Vida online

Olá pessoal!

Uma entidade ligada ao sistema bancário belga criou uma campanha de conscientização sobre segurança da informação.

Foi montada uma tenda no centro de Bruxelas e contratado "Dave", um ator, para desempenhar o papel de um mago místico com o poder de ler a mente das pessoas, e extrair de lá coisas que nem mesmo elas lembram.
Tudo simulava a gravação de um novo programa de TV no qual Dave - o mago, seria a atração principal, e as pessoas na rua eram convidadas a participar.

Reflita um pouco e responda:
O que o Dave, ou a turma de trás da cortina, conseguiria extrair de sua mente se você entrasse na tenda?

Até o próximo!

Vulnerabilidades

Olá pessoal!

Diz-se que a perfeição é algo que pertence ao mundo divino e não ao humano, e que nossas lógicas são sempre falhas, pois não temos o conhecimento pleno de tudo (a oniciência também é um atributo divino)
Concordo.
E você?

Se você também concorda, podemos afirmar que tudo o que nós, humanos, fazemos é falho, ou contém falhas.
E os programas que fazemos também.
Todos.
Sem exceção.
Costumo dizer que encontrar estas falhas é questão de tempo e motivação.

Sendo então a condição falha dos programas uma realidade, é preciso levantar duas situações:
- como os responsáveis pelo software respondem às falhas descobertas?
- como podemos nos proteger de falhas não corrigidas?

Vamos analisar 2 casos?

Em 22/12/2010 a Microsoft emitiu um comunicado reconhecendo uma falha no Internet Explorer que permitia execução remota de código, ou seja, alguém poderia executar qualquer comando remotamente em uma máquina, e para isso era necessário apenas que esta máquina acessasse um site especialmente preparado para explorar a vulnerabilidade.
Em 08/02/2011 a Microsoft publicou um boletim de segurança contendo a correção para esta falha, e todas as pessoas que instalassem esta correção não estariam mais vulneráveis.
O Internet Explorer permaneceu vulnerável por 47 dias, certo?
Errado.
Esta mesma vulnerabilidade havia sido noticiada em 14/10/2010 por uma entidade chamada CVE, então o número sobe de 47 para 115.
Deixamos ainda de computar o tempo em que esta vulnerabilidade não foi divulgada no CVE, e era de conhecimento apenas de um grupo (talvez mal intencionado...).
Em 08/12 já havia um código (programa) disponível para qualquer pessoa explorar esta vulnerabilidade.

Quer um caso mais recente?
Vamos lá.

Eric Romang descobriu arquivos suspeitos num servidor em 14/09 e publicou dia 16/09 em seu blog a vulnerabilidade.
A 1 semana atrás (17/09/2012) a Microsoft emitiu um comunicado reconhecendo a falha no Internet Explorer que permitia execução remota de código, e neste mesmo dia já havia um código (programa) disponível para qualquer pessoa explorar esta vulnerabilidade.
O CVE publicou mais informações no dia seguinte (18/09).
Dia 19/09 a Kaspersky disponibilizou atualização de seu produto que bloqueia acesso a sites que contenham código para explorar a vulnerabilidade.
Segundo a agencia StatCounter 41% dos internautas americanos estão vulneráveis. Entre 17/09 e 21/09, a solução apontada pelos pesquisadores para o problema foi: Temporariamente use outro navegador.
Dia 21/09 a Microsoft publicou uma correção para a vulnerabilidade.

Lembra das duas questões que propusemos antes?
- como os responsáveis pelo software respondem às falhas descobertas?
- como podemos nos proteger de falhas não corrigidas?
Vou arriscar algumas respostas.
Os responsáveis têm se tornado mais responsáveis. Percebo que as grandes empresas de software, em geral, têm tratado as vulnerabilidades com mais agilidade, mas as boas empresas com foco em segurança são ainda mais ágeis, e oferecem medidas mitigatórias ou de contenção mais rapidamente.
E para se proteger das falhas a receita não muda:
- Atualize tudo, sempre, e o mais rápido possível;
- Tire o seu da reta, ou seja, evite usar programas que estão na mira dos códigos maliciosos, não seja parte do alvo;
- Esteja atento à divulgação de falhas e vulnerabilidades.

