Asus e o trojan escondido em sua ferramenta de atualização

Graças a uma nova tecnologia da Kaspersky capaz de detectar ataques na cadeia de suprimento, seus especialistas descobriram o que parece ser um dos maiores incidentes deste tipo (o CCleaner foi maior). Um grupo cibercriminoso modificou o ASUS Live Update Utility, que fornece BIOS, UEFI e atualizações de software para laptops e desktops ASUS, adicionou uma backdoor ao utilitário e distribuiu-o aos usuários por meio de canais oficiais.

O utilitário “trojanizado” foi assinado com um certificado legítimo e hospedado no servidor oficial da ASUS dedicado a atualizações. Isso permitiu que permanecesse sem ser detectado por um longo tempo. Os criminosos até se certificaram de que o tamanho do arquivo do utilitário malicioso permanecesse igual ao do original.
De acordo com nossas estatísticas, mais de 57 mil usuários dos produtos da Kaspersky Lab instalaram o utilitário modificado, mas estimamos que foi distribuído para cerca de 1 milhão de pessoas. Os criminosos cibernéticos não estavam interessados ​​em todas – eles visavam apenas 600 endereços MAC específicos, para os quais os hashes eram codificados em diferentes versões do utilitário.

Ao investigar esse ataque, descobrimos que as mesmas técnicas foram usadas contra softwares de outros três fornecedores. Claro, nós notificamos a ASUS e outras empresas sobre o ataque. A partir de agora, todas as soluções da Kaspersky Lab detectam e bloqueiam os utilitários trojanizados, mas ainda assim sugerimos que você atualize o ASUS Live Update Utility, se você usá-lo. Nossa investigação ainda está em andamento.

Se você quiser saber mais sobre um dos maiores ataques da cadeia de suprimentos, mergulhar em detalhes técnicos, entender quem eram os alvos e receber conselhos sobre como se proteger contra ataques da cadeia de suprimentos, sugerimos visitar o SAS 2019 – nossa conferência de segurança que começa 8 de abril em Cingapura. Teremos uma palestra dedicada ao ShadowHammer APT com muitos detalhes interessantes. Os ingressos estão quase esgotados, então é melhor você se apressar.

Fonte: Kaspersky https://www.kaspersky.com.br/blog/shadowhammer-asus-malware-update/11552/

Android suscetível a ataques através de imagem em PNG

Smartphones com sistemas Android e iOS possuem vulnerabilidades e, sim, podem ser hackeados. Infelizmente, a plataforma da Google está um pouco atrás quando falamos sobre cibersegurança. Agora, três novas vulnerabilidades afetam dispositivos Android rodando versões 7.0 Nougat até 9.0 Pie — ou seja, milhões de smartphones novos.

Identificadas como CVE-2019-1986, CVE-2019-1987 e CVE-2019-1988, as falhas já foram corrigidas pela Google no patch Android Open Source Project (AOSP). Contudo, como infelizmente as fabricantes de smartphones (Samsung, Sony, LG, Huawei etc) são detentoras dos pacotes de atualização de seus celulares, muitos dispositivos continuam desprotegidos.

A Google fez sua parte. Fabricantes, por favor, não demorem tanto para atualizar seus smartphones

As vulnerabilidades exploram falhas na renderização de imagens “.PNG”. Em uma delas, a mais severa, cibercriminosos podem criar uma imagem PNG que execute código arbitrário em smartphones vulneráveis.

“O mais grave desses problemas é uma vulnerabilidade de segurança crítica no framework que pode permitir que um invasor remoto usando um arquivo PNG especialmente criado execute código arbitrário dentro do contexto de um processo privilegiado”, disse a Google no patch de segurança.

A imagem infectada pode ser enviada para usuários Andorid via email ou app de mensagens, como WhatsApp e Telegram. Basta a vítima visualizar a imagem para ser o código malicioso começar a rodar.

Enquanto a vulnerabilidade é grave, a Google afirmou que ainda não encontrou relatos de vítimas que tenham sido hackeadas especificamente por meio deste ataque. Além disso, a companhia alertou as fabricantes um mês antes da publicação agora em fevereiro.

Fonte: Tecmundo

Novo e surpreendente ataque de crackers a caixas eletrônicos

Um novo ataque cracker chegou aos Estados Unidos e, ao que parece, é mais interessante para os cibercriminosos: em vez de roubar dados bancários de cidadãos via skimmer (também conhecido como chupa-cabra no Brasil), é realizado um crack diretamente no caixa eletrônico, que expele notas de dinheiro conforme o comando.

