Há uma nova variante do malware que comprometeu centenas de computadores na Ucrânia

Novos dados da ESET revelam que o CaddyWiper apaga os dados dos utilizadores e informação de partições de quaisquer drives que estejam ligadas a um computador infetado.

Depois de descobrirem o HermeticWiper, um malware que apaga dados e que terá comprometido centenas de computadores em redes de organizações na Ucrânia, os investigadores da ESET detetaram uma nova variante do software malicioso no país.

De acordo com os especialistas, o CaddyWiper foi observado pela primeira vez no dia 14 de março. Tal como o seu nome indica, este “wiper” (ou “apagador de dados” numa tradução para português), apaga os dados dos utilizadores e informação de partições de quaisquer drives que estejam ligadas a um computador infetado.

Segundo detalhes partilhados pela empresa de cibersegurança através do Twitter, o malware já foi detetado nos sistemas informáticos de um número limitado de organizações.

“O CaddyWiper não conta com semelhanças significativas ao código do HermeticWiper, IsaacWiper ou qualquer outro malware conhecido por nós”, afirmam os especialistas. O IsaacWiper, em específico, começou a ser implementado na Ucrânia logo após o ataque militar russo a 24 de fevereiro.

Ataque de ransomware paralisa o sistema de saúde público na Irlanda

O jornal The Irish Times avança que os equipamentos médicos dos hospitais irlandeses ainda estão operacionais, embora os profissionais não consigam aceder aos registos informáticos dos pacientes. O HSE afirma que o serviço nacional de ambulâncias continua a funcionar, assim como as campanhas de vacinação contra a COVID-19.

Ao que tudo indica, os sistemas do HSE já tinham sofrido algumas tentativas de ataque DDoS a 13 de maio. Apesar de terem sido encarados como algo rotineiro na altura, acredita-se agora que possam ter sido o prenúncio de um ataque a grande escala.

Citado pela publicação, Paul Reid, CEO do HSE, afirmou que, para já, ainda não houve um pedido de resgate. A situação está agora numa fase de contenção. O responsável especula que os atacantes possam fazer parte de uma rede de criminosos internacionais, no entanto, sem avançar mais pormenores específicos.

No que toca ao incidente que paralisou um dos maiores oleodutos nos Estados Unidos, o FBI confirmou recentemente que o grupo DarkSide foi responsável pelo ataque de ransomware.

A Colonial Pipeline confirmou também que os seus sistemas já estão operacionais e que o oleoduto voltou a garantir o transporte de combustíveis à costa leste do país. Porém não é claro se a empresa pagou ou não o resgate de 5 milhões de dólares exigido pelos cibercriminosos.

Ataque de ransomware paralisa o sistema de saúde público na Irlanda

Os responsáveis pelo Health Service Executive encerraram temporariamente os seus serviços informáticos numa tentativa de protegê-los contra o ataque de ransomware. Para já, os cibercriminosos por trás do incidente ainda não realizaram um pedido de resgate.

Com a pandemia de COVID-19 a virar o panorama da cibersegurança às avessas, os ataques de ransomware estão a tornar-se mais frequentes, em particular, os que visam infraestruturas ou sistemas críticos. Depois do que sucedeu à Colonial Pipeline nos Estados Unidos, a Irlanda vê-se a braços com um ataque de ransomware que paralisou o seu sistema de saúde público.

Através da sua conta no Twitter, o Health Service Executive (HSE) dá a conhecer que os seus sistemas informáticos foram afetados por um ataque de ransomware que foram tomadas. À medida que os responsáveis delineiam um plano de ação em colaboração com os seus parceiros na área de segurança, os sistemas foram temporariamente encerrados, numa tentativa de tentar protege-los.

Password comprometida foi a porta de entrada para o ataque de ransomware à Colonial Pipeline(2)

A password da conta foi descoberta num conjunto de credenciais expostas na Dark Web, o que significa que um funcionário da Colonial Pipeline poderá ter usado a mesma palavra-passe numa outra conta anteriormente comprometida, explica Charles Carmakal, vice-presidente senior da Mandiant à Bloomberg. Porém, os investigadores não têm a certeza de como é que os hackers conseguiram obter a password em questão.