Até o próximo!

Segurança nas Redes Sociais

Olá Pessoal!

Acho que já falamos aqui do CERT (Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brsil) não é?
Pois recentemente eles lançaram uma nova cartilha com foco em segurança nas mídias sociais.
A abordagem, como nas demais cartilhas, é muito boa, e passa dicas simples e funcionais para orientar os usuários a protegerem sua privacidade e segurança no mundo das redes sociais.
O documento evidencia algumas diferenças importantes entre as redes sociais e outras mídias de comunicação, tais como:

• a rápida velocidade com que as informações se propagam;
• a grande quantidade de pessoas que conseguem atingir;
• a facilidade de acesso;
• a grande quantidade de informações pessoais que apresentam;
• a dificuldade de exclusão e controle sobre as informações divulgadas;
• o tempo em que as informações ficam disponíveis.

O fato de que os usuários são propensos a um nível de confiança mútua elevado, e a enorme popularidade que este tipo de mídia alcançou, despertou a atenção, também, de pessoas mal-intencionadas.

A cartilha identifica como principais riscos os seguintes:

• Invasão de privacidade, de perfil e/ou furto de identidade
• Vazamento e/ou uso indevido de informações
• Danos à imagem e à reputação
• Recebimento de mensagens contendo códigos maliciosos ou phishing
• Instalação de programas maliciosos
• Acesso a conteúdos impróprios ou ofensivos
• Contato com pessoas mal-intencionadas
• Disponibilização de informações para criminosos, que as podem usar em tentativas de sequestro ou para furto de bens

E continua dando várias dicas para proteger-se deles, salientando que:

• após uma informação se propagar, não há como controlá-la e aquilo que era para ser uma brincadeira entre amigos pode ser acessado por outras pessoas e usado contra você, agora ou futuramente (na internet não existe Shift+Del).
• para proteger a privacidade, muitas pessoas tomam cuidados extras e optam por não usar redes sociais, e por isso mesmo, elas podem não gostar que você comente ou repasse informações sobre a vida delas (se for postar foto de alguém peça autorização).
• proteja o seu perfil, pois contas em redes sociais são muito visadas para a disseminação de códigos maliciosos e phishing.
• proteja também seu computador, e isso é importante não apenas para o acesso às redes sociais, mas também para proteger seus dados e tudo que você faz usando ele.
• se tiver filhos ou crianças próximas, é muito importante que você os oriente sobre os riscos de uso das redes sociais, para que eles saibam se proteger.
• aquilo que você divulga ou que é divulgado sobre você pode ser acessado por seus chefes e companheiros de trabalho, além de poder ser usado em um processo seletivo futuro que você venha a participar.
• é importante que alguns cuidados sejam tomados para que a participação nas redes sociais seja algo proveitoso e não algo que possa vir a ser usado contra a própria empresa.

E já que o assunto é mídias sociais e privacidade, deixo a dica de um produto da Secure.me.

Trata-se de um site e um plugin com o intuito de tornar os usuários do Facebook cientes das informações pessoais que serão colhidas pelos aplicativos.

O site possui informações de mais de 500 mil aplicativos do Facebook e descreve os dados do usuário coletados por eles.

O plugin é uma extensão para os navegadores Safari, Firefox e Chrome, que é ativada quando usuários entram em páginas de aplicativos do Facebook, e exibe um alerta pop-up que informa aos usuários a reputação do aplicativo e uma opção para informações mais detalhadas.

Até o próximo!

StuxNet - novidades sobre o caso

Olá pessoal!

Este blog tem como objetivo básico trazer temas e dicas úteis ao dia-a-dia das pessoas.

Então vou pedir desculpas para voltar a um tema que está um pouco afastado deste objetivo (será?).

Talvez alguns de vocês tenham lido algo sobre o StuxNet.

Pois surgiram fatos novos no cenário.

