Última curadoria

Gostei muito e é com grande prazer que escrevi sobre um tema que gosto muito.

Saudações,

André Pita

Como prevenir um ataque de spoofing

Apesar de não poder prevenir que outros tentem fazer-se passar por contactos, ou endereços de IP, conhecidos para aceder à sua rede e informação pessoal, há passos que pode seguir para evitar ser uma vítima de spoofing. 

 

A sua informação sensível – incluindo palavras-passe, informação de cartões de crédito, e número de Segurança Social – apenas deve ser partilhada através de formulários seguros em websites encriptados que usem o HTTPS. Se alguém lhe enviar um e-mail a pedir esta informação, simplesmente não responda. Verifique o endereço de origem de qualquer e-mail suspeito que receba antes de clicar em links ou descarregar anexos nele contidos. Se algum dos websites que costuma visitar está de algum modo diferente, não clique em quaisquer links nem preencha formulários nesse website.

Exemplos de ataques de spoofing

Alguns dos exemplos de ataques de spoofing mais mediáticos são os seguintes:

• Em 2006, hackers anónimos lançaram um enorme ataque de DNS spoofing – o primeiro do seu tipo – contra três bancos locais na Flórida. Os atacantes entraram nos servidores do fornecedor de Internet que alojava os três websites e redirecionaram o tráfego para páginas de login falsas, desenhadas para recolher informação sensível dos utilizadores. Isto permitiu aos hackers adquirir uma quantidade não revelada de números de cartões de crédito e PINs, juntamente com outras informações pessoais pertencentes aos respetivos donos.
• Em junho de 2018, hackers levaram a cabo um ataque de DDoS spoofing, durante dois dias, contra o website da seguradora de saúde americana Humana. Durante este incidente, que terá afetado pelo menos 500 pessoas, os hackers conseguiram roubar registos médicos completos de clientes da Humana, incluindo os detalhes das suas alegações de saúde, serviços recebidos, e despesas relacionadas.
  
  
  
• Em 2015, hackers não-identificados usaram técnicas de DNS spoofing para redirecionar o tráfego do website oficial da Malaysia Airlines. A nova página inicial do website mostrava uma imagem de um avião com o texto “404 – Plane Not Found” sobreposto. Apesar de nenhuns dados terem sido roubados durante o ataque, este bloqueou o acesso ao website e impediu a verificação do estado dos voos durante algumas horas.

ARP Spoofing

Todos os dispositivos ligados à Internet têm o seu próprio endereço MAC (Media Access Control), que está ligado ao endereço IP único desse dispositivo através do protocolo de resolução de endereços (Address Resolution Protocol, ou ARP). Os cibercriminosos podem entrar na rede de área local do seu alvo e enviar dados de ARP falsos. O resultado é que o endereço MAC do hacker fica ligado ao endereço IP do seu alvo, dando-lhe assim uma visão privilegiada do tráfego dirigido ao alvo.

PT07

Podem ver o nosso trabalho para a PT07 aqui.

IP Spoofing e DDoS Spoofing

Como o próprio nome indica, o IP spoofing refere-se ao uso de um IP falso por parte do emissor para disfarçar a sua identidade ou para lançar ciberataques. O emissor assume um endereço IP que não lhe pertence de forma a enviar pacotes IP para redes às quais não teria, normalmente, acesso. Dado que os pacotes vêm de um endereço de confiança, o sistema de segurança do lado do recetor vê-os como parte do funcionamento normal, e não deteta a ameaça até ser demasiado tarde.

O spoofing DDoS é um subproduto do IP spoofing, usado pelos hackers para lançar ataques de negação de serviço distribuída (Distributed Denial-of-Service, ou DDoS) contra computadores, redes e websites. Os atacantes usam várias técnicas para procurar computadores na Internet com vulnerabilidades conhecidas, e para usar estas falhas para instalar software malicioso. Isto permite-lhes criar botnets, ou seja, exércitos de computadores “robots”, todos eles controlados remotamente pelo hacker.