Até o momento, não há relatos de que o golpe tenha desembarcado em qualquer país da América Latina. Porém, no Brasil, os chupa-cabras são comuns: é preciso ficar atento em qual terminal você passa seu cartão de crédito — máquinas com tamanho avantajado, falta de luzes indicadoras e cartão “entrando fundo” na máquina são alguns dos indicadores de chupa-cabra.

 

Os ataques identificados fazem com que os caixas eletrônicos consigam cuspir 40 notas a cada 23 segundos

De acordo com o Krebs on Security, a nova técnica de crackear caixas eletrônicos se chama “Jackpotting” e ela funciona da seguinte maneira: um criminoso realiza um acesso físico à máquina (computador dentro do caixa) e substitui o disco rígido. Dessa maneira, por meio de um endoscópio industrial, ele encontra e pressiona um botão dentro da caixa que faz um reset no sistema. Com acesso ao sistema, um software malicioso é instalado e, a partir deste ponto, comandos para o caixa expelir dinheiro são realizados.

Os ataques desse tipo são mais comuns em países da Europa e Ásia, porém, começaram a chegar aos Estados Unidos. Como o Krebs on Security nota, os ataques identificados fazem com que os caixas eletrônicos consigam cuspir 40 notas a cada 23 segundos.

Fonte: Tecmundo

Malware mira carteiras virtuais de Bitcoins

Pesquisadores da Kaspersky Lab descobriram um novo malware que rouba criptomoedas das carteiras online de usuários. Na mira dos criminosos estão algumas das moedas virtuais mais populares, incluindo aí o Bitcoin, Ethereum, Zcash, Dash e Monero. De acordo com a Kaspersky, o número de assaltantes de criptomoedas aumenta a cada ano em resposta a crescente popularidade das moedas.

O novo malware, chamado de CryptoShuffler, consegue roubar as criptomoedas das carteiras online ao trocar o endereço pelo próprio na área de transferência do dispositivo infectado. Os sequestros na área de transferência, que redirecionam usuários para sites maliciosos e miram pagamentos em sistemas online, são conhecidos há anos. Entretanto, casos envolvendo moedas virtuais ainda são raros

Na maioria dos casos, se o usuário deseja transferir suas criptomoedas para outro, é necessário saber qual o ID da carteira dessa pessoa – um número único e exclusivo. É nesse momento que o CryptoShuffler explora a necessidade do sistema de operar com esses números, explica a Kaspersky.

Como funciona o ataque

Depois que é iniciado, o CryptoShuffler começa a monitorar a área de transferência do dispositivo, utilizado pelos usuários enquanto fazem o pagamento. Isso envolve copiar e colar os números da carteira onde está escrito “endereço de destino”, usado para a transação do dinheiro. O Trojan, então, troca o número original do usuário por um usado pelo criador do malware. Sem que a vítima perceba a diferença dos endereços, ela transfere seu dinheiro diretamente para o criminoso.

Até agora, com base nas observações dos pesquisadores da Kaspersky Lab, os criminosos por trás do CryptoShuffler tiveram sucesso em ataques contra usuários de carteiras de Bitcoin – eles conseguiram roubar 23 BTC, o que é equivalente a 140 mil dólares. O total em outras carteiras varia de alguns a milhares de dólares.

“Ultimamente, observamos um aumento nos ataques de malware visando diferentes tipos de criptomoeadas, e esperamos que essa tendência continue. Então, os usuários que estão considerando investir em criptomoedas neste momento precisam garantir que eles tenham proteção adequada”, diz Sergey Yunakovsky, analista de malware na Kaspersky Lab.

Um Trojan, que mira aparentemente apenas a moeda Monero, o DiscordiaMiner, também foi identificado pela Kaspersky. O vírus foi projetado para carregar e executar arquivos de um servidor remoto. De acordo com a pesquisa, existem algumas performances similares ao Trojan NukeBot, descoberto no início do ano. Assim como no caso NukeBot, a fonte dos códigos foi compartilhada em fóruns de hacking ilegal.

