Microsoft Office apresenta vulnerabilidades

As palestras da SAS 2019 não trataram apenas dos ataques sofisticados de APTs, mas também do trabalho diário de nossos pesquisadores que lutam contra os malware. Nossos especialistas Boris Larin, Vlad Stolyarov e Alexander Liskin prepararam um estudo sobre a detecção de ataques multicamadas de 0-day no MS Office chamado “Catching multilayered zero-day attacks on MS Office”. O foco da pesquisa são as ferramentas que os ajudam na análise de malwares, mas também chamaram a atenção para o atual cenário de ameaças do Microsoft Office.

As alterações que o cenário de ameaças sofreu em apenas dois anos são dignas de menção. Nossos especialistas estudaram os números de usuários vítimas de ataques por plataformas alvos no final do ano passado, em comparação a apenas dois anos atrás. A conclusão foi que os cibercriminosos mudaram sua preferência por vulnerabilidades da web para as do MS Office. Mas mesmo eles foram surpreendidos a magnitude da mudança: nos últimos meses, o MS Office tornou-se a plataforma mais explorada, sofrendo mais do que 70% dos ataques.

No início do ano passado, exploits de 0-day começaram a surgir no MS Office. Geralmente, eles tentavam uma campanha direcionada, mas com o passar do tempo, são publicados e acabam integrados a um gerador de documentos maliciosos. No entanto, o tempo de resposta foi reduzido consideravelmente. Por exemplo, no caso da CVE-2017-11882, a primeira vulnerabilidade do editor de equações que nosso especialista observou, uma enorme campanha de spam foi lançada no mesmo dia que se publicou a prova conceito. Algo semelhante ocorreu com outras brechas de segurança: depois que um relatório de vulnerabilidade é divulgado publicamente, é uma questão de dias até que um exploit apareça no mercado do cibercrime. Inclusive, os bugs se tornaram bem menos complexos e, às vezes, tudo que o cibercriminoso precisa para gerar um exploit funcional é uma análise detalhada.
Depois de avaliar as brechas de segurança mais utilizadas em 2018, podemos confirmar que os autores de malware preferem bugs simples, mas lógicos. Portanto, as vulnerabilidades CVE-2017-11882 e CVE-2018-0802 do editor de equação são agora as mais exploradas no MS Office. De forma geral, são confiáveis e funcionam em todas as versões de Word lançadas nos últimos 17 anos e, mais importante, não exigem habilidades avançadas para criar um exploit, já que o editor de equações binárias não têm quaisquer proteções e medidas atuais que seriam esperadas de um aplicativo em 2018.

Curiosamente, deve-se notar que nenhuma das vulnerabilidades mais exploradas são encontradas no próprio MS Office, mas em seus componentes.

Mas por que esse tipo de coisa continua acontecendo?

Bem, a superfície de ataque do MS Office é enorme, com muitos formatos de arquivo complexos que devem ser considerados, bem como a sua integração com o Windows e interoperabilidade. E, mais importante em termos de segurança, muitas das decisões tomadas durante a criação do Microsoft Office não são mais adequadas, mas modificá-las pode prejudicar a compatibilidade com versões anteriores.

Somente em 2018, encontramos várias vulnerabilidades aproveitadas por exploit de 0-day. Entre elas, a CVE-2018-8174 (a vulnerabilidade remota de execução de código do mecanismo VBScript do Windows) que é especialmente interessante, pois o exploit foi inicialmente detectado em um documento do Word, mas hoje se espalhou para o Internet Explorer. Para mais informações, consulte esta publicação no Securelist.

Como a Kaspersky encontrou as vulnerabilidades?

Os produtos de segurança para endpoints da Kaspersky têm funcionalidades heurística muito avançadas para detectar ameaças distribuídas por meio de documentos MS Office. É uma das primeiras camadas de detecção. O mecanismo heurístico conhece todos os formatos de arquivos e de ofuscação de documentos atuando como a frente de defesa inicial. Mas quando encontramos um objeto malicioso, não nos limitamos a determinar simplesmente se é perigoso. Ele passa por diferentes camadas de segurança. Por exemplo, por uma tecnologia que foi particularmente bem-sucedida no isolamento do processo conhecida sandbox.

Com relação à segurança da informação, sandboxes são usadas para separar os ambientes inseguros dos seguros, ou vice-versa, a fim de protegê-los contra a exploração de vulnerabilidades e para analisar o código malicioso. Nossa sandbox é um sistema para detectar malware que executa um objeto suspeito em uma máquina virtual com um sistema operacional totalmente funcional, e detecta a atividade mal-intencionada por meio de uma análise comportamental. Foi desenvolvida há alguns anos para ser usada em nossa infraestrutura e, posteriormente, tornou-se parte do Kaspersky Anti-Targeted Attack Platform.

O Microsoft Office tem sido e permanecerá como alvo preferido dos cibercriminosos. Eles perseguem as brechas mais fáceis, assim, as funcionalidades obsoletas continuarão a ser usadas para tirar vantagem ilegalmente. Para proteger sua empresa, aconselhamos a utilização de soluções cuja eficácia tenha sido testada na longa lista de CVEs detectadas.