E-mail Spoofing e DNS Spoofing

E-mail Spoofing- é a forma mais comum de spoofing online. Tal como no phishing, os spoofers enviam e-mails para múltiplos endereços e usam logótipos oficias e imagens no cabeçalho para se fazerem passar por agentes de bancos, empresas, e instituições da autoridade. Os e-mails que enviam incluem links para websites maliciosos, ou de alguma forma fraudulentos, e anexos infetados com software malicioso.

DNS Spoofing-todos os computadores e websites na Internet têm o seu próprio endereço IP único. No caso dos websites, este endereço é diferente do endereço “www” que estamos habituados a usar. Quando um utilizador escreve um endereço no seu browser e pressiona Enter, o sistema de nomes de domínios (Domain Name System, ou DNS) procura rapidamente o endereço IP que corresponde ao nome do domínio que foi inserido, e redireciona o utilizador para esse endereço. Os hackers encontraram maneiras de manipular este sistema e redirecionar o tráfego para websites maliciosos. Este tipo de manipulação é chamado DNS spoofing.

link(https://softwarelab.org/pt/spoofing/)

Que tipos de spoofing existem?

Os cibercriminosos aplicam uma série de métodos e técnicas para levar a cabo ataques de spoofing e roubar informação sensível às suas vítimas. Alguns dos tipos mais comuns de spoofing são os seguintes:

• 
  E-mail Spoofing
• DNS Spoofing
• IP Spoofing
• DDoS Spoofing
• ARP Spoofing

O que é o spoofing?

Spoofing é um ato fraudulento no qual a comunicação originária de uma fonte desconhecida está disfarçada como sendo originária de uma fonte conhecida pelo recetor, e da sua confiança. Um ataque de spoofing ocorre quando uma pessoa (conhecida como o spoofer) se faz passar por outra pessoa de forma a enganar o seu alvo e levá-lo a partilhar os seus dados pessoais, ou a executar alguma ação para benefício do spoofer. Muitas vezes, o infrator toma o seu tempo e faz um esforço para ganhar a confiança da sua vítima, certificando-se assim que este partilha mais facilmente informação sensível.

   

link(https://softwarelab.org/pt/spoofing/)

Como remover um Keylogger

Os keyloggers podem ser bem difíceis de se remover devido a serem desenhados como softwares legítimos e conseguirem passar despercebidos a muitos programas antivírus. E, para piorar as coisas, alguns keyloggers correm com privilégios mais elevados do que o software standard de cibersegurança, o que os torna praticamente impossíveis de detetar e remover.

Se suspeita que alguém terá instalado um keylogger no seu computador, mas o seu software anti-malware não deteta este programa, poderá encontrá-lo no Gestor de Tarefas do Windows. Precisa apenas de lançar o Gestor de Tarefas e percorrer a lista dos processos ativos para verificar se existe algo de invulgar. Se for necessário, poderá pedir a ajuda de um especialista em informática para o ajudar neste passo. Pode também verificar através da sua firewall se existe alguma atividade suspeita, tal como a entrada ou a saída de quantidades anormais de dados.

Para garantir que está protegido contra as últimas ameaças, deve também configurar o seu programa antivírus para descarregar automaticamente as atualizações mais recentes. Finalmente, não abra links ou anexos em e-mails suspeitos, dado que estes podem iniciar de forma “invisível” o download de um keylogger, spyware, adware, ou outro tipo de software malicioso.

Keyloggers de hardware e acústicos

Keyloggers de hardware

Os keyloggers de hardware são dispositivos que usam os circuitos eletrónicos no interior de um teclado para registar cada tecla pressionada. Na maioria das vezes, são construídos diretamente no teclado, embora existam também sob a forma de conetores USB (para desktops) ou placas Mini-PCI (para computadores portáteis). Em vez de usarem software para registar as teclas pressionadas, todos os registos são guardados na memória interna do dispositivo. Contudo, isto significa também que o hacker necessita de acesso físico ao teclado para poder recuperar esta informação.