Fonte: Kaspersky

O ataque recente ao CCleaner tinha um objetivo inesperado

Segundo informações divulgadas pela Cisco e pela Avast, o malware que atingiu o CCleaner tinha um foco específico de ataque cujo alvo eram pelo menos 20 gigantes da tecnologia, entre elas Google, Microsoft, Samsung, HTC, D-Link e outras. A ideia dos responsáveis por essa ação era infectar os computadores internos dessas companhias, sendo que o malware original seria utilizado apenas como uma forma de fazer um segundo malware acessar esses sistemas.

Os pesquisadores da Talos ainda relataram que a ideia dos hackers era observar a sua base de máquinas afetadas para encontrar computadores que estivessem conectados às redes dessas companhias. Um detalhe que vale ser mencionado é que 50% das tentativas de instalar esse segundo malware ocorreram com sucesso, sendo que algumas empresas foram infectadas duas vezes e outras escaparam ilesas. Porém, não se sabe quais se encaixam em cada um dos grupos.

50% das tentativas de instalar esse segundo malware ocorreram com sucesso, sendo que algumas empresas foram infectadas duas vezes e outras escaparam ilesas

A imagem que você confere acima dá uma ideia dos domínios nos quais os atacantes tentaram suas ações. Vale notar que o “ntdev.corp.microsoft.com” é utilizado por desenvolvedores da Microsoft, enquanto “hq.gmail.com” tem relação com uma área interna do Gmail para funcionários da Gigante das Buscas.

Tentativa de espionagem

Ainda no que diz respeito aos relatórios divulgados, foi dito que essa ação foi feita como uma tentativa de espionagem, e não apenas um meio de instalar ransomware e keyloggers nos computadores das pessoas. Além disso, houve a menção de que há estimativas de que apenas 700 mil computadores tenham sido afetados, e não 2,2 milhões como foi mencionado anteriormente.

Por fim, a Avast oferece algumas dicas para os usuários, e ressalta a importância de manter seus antivírus e outros programas atualizados com a última versão para diminuir os riscos de ter uma surpresa desagradável. Outra dica dada pela Cisco é de restaurar o PC usando o backup de uma data anterior à instalação do CCleaner.

Fonte: Tecmundo

Ransomware Mamba volta a atacar

Um velho conhecido voltou a atacar empresas no Brasil. Pesquisadores da Kaspersky detectaram uma nova onda do poderoso ransomware Mamba, famoso por ter interditado o transporte público de São Francisco no ano passado.

O Mamba é particularmente danoso por criptografar o disco rígido inteiro, em vez de alguns arquivos. Ele é semelhante aos malware Petya e Mischa, assim como o ExPetr, responsável pelo maior surto global dos últimos tempos.

Ainda não se sabe quem está por trás da nova onda de ataques contra companhias brasileiras -negócios na Arábia Saudita também estão sendo afetados.

Entrevistados pelo Threatpost, os pesquisadores da Kaspersky Lab Juan Andres Guerrero Saade e Brian Bartholomew afirmam que essa onda de sabotagem cibernética disfarçada de extorsão vai continuar.

“Digamos que temos todos os meios para um ataque de sabotagem e queremos disfarçá-lo como ransomware ou algo potencialmente tratável”, diz Saade. “Mas não é necessariamente diferente do que o Grupo Lazarus fez com a Sony, ou alguns outros alvos sul-coreanos, quando primeiro pediram dinheiro e depois despejaram os dados de qualquer maneira. É uma evolução particularmente preocupante”.

Ao contrário dos ataques do ExPetr, em que é improvável que as vítimas recuperarem suas máquinas, talvez não seja o caso com o Mamba.

“Criadores de malware wiper (destruidores) não são capazes de decifrar as máquinas das vítimas. O ExPetr, por exemplo, usa uma chave gerada aleatoriamente para codificar uma máquina, mas não a guarda”, disse Orkhan Memedov, pesquisador da Kaspersky. No entanto, no caso de Mamba, a chave deve ser passada para o trojan, significando que o criminoso conhece essa chave e, em teoria, é capaz de libertar a máquina”.

O Mamba surgiu em setembro de 2016, quando pesquisadores da Morphus Labs disseram que o malware foi detectado em uma empresa de energia no Brasil com subsidiárias nos EUA e Índia. Ao infectar uma máquina Windows, ele substitui o Registro de inicialização (MBR) por um personalizado e criptografa o disco rígido usando um utilitário de criptografia de HD de código aberto chamado DiskCryptor.