“Realizamos uma análise exaustiva para tentar determinar como é que eles conseguiram aceder às credenciais”, indica o responsável, acrescentando que a empresa de cibersegurança não encontrou quaisquer sinais de phishing no caso do funcionário cujas credenciais foram usadas, ou evidências de atividade por parte dos atacantes que seja anterior a 29 de abril.

A conta da VPN também não utilizava autenticação multifactor, permintindo aos cibercriminosos entrarem facilmente na rede interna usando apenas as credenciais comprometidas. A Colonial Pipeline acabou por pagar o resgate de 4,4 milhões de dólares exigido pelo grupo DarkSide. Além disso os cibercriminosos terão também roubado quase 100 GB de informação da empresa, ameaçando expô-la caso o resgate não fosse pago.

Trojan Malware roubou 2 milhões

Recentemente, foi feito um malware em javascript que chegou a roubar 2.560.000$. O código foi escondido com múltiplos base 64, para ultrupassar firewalls, e anti-virus. O código consista na verficação do clipboard (histórico de o que foi copiado no computador), e verificava se existia algum dado com parâmetros de carteiras de criptomoedas. Depois se encontrado o tal código da carteira o script fazia um loop de modo a detetar o dinheiro que tinha e enviava-o todo.

Através da análise do código foi possível identificar o IP de onde a carteira de criptomoedas estava a receber dinheiro, mas não foi publicado o que aconteceu com o IP e a investigação. 

Calculo que não tenha acontecido nada porque as autoridadesd estatais não precisam de intervir em economias que não são aprovadas pelos Estados.

Podem verificar, a carteira que contém todas as transaçẽs feitas por este Cavalo de Troia:

https://www.blockchain.com/btc/address/1NSrjTotDiuK7S1xMm9yuppq4dr4Uf9saM

RansomWare

Ransomware é um tipo de software nocivo (conhecido também como malware) que restringe o acesso ao sistema infectado com uma espécie de bloqueio e cobra um resgate em criptomoedas (como em um sequestro) para que o acesso possa ser restabelecido. Caso não ocorra o mesmo, arquivos podem ser perdidos e até mesmo publicados. De acordo com um relatório da Cisco, dominou o mercado de ameaças digitais em 2017 e é o tipo de malware mais rentável da história. O primeiro relato documental deste tipo de ataque foi em 2005 nos Estados Unidos.

Um exemplo deste tipo de malware é o Arhiveus-A, que compacta arquivos no computador da vítima em um pacote criptografado. Em seguida informa que os arquivos somente poderão ser recuperados com o uso de uma chave difícil de ser quebrada, geralmente de 30 dígitos, que a vítima receberá após efetuar sua compra em um site do atacante. Trata-se de um golpe ou de fato uma ação extorsiva pois esse tipo de hacker (crackers), mesmo após o pagamento do resgate, pode ou não fornecer a chave para descriptografar os arquivos.

Diferentemente dos trojans, os ransomwares não permitem acesso externo ao computador infectado. A maioria é criada com propósitos comerciais. São geralmente, e com certa facilidade, detectados por antivírus, pois costumam gerar arquivos criptografados de grande tamanho, embora alguns possuam opções que escolhem inteligentemente quais pastas criptografar ou, então, permitem que o atacante escolha quais as pastas de interesse.

Cripto-ransomware

A criptografia é o elemento-chave do cripto-ransomware, uma vez que todo o seu plano de negócios depende do uso bem-sucedido da criptografia para bloquear os arquivos ou sistemas de arquivos das vítimas sem planos de recuperação, como backups de dados. Isso não significa que a criptografia é intrinsecamente maligna. Na verdade, é uma ferramenta poderosa e legítima empregada por indivíduos, empresas e governos para proteger os dados de acesso não autorizado, como o sistema de Ukash. Assim como qualquer outra ferramenta poderosa, algoritmos de criptografia podem ser mal utilizados, que é exatamente o que o crypto-ransomware faz.

Quais as formas de malware mais frequentes?