Em 01/06 o New York Times publicou uma matéria com título "Obama ordena onda de ciberataque contra o Irã", reforçando com dados ainda mais concretos (mas sem citar fontes) que o StuxNet foi desenvolvido pelos EUA, com apoio de Israel.

Eu sempre comento que não existe software perfeito. Todos têm vulnerabilidades, mesmo os malwares, e mesmo o StuxNet!

Era pra ele ter ficado quietinho lá nos PLCs de Natanx, mas por alguma falha... ele acabou escapando, infectando e aparecendo em outros computadores... sendo detectado... e tornando-se público em Junho de 2010.

Inicialmente ninguém assumiu a "paternidade", mas em Fevereiro de 2011 Gavriel Ashkenazi, comandante geral do exército de Israel, em seu discurso de aposentadoria, deixou claro, com orgulhou, que havia dedo seu no StuxNet.

Mas parece que o filho tem 2 pais.

A operação que gerou o StuxNet foi batizada em 2006 de "Jogos Olímpicos", ainda no mandato de George Bush, e teria sido apresentada ao presidente pelo General James E. Cartwright.

Segundo a reportagem, foi desenvolvido antes do StuxNet um outro malware cujo objetivo era somente mapear a infraestrutura de Natanx, fornecendo informações preciosas para o sucesso do StuxNet, que foi inclusive testado em uma réplica de Natanx construída em solo americano, usando os mesmos modelos de equipamentos usados pelos iranianos.

O sucesso dos testes foi comprovado pelos destroços da centrífuga apresentados a George W. Bush.

A respeito da dificuldade em fazer com que o malware fosse inserido na rede interna da Natanx, um dos envolvidos no planejamento disse "Há sempre um idiota por ai com um pendrive na mão", ou seja, O STUXNET ENTROU EN NATANX ATRAVÉS DE UM PENDRIVE.

A reportagem do New York Times revela que Bush teria recomendado a Obama especial cuidado e investimento em 2 programas secretos: The Drome (responsável pela queda de Bin Laden), e Olimpic Games.

E assim foi feito, até o dia em que o bicho escapou da cela.

A reportagem revela que um dos engenheiros iranianos teve seu notebook contaminado ao plugá-lo na rede das centrífugas, e quando voltou para a internet, o malware falhou em reconhecer a troca de ambiente, causando a disseminação do código pelo mundo, e a consequente identificação pelos antivírus.

É claro que a culpa sempre é dos outros...

Os assessores do presidente Obama disseram que os israelitas haviam alterado o código do malware intempestivamente, inserindo a vulnerabilidade e causando o "vazamento".

Bom, vamos ficar por aqui porque o assunto vai longe.

Quem quiser pode ler a reportagem completa em inglês aqui.

Mas é importante fazer algumas reflexões...

Quando se fala de infraestrutura, atualmente TUDO está conectado e pode ser controlado por computadores.

Desde os sistemas de água, luz e telefonia, até outros como portas das prisões, linhas de produção das fábricas, UTI de hospitais, carros, sistema financeiro, etc.

E mesmo os sistemas mais complexos de segurança, estão expostos à estupidez humana.

Como foi citado acima, sempre há um "sem noção" com um pendrive na mão.

Não vou dizer que seria impossível, mas seria muito, mas muuuuuuuuito mais difícil inserir o StuxNet en Natanx sem contar com a vulnerabilidade presente nas pessoas.

Enquanto houver um único usuário que clique no link de um SPAM, ou em cada botão "Yes", "Executar" ou "Aceitar" que aparecer, toda a parafernália tecnológica de segurança estará seriamente comprometida, e as janelas de vulnerabilidade continuarão a ser enormes.

Então, prezados leitores, redobrem os cuidados e mantenham-se atualizados.

Fale do assunto com os colegas, com sua família e amigos.

Não seja VOCÊ mais uma janela de vulnerabilidade.

Até o próximo!

O vírus agora quer ouvir e ver você

Olá pessoal!

Como seria bom se todas as pessoas usassem sua inteligência e criatividade somente para coisas boas, não é mesmo?