“O Mamba tem sido usado em ataques direcionados contra empresas e infraestruturas críticas inclusive no Brasil”, di o analista sênior de maware da Kaspersky no Brasil, Fabio Assolini. “Diferentemente das outras famílias de ransomware, ele impossibilita o uso da máquina comprometida, exibindo o pedido de resgate logo e cifrando o disco por completo. O uso de um utilitário legítimo na cifragem é outra prova de que os autores visam causar o maior dano possível”.

“Infelizmente, não há nenhuma maneira de decodificar dados criptografados com o DiskCryptor, porque ele usa algoritmos de criptografia fortes”, aponta relatório da Kaspersky.

Agradecemos ao Sérgio, colaborador amigo do seu micro seguro, pela referência a essa notícia.

Fonte: Kaspersky

Europa sob novo ataque Ransomware

Enquanto o WannaCry não morreu, variantes do ransomware começaram a infectar computadores na Europa e na Europa Oriental. Dispositivos de bancos, companhias e fornecedoras de energia da Rússia, Ucrânia, Índia, França, Espanha e Reino Unido foram desligados após a invasão do malware sequestrador que cobra US$ 300 em bitcoins pela liberação de arquivos.

Dois novos ransomwares baseados no WannaCry começaram a sequestrar computadores nesta terça-feira

Se você quiser refrescar a memória, em maio deste ano, o ransomware WannaCrypt (WannaCry) afetou mais de 300 mil computadores em mais de 150 países no mundo. O Brasil foi um dos países afetados, com companhias e instituições governamentais desligando computadores e servidores durante alguns dias — você pode clicar aqui para saber mais.

Caso você não saiba, o ransomware é um tipo de malware que, quando entra em um sistema, restringe o acesso e cobra um valor “resgate” para que o usuário possa voltar a acessá-lo. Por exemplo, ao clicar ou baixar um arquivo malicioso, o computador de uma companhia é completamente compactado via criptografia. As companhias praticamente não têm como pegar novamente esses arquivos, a não ser que pague o valor estabelecido pelo invasor — normalmente em bitcoin. Um modus operandi sofisticado, refinado, que não deixa traços, marcas ou trilhas de quem fez isso.

Ransomware Petya e Cryptolocker

As novas variantes do WannaCry que começaram a atacar vários países pela Europa se chamam Petya e Cryptolocker. Os alvos são os mesmos do WannaCrypt: bancos, companhias grandes e pequenas, instituições governamentais e estabelecimentos de fornecimento de energia para cidades.

De acordo com fontes, especificamente o Petya, ele se utiliza da mesma vulnerabilidade Windows SMBv1, que já havia sido explorada em maio. O Petya age reinicializando o PC de vítimas e encriptando o disco rígido de dispositivos (MFT), além de deixar o master boot record (MBR) inoperante. Segundo um relato do VirusTotal, apenas 13 de 61 softwares de antivírus acusam a infecção pelo Petya.

A Ucrânia acredita que a Rússia está por trás do ataque

Até o momento, os nomes de instituições afetadas pelo Petya e Cryptolocker são: Rosneft (gigante petroleira da Rússia), Kyivenergo e Ukrenergo (fornecedoras de energia ucranianas), Banco Nacional da Ucrânia, a agência de publicidade WPP (Reino Unido), AP Moller-Maersk (companhia dinamarquesa de logística), Saint Gobain (França), Mondelez (Espanha) e várias empresas privadas nos outros países já citados.

O conselheiro ucraniano Anton Gerashchenko comentou que “o objetivo final do ataque cibernético é tentar desestabilizar” o país. Além disso, que esse ataque parece ter saído da Rússia, com quem a Ucrânia possui problemas políticos.

Na luta contra o ransomware

A recomendação do TecMundo é: não pague ransomware. O mercado do crime virtual gera bilhões de dólares anualmente pelo mundo. Estamos falando de US$ 400 bilhões, segundo a Norton. Apenas no Brasil, em 2016, esse número foi US$ 32 bilhões. Exatamente por isso, podemos afirmar que o cibercrime é um mercado vivo.

O que vale é a máxima da prevenção. Manter backups seguros de tudo que possui online, utilizar a nuvem para vários fins e ter, no mínimo, um bom antivírus são alguns dos pontos. Porém, se você mesmo assim teve o seu computador infectado por ransomware, não pague bitcoins aos cibercriminosos e não alimente esse mercado. Existem ferramentas e especialistas em segurança para lhe ajudar.

Agradecemos ao Igor, colaborador do seu micro seguro, pela referência a essa notícia.

Fonte: Tecmundo