• O adware é software indesejado concebido para provocar o aparecimento de anúncios no seu ecrã, a maioria dentro de um browser. Normalmente, utiliza um método discreto para se disfarçar como se fosse legítimo ou apanha boleia de outro programa para enganar os utilizadores para que o instalem em PCs, tablets ou dispositivos móveis.
• O spyware é malware que observa secretamente as atividades do computador do utilizador sem permissão e, em seguida, envia as informações ao criador do software.
• 
  Um vírus é malware que se fixa a outro programa e que, quando executado - de forma, geralmente inadvertida pelo utilizador - se replica modificando outros programas informáticos e infetando-os com os seus bits de código.
• Um trojan, ou trojan horse (cavalo de Troia), é um dos tipos de malware mais perigosos. Normalmente, surge representado como algo útil de forma a enganar o utilizador. Assim que entra no sistema, os atacantes responsáveis pelo trojan obtêm acesso não autorizado ao computador em causa. A partir desse computador, os trojans podem ser utilizados para roubar informações financeiras ou instalar ameaças, tais como vírus e ransomware.

link(https://pt.malwarebytes.com/malware/
)

Malware, o que é?

Malware, foi considerada a maior ameaça à cibersegurança pela Agência da União Europeia de Cibersegurança. Mas afinal, o que é Malware?

Malware, ou software malicioso, é um termo genérico que descreve qualquer programa ou código malicioso que seja prejudicial para os sistemas.

O malware hostil, intrusivo e intencionalmente maldoso tenta invadir, danificar ou incapacitar computadores, sistemas, redes, tablets e dispositivos móveis, assumindo, frequentemente, o controlo parcial das operações de um dispositivo. Tal como a gripe humana, interfere no normal funcionamento.

O objetivo do malware é retirar-lhe dinheiro de forma ilícita. Embora o malware não possa danificar o hardware dos sistemas, pode roubar, encriptar ou apagar os seus dados, modificar ou sequestrar funções essenciais do computador e espiar a atividade do seu computador, sem o seu conhecimento ou permissão.

link(https://pt.malwarebytes.com/malware/)

Python - News 5

O MALWARE PyXie: UM NOVO RAT NEFASTO EXCRITO EM PYTHON!

Pesquisadores da empresa BlackBerry Cylance descobriram recentemente um RAT (Remote Administrator Tool) em Python, que foi batizado de PyXie. As amostras mais antigas do PyXie mostram o malware no ambiente virtual desde pelo menos 2018, sem chamar muita atenção da indústria de segurança cibernética.

O PyXie faz parte de uma campanha em andamento que tem como alvo uma ampla variedade de indústrias. Os analistas da BlackBerry Cylance também observaram evidências de tentativas de ataque de ransomware com o PyXie nos setores de saúde e educação.

A BlackBerry Cylance conduziu vários episódios de resposta a incidentes (IR) nos quais o PyXie foi identificado nos hosts do ambiente da vítima.

Os principais destaques da campanha do PyXie incluem:

· binários legítimos do LogMeIn e do Google usados para descarregar payloads;

· um aplicativo Tetris “trojanizado” para carregar e executar os suportes do Cobalt Strike a partir de compartilhamentos internos de rede;

· uso de um downloader que tem semelhanças com o Shifu, chamado “Cobalt Mode”;

· uso do Sharphound para recolher informações do directório activo das vítimas;

· um interpretador Python compilado e personalizado que usa opcodes codificados para dificultar a análise;

· uso de um algoritmo RC4 modificado para criptografar payloads com uma chave exclusiva para cada host infectado.

A imagem abaixo (em inglês) mostra de forma sintetizada como funciona o ataque por passos:

Referências:

• inforchannel.com.br (imagem: 19-1-2020)

Python - News 2

ESTA PUBLICAÇÃO É UM POUCO FORA DO COMUM EM QUE NÃO VOU EXPLICAR NENHUM TIPO DE COMANDO DIFERENTE EM PYTHON, MAS APRESENTAR-VOS UMA NOTÍCIA E UM AVISO PARA TODOS OS NAVEGANTES DA INTERNET!

A equipa de segurança do Python removeu duas bibliotecas mal-intencionadas do PyPI(índice de Pacotes Python, falado anteriormente onde se podem encontrar vários documentos partilhados pela comunidade, entre eles bibliotecas). Ambas as bibliotecas foram criadas pelo mesmo desenvolvedor, que utilizou uma técnica chamada typosquatting que serve para registar nomes com aparência semelhante, assim as bibliotecas criadas por ele tinham nomes parecidos com bibliotecas populares.