Mas coisas boas para todo mundo, e não somente boas para o inventor.

Mas é difícil não é mesmo... :(

Somos individualmente diferentes, fazemos parte de grupos sociais diferentes, e é muito difícil contentar todo mundo... infelizmente.

E por causa disso, coisas que fazem a alegria de uns, causam tristeza a outros.

Mas vamos ao caso.

 

Dmitry Tarakanov, um pesquisador e analista de malware que trabalha na Kaspersky encontrou um código malicioso que lhe chamou a atenção.

flashcamcontrol.dll

Este código é na verdade um módulo, ou um plugin, para o já conhecido SpyEye (um código central - core - de vírus ao qual se pode "agregar" outros códigos para operações específicas).

O nome lhe chamou a atenção e ele aprofundou a análise.

Descobriu que com este módulo o atacante poderia controlar a webcam e o microfone da máquina infectada, e quando falo "controlar" quero dizer ligar, desligar, gravar, etc.

E o pesquisador continuou intrigado: Para que um vírus desejaria gravar áudio e vídeo?

Continuou investigando...

Descobriu que os vídeos eram enviados para alguns servidores na web, mas até ai tudo normal, pois de nada serviriam se ficassem na máquina infectada. E por fim descobriu conexões entre a operação deste módulo e alguns sites de internetbanking de bancos alemães específicos.

Continuou investigando...

Descobriu que alguns destes bancos, para operações específicas (altas somas), usam a webcam para fazer reconhecimento do cliente, ou seja, filmam quem está navegando para cruzar com imagens feitas no cadastramento da conta.

E descobriu também que alguns bancos, diante de operações com altas somas, ligam para o celular cadastrado do cliente e solicitam que fale o código de acesso à conta.

Pronto!

Agora ficou claro para que o vírus grava vídeo e áudio das vítimas.

Será que um dia o nível de riscos e ameaças vai inviabilizar o internetbanking?

Será que vamos ter que voltar a frequentar as agências bancárias?

Será só imaginação?

Será que nada vai acontecer?

Será que é tudo isso em vão?

Será que vamos conseguir vencer?

Até o próximo.

Já comprou seu Android hoje?

Olá pessoal!

 

Talvez você tenha comprado e nem se deu conta!!!

 

Num post anterior nós falávamos que um dia todo mundo iria ter um Android, lembram?

Já fazem 6 meses desta "previsão", e o cenário caminha para isso mesmo.

 

Atualmente 53% dos smartphones ativos já usam este sistema operacional.

 

E só no primeiro trimestre de 2012 foram vendidos mais de 81 milhões de unidades.

 

Alguns não perceberam, mas o post anterior não se restringia ao mundo dos smartphones...

 

Desde o ano passado a Google já vem falando no Android sendo usado em dispositivos embarcados (o GPS do seu carro por exemplo ) e em automação doméstica (sua nova lava-roupas por exemplo ). Nos tablets esta realidade já existe a um bom tempo, e Andy Rubin, um dos fundadores do consórcio que deu origem ao Android, comentou que "o circulo do Android está crescendo", e que "tudo pode ser androidizado".

Nesta linha...

A LENOVO lançou uma TV de 55" full HD que roda Android.

 

A SAMSUNG lançou uma geladeira.

 

 A NEST lançou um sistema de condicionador de ar.

 

 

E por ai vai...

 

E quem pensa que o foco está nos nichos e inovações do mercado, pode estar enganado.

Logo logo você vai estar comprando computadores, notebooks e netbooks rodando Android.

A Android-x86 é uma iniciativa de portabilidade do sistema para computadores comuns (Ubuntu que se cuide!).

O governo federal vai desembolsar 180milões para levar 600.000 tablests aos professores das escolas públicas (no Uruguay isso já é realidade a mais de 1 ano para professores e alunos - rodam Ubuntu), serão equipamentos da Positivo e CCE, e irão rodar... Android.

 

Mas a fama sempre tem seus inconvenientes.

