Sequestro de dados (Ransomware) é real, previna-se!!

Há algum tempo, poucos anos, eu comecei a escutar histórias de sequestros de dados e de arquivos. Isso tudo me parecia muito distante, história de ficção, sabe? Mas vocês não imaginam como isso está próximo de nós. Vou contar brevemente dois casos que presenciei sobre isso e na sequência transcrevo um artigo muito interessante sobre o assunto escrito por Fernando Cardoso, arquiteto de soluções da empresa de segurança Trend Micro.

 

Caso 1: cheguei tarde!!

Visitando uma empresa vi que seu servidor se encontrava com todas as pastas aparentemente intactas. Os arquivos pareciam estar normais, mas o conteúdo de cada uma delas irremediavelmente codificado. Uma mensagem na pasta (arquivo texto) continha instruções para obter a chave de abertura dos arquivos (pagar algo como US$ 5000). Backup existe para isso, certo? Não neste caso. A empresa fazia backup com HD externo, que ficava permanentemente conectado ao servidor, que também fora completamente encriptado. A dona da empresa se recusou a negociar com a bandidagem virtual. Eles recuperaram uma razoável parte das informações em cópias nas estações locais e outra parte em anexos de e-mails. Claro que a partir deste funesto incidente toda a segurança da empresa foi revista, servidor oportunamente trocado, novas rotinas de backup etc.

 

Caso 2: assistindo o ataque ao vivo e a cores!!

Tentando ser breve, a história é longa. Algumas pessoas em outra empresa começaram a sentir falta de arquivos muito usados em pastas bem importantes. Os nomes esperados tinham sido trocados por outros do tipo 1A33B4CF5D670CD26.LOCK (um longa cadeia de caracteres hexadecimais sucedidos por LOCK=trancado). Fora criado um arquivo texto com o pedido de resgate, também US$ 5000, será que o preço é tabelado? Eu estava lá e pude observar ao vivo alguns arquivos desaparecendo e sendo LOCKados, bem ali, na minha frente!!! O ataque estava em progresso naquele momento. Desligamos todas as conexões de Internet e mesmo assim continuava o ataque. Possivelmente um programa malicioso que fora recém instalado em algum lugar estava fazendo isso.

 

 

Como as empresas podem elevar a segurança contra novas ameaças e Ransomware?

 

O cibercrime vem crescendo e se profissionalizando assim como a grande quantidade de casos com Ransomware e táticas de engenharia social que afetam milhares de pessoas e empresas pelo mundo inteiro. O que torna o cenário mais crítico como mostrado na figura abaixo, são os diferentes tipos de ataques orquestrados pelos crackers, muitos deles utilizando táticas de engenharia social.

 

Fonte: Hackmageddon

 

Desse modo, é exigido das empresas que repensem rapidamente novas soluções e arquiteturas de segurança para que consigam antecipar ameaças e ataques.

Diversas empresas já investiram milhares de reais com soluções de segurança para a proteção de suas informações, considerados seu bem de maior valor. No entanto, ainda se vê necessário aumentar o nível de inteligência, detecção e automação, com tecnologias como sensores de redes que reconhecem ataques avançados e sistemas de Sandbox.

 

Sendo assim, que tipo de arquitetura ou soluções poderiam ajudar a conter os perigos iminentes?

Nesse artigo, analisamos três arquiteturas que apesar de não serem uma resolução definitiva, elevam consideravelmente a segurança de informação de muitas empresas.

 

Sistemas de Sandbox podem ajudar muito na descoberta de malware e ransomware, pois possuem capacidade de realizar uma análise detalhada sobre os arquivos que são testados.

Por meio de Sandbox, podem ser coletadas as seguintes informações:

 

 

Essas informações são capturadas dos arquivos tidos como suspeitos, por terem comportamentos maliciosos.

Se integradas com os sistemas de segurança das empresas, pode-se criar uma assinatura customizada e uma resposta automatizada a incidentes de segurança.

Abaixo exemplo do funcionamento desse tipo de solução:

    

Uma pesquisa realizada pela Trend Micro mostra que 74% das tentativas de ataques direcionados usaram o e-mail como um vetor de ataque*.

Sistemas de Sandbox podem também validar informações de um e-mail como arquivos anexados, link no corpo do e-mail ou dentro de arquivo, além de tentarem abrir arquivos com senha que estejam anexados. Essas funcionalidades podem elevar o nível de proteção consideravelmente sobre os e-mails corporativos, como exemplificado na imagem abaixo:

Possuir sensores na rede permite criar uma ampla visibilidade de protocolos como HTTP, TCP, FTP, DNS e diversos outros que trafegam em nossas redes diariamente, além de obter uma análise ainda mais profunda dos arquivos que estão trafegando em nossas redes corporativas.

De maneira resumida, imaginem que o sensor capturou um novo arquivo suspeito e o envia ao sistema de Sandbox, que avalia se o documento é malicioso ou não, gerando um relatório informando o nível de risco do arquivo para o ambiente corporativo.

Baseado nestas informações, esses dados podem ser compartilhados com os antimalware instalados nos notebooks e desktops, e automaticamente é criada uma assinatura customizada para bloquear ou quarentenar os arquivos em seu ambiente a fim de não permitir futuras infecções e identificar as máquinas afetadas pelo novo malware.  Além da integração com o antimalware é possível criar integrações com gateways de E-mail e Web, Firewalls e IPS de rede.

 

Funcionaria da seguinte forma:
  

 

As empresas que se mantém atualizadas e se apropriam das novidades no mercado de segurança estão um passo à frente da proteção contra ameaças iminentes.

As três dicas citadas acima e a inserção dos valores de consciência nos colaboradores das empresas, podem auxiliar muito no crescimento do nível de segurança do meio corporativo.

Com diversos malwares sendo criados todos os dias, a consciência e treinamento das empresas e colaboradores é crucial para um ambiente digital seguro.

 

*Fonte:http://www.trendmicro.com/vinfo/us/security/news/cyber-attacks/spear-phishing-101-what-is-spear-phishing

 

*Crackers: Pessoas com um profundo conhecimento técnico e que utilizam desse conhecimento para invadir sistemas e realizar roubos e ataques em à pessoas e empresas no mundo inteiro.