A primeira chamava-se jeilyfish (publicada a 11 de dezembro de 2018, QUASE 1 ANO!), que imitava a biblioteca jellyfish (que trabalha com strings); como a fonte do site é diferente desta, esta biblioteca era quase indistinguível visto que o 'i' inicial era quase idêntico a um 'l', como podemos ver na imagem abaixo.

A segunda chamava-se python3-dateutil (adicionada em 29 de novembro de 2019), que imitava a biblioteca dateutil (que falarei em publicações futuras que contem várias ferramentas úteis de controlo de tempo e datas).

As duas bibliotecas foram descobertas no dia 1 de dezembro, pelo desenvolvedor Lukas Martini e foram removidas no mesmo dia após notificar os desenvolvedores da dateutil e da equipa de segurança do PyPI.

pytho3-dateutil não continha código malicioso, mas importava a biblioteca jeilyfish que extraía as chaves SSH e GPG do computador de um utilizador e enviava as mesmas para este endereço IP: http://68.183.212.246:32258

Essas chaves serviriam para descobrir quais projetos as credenciais funcionavam para comprometer os mesmos.

Esta é a quarta vez que a equipa do PyPI tem de remover bibliotecas mal-intencionadas, ocorreu em setembro de 2017 (10 bibliotecas), outubro de 2018 (12 bibliotecas) e julho de 2019 (3 bibliotecas).

Referências:

• sempreupdate.com.br/duas-bibliotecas-python-mal-intencionadas-foram-capturadas-roubando-chaves-ssh-e-gpg ( imagem e informação: 10-12-2019)
• pypi.org/project/python-dateutil(10-12-2019)
• pypi.org/project/jellyfish(10-12-2019)
• pypi.org(10-12-2019)
• github.com(10-12-2019)

O que podemos aprender com Silex: o malware que está a inutilizar milhares de dispositivos IoT

Silex é um poderoso malware que foi criado por um jovem de apenas 14 anos fruto de uma brincadeira e que se tornou um projeto pessoal que terá direito a novas atualizações, mais destrutivas e capazes de atingir mais dispositivos. Este malware começou a espalhar-se em junho do presente ano (2019) e consegui atingir milhares de aparelhos incapacitando-os. Felizmente existe possibilidade de os recuperar, sendo apenas preciso instalar novamente o firmware, que é algo que a maioria dos usuários não sabem fazer.

Talvez o mais caricato nesta história seja o facto de este malware não ter efeito caso os dispositivos não se encontrem com a autenticação padrão. Porém, como sabemos praticamente todos os utilizadores que possuem dispositivos IoT não alteram as configurações e passwords de fábrica. 

Uma grande lição que pudemos tirar deste acontecimento não é só que as pessoas são desleixadas, mas que o investimento na segurança e proteção de qualquer dispositivo IoTé crucial, pois estando todos interligados, se um dispositivo for hackeado, toda a rede fica em perigo. O facto de estarem todos ligados à rede também deixa os dispositivos mais vulneráveis, caso a rede tenha pouca proteção claro.

Sendo normalmente os dispositivos IoT de recolha de dados muitas vezes pessoais, é muito grave se esses dados forem parar às mão de pessoas indesejadas e mal intencionadas, ainda mais quando não temos conhecimento.

Se um rapaz de 14 anos consegue fazer isto, o que um hacker profissional não conseguirá! É preciso muita atenção para este tipo de problema.

Imagem:

• URL
• consultada no dia 20/10/2019

Blogue pessoal sobre tech:

• https://blog-first-tech-pt.blogspot.com/

Fonte:

• https://pplware.sapo.pt/high-tech/silex-malware-matar-dispositivos-iot
• cconsultada no dia 20/10/2019

Whatsapp Gold?

O WhatsApp é um serviço popular de mensagens instantâneas. Tem clientes em várias plataformas, como o Android e o IOS, e recentemente ganhou compatibilidade para o Windows e o OSX. Infelizmente, também recentemente anda por aí a circular um malware chamado “WhatsApp Gold”, fazendo-se passar por uma versão premium do serviço, que alegadamente é usada por celebridades. Ao instalar esta falsa atualização, o seu smartphone pode ficar vulnerável a hackers.