Keyloggers acústicos

Os keyloggers acústicos são extremamente complexos, e, consequentemente, raramente são usados. Estes usam os princípios da criptoanálise acústica para registar cada tecla pressionada ao nível do hardware. Independentemente do teclado que está a ser usado, cada tecla tem um perfil acústico único. As diferenças são muito subtis, mas este perfil pode ser determinado analisando uma amostra sonora através de uma panóplia de métodos estatísticos. Porém, não só este processo é extremamente demorado como os resultados nunca são tão eficazes quanto os de outros keyloggers.

Keyloggers baseados em API e em formulários e no kernel

Keyloggers baseados na API (API-Based)

Os keyloggers baseados na API são, de longe, os mais comuns. Estes keyloggers usam a API (Application Programming Interface) do teclado para registar cada tecla pressionada. De cada vez que o utilizador pressiona uma tecla, é enviada uma notificação para a aplicação em que este está a escrever de forma a que o carácter inserido apareça no ecrã. Os keyloggers baseados na API intercetam estas notificações e capturam cada uma delas como um evento separado. Os logs são guardados num ficheiro no disco rígido para que o hacker possa recuperá-los facilmente.

Keyloggers baseados em formulários (Form Grabbing-Based)

Em vez de registarem cada tecla pressionada separadamente, os keyloggers baseados em formulários recuperam os dados dos seus formulários web quando estes são submetidos. Da mesma forma que os keyloggers baseados na API, estes intercetam a notificação de submissão para registar toda a informação inserida no formulário. Isto inclui o nome completo do utilizador, morada, e-mail, número de telefone, credenciais de login, ou informação do cartão de crédito. Todo este processo começa assim que o utilizador seleciona “Submeter” ou pressiona a tecla “Enter” e acaba antes de os dados serem submetidos para o website.

Keyloggers baseados no kernel (Kernel-Based)

Como o próprio nome indica, os keyloggers baseados no kernel residem no núcleo do seu sistema operativo (também conhecido como kernel), tornando-os extremamente difíceis de detetar e remover. Estes keyloggers escondem-se no interior do seu sistema e registam cada evento correspondente ao pressionar de uma tecla quando este passa pelo kernel. Dado que são mais difíceis de codificar, estes keyloggers são bastante mais raros que os outros keyloggers baseados em software. Eles são distribuídos através de rootkits, coleções de software malicioso que conseguem contornar o kernel e atacar diretamente o hardware.

Tipos de Keylogger

Dependendo da parte do computador em que estão integrados, os keyloggers podem ser categorizados como sendo baseados em software ou baseados em hardware. Os 5 tipos mais comuns de keyloggers de uma ou outra categoria são os seguintes:

• Keyloggers baseados na API (API-Based);
• Keyloggers baseados em formulários (Form Grabbing-Based);
• Keyloggers baseados no kernel (Kernel-Based);
• Keyloggers de hardware;
• Keyloggers acústicos.

Mais à frente vou explicar cada um individualmente.

link(https://softwarelab.org/pt/keylogger/)

O que é um Keylogger?

Um keylogger é uma ferramenta ou uma tecnologia que monitoriza e regista cada ação consecutiva de pressionar uma tecla num dado teclado. Normalmente, os keyloggers operam de uma maneira furtiva, de tal forma que as potencias vítimas nem chegam a suspeitar que a sua atividade está a ser monitorizada. Os hackers podem usar esta ferramenta para registar toda a atividade do seu alvo enquanto este navega na Internet e assim obter a sua informação pessoal. Esta informação pode depois ser usada pelo hacker para chantagear a vítima, retirar fundos da sua conta bancária, ou para ser vendida a outros cibercriminosos no mercado negro da Internet.

Apesar de serem usados na sua grande maioria para fins maliciosos, os keyloggers também podem ser usados por várias razões legítimas. Para começar, os adultos podem instalar um keylogger para saber o que os seus filhos fazem quando estão online e receber notificações de qualquer atividade suspeita. De forma semelhante, donos de negócios e gestores podem usar os keyloggers para otimizar ao máximo a performance dos seus funcionários, bem como garantir que estes não divulgam informação confidencial da empresa. Finalmente, parceiros amorosos ciumentos podem usar keyloggers para vigiar a atividade online da sua cara-metade.