Recentemente a F-Secure divulgou dados internos levantados por seus laboratórios de pesquisa e análise de malware, e eles informam um crescimento de 270% ao ano de novas FAMÍLIAS de vírus para a plataforma Android. Só no primeiro trimestre de 2012, contabilizaram 37 novas famílias e variações de aplicativos maliciosos, a ainda mais espantoso foi o crescimento de 2100% no número de malwares presentes em pacotes de aplicativos tipo APK (Android Application Package Files), saindo de 139 para 3.069.

O Android é a plataforma que mais cresce no mundo, com mais de 850 mil ativações diárias e mais de 450 mil aplicativos disponíveis, e por isso é cada vez mais seguro afirmar que "você ainda vai ter um monstrinho desses".

 

Então prepare-se!

As dicas de segurança não mudaram.

 

Atualize o Android - MUUUUITO cuidado nesta hora!!! Se você não sabe como fazer, procure alguém que saiba, e que seja de sua confiança. Normalmente cada fabricante lança seu pacote de atualização.

Instale um Antivírus - Existem os pagos e os free. Você pode escolher no Android Market entre Lookout Mobile Security, AVG Anti-virus Pro, NetQin Anti-virus, Dr. Web Anti-Virus, TrendMicro Mobility Security, Kaspersky e outros. Não esqueça de mantê-lo sempre atualizado.

Instale ferramentas de Lock&Wipe - São ferramentas que permitem a você remotamente "zerar" o aparelho, apagando dele todas as suas informações. Isso é muito útil em caso de perda ou furto (ja relatamos um caso aqui no blog). IMPORTANTE - Faça testes e esteja pronto para usar. O momento de pânico não é o melhor para aprender a fazer o wipe.

Desconfie dos aplicativos - A plataforma é aberta, e qualquer um pode escrever uma aplicação para Android, e ai se escondem a maioria dos malwares que somam o crescimento de 2.100% que citamos, e lembre: Um malware no seu Android pode fazer tudo o que você faz e mais o que você não sabe fazer.

 

 

Até o próximo!

A Carol vazou...

Olá pessoal!

 

Primeiro queremos pedir desculpas pelo "sumiço".

O último post do blog já tem mais de um mês!

Mas levamos um "puxão de orelha" de um dos leitores assíduos e estamos de volta.

 

 

Nessa chamada de atenção, o leitor foi bonzinho e já sugeriu um tema para o post.

Ele pergunta "como funciona a segurança de sites contra invasores, como são identificados e como são tratados ao descobrirem a origem do ataque".

Vou chegar lá.

 

Costumo usar fatos do cotidiano ou notícias relevantes para lançar sobre elas o olhar da segurança da informação, e para introduzir e ilustrar com um cenário a resposta ao leitor, vamos usar um desses cases.

Vamos lá?

 

Você soube que vazaram fotos da Carolina Dieckmann?

 

 

 

Pois é...

O assunto veio à mídia "tradicional" na última sexta-feira (04).

A atriz diz que foi "rackeada", e que as tais fotos vazaram de seu computador pessoal.

Parece que as fotos foram encontradas, por ela ou pela sua assessoria, em um site pornográfico hospedado na Inglaterra.

O advogado contactou o tal site e parece que as fotos foram removidas. Agora ele quer acionar a justiça para aplicação de multa diária para os sites que mantiverem as fotografias, e para penalizar criminalmente os responsáveis pelas cópias das fotos feitas diretamente do computador da atriz.

 

Então...

 

Posso fazer algumas perguntas?

 

"Ela ou sua assessoria" encontraram as fotos no tal site inglês, e a "galera"... onde já encontrou?

Ou seja, onde mais NO MUNDO existe cópia destas fotos?

 

Multa diária... legal...

Sr. Advogado, me chamo João-sem-nome e mantenho um blog pornográfico em um domínio hospedado em Tonga, e ganho muito dinheiro com meu blog, como faço para pagar a multa? Tenho muito interesse em manter as fotos no blog.

E agora?

 

Penalizar os responsáveis... Antes de entrarmos nesse ponto, que vai de encontro ao que pergunta o nosso leitor, vamos deixar bem claro os dois anteriores: NUNCA MAIS estas fotos vão desaparecer da internet.

