que as autoridades fossem, Mitnick era mais rápido, correndo através de telefones, computadores, e celulares. Ele passou anos saltando através do cyber espaço, sempre três passos a frente e rotulado como imparável. Mas para Kevin, hacking não era apenas sobre tecnologia mas sim o antigo jogo de confiança e fraudes para enganar e obter informações valiosas.

Impulsionado por uma vontade de realizar o impossível, Mitnick ignorou sistemas de segurança e entrou em empresas incluindo Motorola, Sun Microsystems, e Pacific Bell. Mas como a rede do FBI vinha apertando, Kevin iniciou uma corrida contra, num jogo de gato e rato sofisticado, levando a falsas identidades, diversas cidades, muitas vezes quase pego até o momento que deu de cara com a polícia, que iria pará-lo a qualquer custo.

Ghost in the Wires é uma história real de intrigas, suspense e uma inacreditável busca, o que forçou as autoridades a repensar o modo como conduziam suas investigações e buscas, e o mais importante, repensar como as pessoas e empresas protegiam informações sensíveis.

Traduzido e adaptado da Amazon


Review

Bom, como pode ser visto pela sinopse o livro é sobre as aventuras do Kevin Mitnick. Assumo que se você já lê o blog você tem um conhecimento mínimo de segurança e já deve ter ouvido falar dele, então não perderei muito tempo com isso. Se você nunca ouviu falar dele, com uma busca no Google você encontra ;)
Boa parte do livro pode ser visto no filme Hackers 2: Operation Takedown que já indiquei aqui a muito tempo atrás.

Normalmente nesses casos as pessoas perguntam, se existe um filme sobre, por que ler o livro? Simples, apesar do filme ser muito bom, o livro tem uma liberdade maior de se aprofundar em cada caso, mostrando os detalhes dos ataques do Mitnick, todo o processo desde o início de planejamento até o momento que estava com acesso total, e as consequências desses atos. O livro é basicamente uma aula de engenharia social, super indicado para quem deseja aprender mais sobre ou simplesmente saber como funciona.

Mitnick não usava, ou usava muito pouco, computadores e tecnologia em geral, hoje em dia chamamos esse tipo de ataque de “Non-tech Hacking”. Por incrível que pareça, atualmente boa parte dos grandes casos de invasão, principalmente nos casos que envolvem redes sociais, o sucesso da invasão ou vazamento foi resultado de um ataque Non-tech Hacking, já que os sistemas estão cada vez mais seguros. Isso não quer dizer que ainda não existem falhas, existem sim e muitas, mas desde aquela época o "elo mais fraco da corrente” é o usuário e cada vez mais os usuários tem mais informações e controle sobre informações.

O livro é narrado pelo próprio Mitnick, e funciona como um diário dele na época que invadia as empresas até ser pego. A leitura é simples, nada de termos técnicos, ótima leitura para interessados no próprio Mitnick, segurança em geral (inclusive física :) ), engenharia social, e etc. O livro não é muito grande nem muito pequeno (432 páginas) e é uma leitura rápida.

Provavelmente você já ouviu falar dos outros livros dele, Art of Intrusion e Art of Deception, na minha opinião, este é o melhor livro dele até o momento.

Você pode encontrar o livro em qualquer grande livraria no Brasil, mas se você consegue ler em inglês recomendo a Amazon por possuir valores mais em conta, com as versões impressa, digital e audio livro, e caso não saiba, livros não tem imposto caso seja comprado fora do país.
Subscribe to RSS Feed Follow me on Twitter!