Como remover o AdWare?

Não há uma receita universal para remover adware do seu computador. Remover alguns tipos de adware pode ser tão fácil como desinstalar uma extensão do seu browser e reiniciá-lo de seguida. Com outros tipos de adware, pode ter que usar ferramentas específicas de remoção de adware para os detetar e remover com sucesso.

Apesar de a maioria dos tipos mais comuns de adware não serem particularmente perigosos, no que toca à Internet não deve deixar nada ao acaso. Se o fizer, não só corre o risco de perder os ficheiros no seu computador, como pode também comprometer a sua informação pessoal.

Para impedir que isto aconteça, tem de instalar software de confiança que mantenha o seu computador protegido. Dessa forma, pode analisar a máquina para procurar todo o tipo de ameaças – vírus, worms, spyware, malware, e adware – e removê-los completamente em apenas alguns cliques.

link(https://softwarelab.org/pt/adware/)

AdWare: DeskAd

O DeskAd é outro programa comum de adware que mostra anúncios enganadores no browser, redireciona o tráfego para websites suspeitos, e mostra pop-ups com anúncios. Ao contrário de outros programas semelhantes, o DeskAd começa de forma muito discreta, e gradualmente vai tomando conta do browser até o controlar por completo. É por isto que, muitas vezes, ele passa despercebido até que o problema se torna tão sério que só se resolve com uma reinstalação completa do sistema operativo.

Normalmente distribuído através de anexos de e-mails, o DeskAd altera o registo do computador de forma a ser lançado no arranque. Também se auto-replica, o que pode sobrecarregar a memória e o processador e levar a um crash. Se este adware infetar uma rede de computadores, os efeitos podem ser catastróficos.

link(https://softwarelab.org/pt/adware/)

PT06 do André Pita

Podem ver aqui o slides da PT6

Adware: Gator

Outro programa hoje em dia inativo, o Gator foi pioneiro no conceito de marketing comportamental, com muita controvérsia à mistura. Agrupado com software grátis muito popular, tal como o Kazaa e o Go!Zilla, o Gator removia anúncios de websites, substituindo-os com os seus próprios. Isto significava que se os visitantes de um website clicassem num anúncio, todas as receitas iam diretamente para o Gator, e não para o criador dos conteúdos.

Em 2003, a empresa por trás do Gator mudou o seu nome para Claria Corporation e continuou a lançar adware até 2006, dois anos antes de fechar definitivamente.

link(https://softwarelab.org/pt/adware/)

AdWare: DollarRevenue

Há muito fora de atividade, o DollarRevenue é um caso interessante porque foi um dos primeiros programas de adware a afetar milhões de computadores em todo o mundo. O DollarRevenue instalava uma barra de ferramentas no browser para monitorizar as buscas de Internet efetuadas num certo computador. Além disso, o programa também mostrava anúncios enganadores, quer inseridos numa página web quer sob a forma de janelas de pop-up

Os criadores do DollarRevenue foram multados na quantia de um milhão de Euros em 2007, mas esta 

decisão foi revertida seis anos mais tarde.

link(https://softwarelab.org/pt/adware/)

AdWare: Appearch

O Appearch é outro programa de adware muito comum com o mesmo modus operandi de um browser hijacker. Normalmente incluído com outro software grátis, este insere uma quantidade tal de anúncios no browser que torna a navegação praticamente impossível.

Além de anúncios, por vezes o Appearch mostra uma mensagem a informar o utilizador que o website que este deseja visitar tem acesso limitado. De seguida, pede-lhe para subscrever certas notificações para obter acesso. Se o utilizador clicar em “Permitir”, começará a ver pop-ups no ecrã mesmo com o browser fechado. Uma vez subscritas, o programa reescreve as configurações do browser, tornando impossível cancelá-las.

link(https://softwarelab.org/pt/adware/)