Ataques combinados atingem sites
Os ataques combinados têm uma média de invasões a sites de empresas de 27 por minuto, já que os criminosos – graças à automatização – podem criar até sete ataques por segundo, ou cerca de 25 mil ataques por hora.
Essas descobertas vieram de um novo estudo conduzido pela Imperva com a análise de mais de dez milhões de ataques de aplicativos web, que tiveram como alvo sites de 30 grandes empresas e agências do governo, lançados entre janeiro de 2011 e maio de 2011. O estudo também compreendeu o tráfego por meio do onion router, mais conhecido como TOR, que ajuda a anonimizar o tráfego da web.
O estudo achou as quatro formas de ataques mais comuns contra aplicativos de rede: directory traversal (37%),cross site scripting (36%), injeção SQL (23%) e remote file include (4%), mais conhecido como RFI.
Os invasores implantam essas técnicas em combinação, seja para roubar dados, instalar malware em servidores ou simplesmente criar um denial of service. “Por exemplo, um invasor pode usar um directory traversal para identificar a estrutura de diretório de um servidor atacado antes de enviar um vetor de exploração adicional e eficaz, como um RFI”, afirmou o relatório.
Curiosamente, o grupo de invasores LulzSec empregam três dessas técnicas, algumas vezes combinadas. Mas a exploração do grupo de hackers – que ocorreu em junho – caiu fora do escopo do relatório. “Consequentemente, não testemunhamos quaisquer ataque da LulzSec”. No entanto, os pesquisadores da Imperva viram uma “incrível semelhança” entre as técnicas mais prevalecentes e as técnicas usadas pelos membros do grupo.
A pesquisa apresenta um contraste interessante com informações de vulnerabilidades ,tais como a lista das 10 piores falhas de rede do Open Web Application Security Project (OWASP). De acordo com Amichai Shulman, CTO da Imperva, quando se trata do top 10 da OWASP “a RFI e directory traversal não foram identificados como top vulnerabilidades, ainda assim nossa pesquisa mostra que essas são as maneiras mais comuns de roubo de dados”.
A diferença vem de avaliação versus o que está realmente sendo atacado. “A deficiência do top 10 OWASP é que eles realmente se concentram nas vulnerabilidades mais relevantes, e apesar de ser importante, não se concentra no que os invasores estão realmente atacando”.
De acordo com a pesquisa da Imperva, os invasores perseguem as explorações mais fáceis, do que as vulnerabilidades mais relevantes. “Nosso relatório mostra que se há uma falha – mesmo as que são ignoradas pelos desenvolvedores de aplicativos de rede, e que não figurem no Top 10 OWASP, apesar de ser facilmente exploráveis – os invasores vão atrás”, disse Shulman.
Além do tipo de ataque, a Imperva também avaliou a origem. No geral, a maioria é lançadas de botnets, envolvendo exploração de PCs localizados nos Estados Unidos (para 61% dos ataques), seguido pela China (9%) e França (2%).
Mas a identidade de quem está por trás desses ataques e onde eles estão baseados ainda não está clara. Segundo Rob Rachwald, diretor de segurança e estratégia da Imperva em uma postagem de blog, os “dados mostram que é cada vez mais difícil rastrear os ataques, as entidades ou organizações específicas. Isso complica qualquer tentativa de retaliação para acabar com gangues cyber criminosas ou identificar potenciais invasões”.
Saiba mais:
FBI prende 16 crackers do Anonymous; LulzSec ataca
Ataques da Antisec: providências têm que ser imediatas
Grupo de hackers afirma ter invadido servidores da Apple
Mercadante aponta necessidade de investimento em segurança
LulzSec pede que aliados continuem onda de ataques
Petrobras e Ministério dos Esportes não sofrem com ataques de hackers
LulzSec e Anonymous estão na mira do FBI
LulzSec diz ser responsável por ataques ao site da polícia do Arizona
LulzSec afirma ter vazado dados de Dilma e Kassab
Hackers invadem página do IBGE
Outros três sites do governo saem do ar
Governo garante que Serpro impediu ataque do LulzSec
LulzSec diz ter derrubado sites do governo brasileiro
LulzSec afirma ter derrubado site da Soca
Como hackers da LulzSec conseguem enganar especialistas em segurança
Sega confirma ataque ao seu serviço online
Sony confirma ataque ao SonyPictures.com
ð Você tem Twitter? Então, siga http://twitter.com/IT_Web e fique por dentro das principais notícias de TI e telecom.