NUNCA MAIS!

Guarde este post, releia daqui a 10 anos, e procure de novo as fotos.

GARANTO que você vai encontrar.

A internet não foi feita para apagar as coisas. Foi feita para manter as coisas disponíveis e acessíveis o tempo todo.

Milhares de pessoas copiaram estas fotos para seus computadores, mandaram anexadas em emails, e publicaram em outros sites.

Nestes casos, a melhor dica é: Não quer que suas fotos vazem? Então não tire fotos!!!

 

Agora voltemos ao "punir os responsáveis".

TUDO no mundo digital e na internet deixa rastros, mas nem sempre estes rastros são fáceis de seguir, ou levam a um lugar "viável".

Fazendo um paralelo com a pergunta do leitor, imaginemos que realmente o computador da atriz tenha sido atacado e invadido.

Imaginemos então que um atacante achou uma vulnerabilidade no computador, através dela teve acesso ao disco da máquina, encontrou nele as tais fotos, e enviou estas fotos por email para anonimo@gmail.com.

Neste caso temos a possibilidade de conseguir o endereço IP de quem fez o ataque, que pode não ser exatamente o atacante mas outra máquina comprometida (imagine se fosse a sua!), e a conta do Gmail.

Com um pouco de sorte e boa vontade, acionaríamos o Google e eles informariam qual endereço IP acessou o email e recebeu as fotos, e se este IP fosse do Brasil, acionaríamos o provedor de ADSL que informaria quem é o dono da linha telefônica, que de novo pode não ser o criminoso mas outra máquina comprometida (imagine se fosse a da sua casa!).

 

Em resumo, apesar de, como falei, tudo na internet e no mundo digital deixar rastros, é muito improvável que neste caso em particular o responsável pelo vazamento seja punido.

Vemos na mídia com frequência quadrilhas de criminosos virtuais sendo presos. Mas isso é o resultado de operações que duram meses ou anos!

E a constatação é que, infelizmente, os criminosos estão cada vez mais especializados, e conhecem as fragilidades jurídicas, policiais, e tecnológicas que produzem tanta dificuldade a ponto de inviabilizar sua identificação.

 

Alguém produz um vírus, que se propaga através de um site da Grécia, se instala num PC da Austrália, que ataca outros PCs no Brasil, e que encontra um com nome "cadieckmann".

Esse alguém cria uma máquina virtual em um provedor de El Salvador com um servidor de email, e manda seu vírus enviar todas as fotos que encontrar no "cadieckmann" para uma conta de email de um provedor queniano, que reencaminha tudo automaticamente para servidor virtual, o qual é eliminado depois que as fotos interessantes são baixadas.

 

É possível encontrar este alguém? SIM!

Sabe quando vão encontrar este alguém? NUNCA!

 

O problema é que o "alguém" não se contenta só com possuir as fotos.

Tem que mostrar pra galera né... acho que aí é que ele vai cair.

 

Cuidado com a interpretação do que escrevemos!

Daqui a pouco você vai sair dizendo que o melhor é não usar a internet, ou abandonar as câmeras digitais.

Não é bem assim!

Já disse Pompeu que "Navigare necesse; vivere non est necesse" (você sabia que foi Pompeu e não Camões?).
Não podemos ficar trancados em casa por causa dos riscos de um acidente no trânsito, então o jeito é "transitar" (ou navegar) com mitigadores do risco.

Use cinto, air-bag, não avance o sinal, respeite o limite de velocidade, se beber não dirija, faça revisões no seu veículo, atravesse na faixa, olhe para os lados antes de atravessar, e por ai vai...
No uso da tecnologia da informação o conceito é o mesmo: mitigadores de risco.
Antivírus, atualizações, firewall, anti-spam, hardening, e por ai vai...
E alguns mitigadores são literalmente os mesmos!
Quem não lembra do "não converse com estranhos meu filho!"?
Este mitigador vale para os dois mundos.

Até o próximo!