Fonte: Kaspersky

Microsoft corrige vulnerabilidade do Windows

A empresa de segurança Kaspersky Lab divulgou a descoberta de uma nova falha no Windows que foi utilizada em ataques direcionados nas versões 8 e 10 do sistema operacional da Microsoft. De acordo com a companhia, essa vulnerabilidade 0-day foi explorada por dois grupos especializados em APTs (sigla em inglês para ameaça persistente avançada) conhecidos como SandCat e FruityArmor.

Ainda segundo a Kaspersky, os hackers se aproveitaram de uma vulnerabilidade no subsistema gráfico do Windows para conseguir privilégios locais e controlar os computadores. Antes de ser anunciada publicamente, a falha foi reportada para a Microsoft, que já lançou uma atualização com a correção do problema.

“A descoberta de uma vulnerabilidade desconhecida no Windows e explorada ativamente mostra que essas ferramentas caras e raras continuam interessando muito aos grupos especializados em APTs e as organizações precisam de soluções de segurança capazes de protegê-las contra essas ameaças desconhecidas”, afirmou um especialista da Kaspersky no comunicado oficial da empresa.

Como a falha é no sistema operacional e foi corrigida pela Microsoft no início da semana, a principal recomendação para manter seus computadores seguros é garantir que todas as máquinas estão rodando a versão mais recente do Windows 8 ou do Windows 10.

Fonte: Tecmundo

30% dos PCs foram atacados por malware em 2018

Um terço dos computadores se deparou com, pelo menos, uma ciberameaça em 2018, segundo levantamento da Kaspersky Lab. Dentre todos os novos arquivos maliciosos detectados em 2018 foi descoberto que o número de backdoors aumentou 44%, enquanto o volume de ransomware cresceu 43%. Sendo que backdoor são usados por cibercriminosos para realizar um acesso remoto às máquinas comprometidas. “Estes resultados mostram que o malware, especialmente os backdoors e o ransomware, continuam sendo um perigo significativo para os usuários de computadores”, ressaltou a companhia.

Em 2018, o ransomware (Trojan-Ransom) e os backdoors detectados compreenderam 3,5% e 3,7% de todos os novos arquivos maliciosos coletados nos primeiros dez meses do ano. Isto representa um aumento de 43% para o ransomware (de 2.198.130 em 2017 para 3.133.513 em 2018) e de 44% para os backdoors (de 2.272.341 em 2017 para 3.263.681 em 2018) em relação ao período anterior.

De acordo com a Kaspersky Lab, as tecnologias de detecção da companhia encontraram 346.000 novos malware por dia nos dez primeiros meses do ano. O número e o alcance de novos arquivos maliciosos detectados diariamente são uma boa indicação dos interesses dos cibercriminosos envolvidos na criação e na distribuição de malware. Em 2011, nossas tecnologias detectaram 70.000 novos arquivos por dia e, até 2017, esse número aumentou cinco vezes, chegando a 360.000.

“Em 2018, observamos uma pequena redução nas detecções diárias. Por um lado, isso pode indicar que o interesse dos criminosos em reutilizar malware antigos se mostrou eficiente. Por outro, os picos do número de backdoors e Trojan-Ransom detectados mostram que os cribercrimonosos estão sempre em busca de novas maneiras de comprometer os dispositivos das vítimas e ganhar dinheiro com isso”, avalia Vyacheslav Zakorzhevsky, chefe de pesquisa antimalware da Kaspersky Lab.

O que você deve fazer para se proteger:

A companhia de cibersegurança recomenda que se preste muita atenção ao navegar na web e acessar documentos via e-mail. Entre as recomendações est´ a a de não abrir arquivos ou anexos suspeitos recebidos de fontes desconhecidas; Da mesma forma, não baixe e instale apps de fontes não confiáveis, tampouco não clique em links recebidos de fontes desconhecidas e anúncios suspeitos. Crie senhas fortes e não se esqueça de alterá-las regularmente. AO mesmo tempo, fique de olhe nas instalações disponíveis, pois elas podem conter correções para problemas de segurança críticos.

A Kaspersky também recomenda ignorar mensagens que solicitam a desativação de sistemas de segurança para software do Office ou software antivírus. E, claro, a utilização de uma solução de segurança eficiente pode automatizar todas as tarefas acima, permitindo que o usuário desfrute do melhor da internet.

Fonte: IDGNow!

Windows – nova vulnerabilidade revelada

A Kaspersky Lab revelou uma nova vulnerabilidade 0-day que explora o núcleo (kernel) do Windows. De acordo com a empresa de cibersegurança, este é o terceiro ataque consecutivo de 0-day que foi descoberto nos últimos três meses.

“Como a falha (CVE-2018-8611) está no módulo do kernel do sistema, este exploit é particularmente perigoso e pode ser usado para ignorar os mecanismos de mitigação de explorações maliciosas existentes em navegadore3s web modernos, incluindo o Chrome e o Edge”, explica a Kaspersky.

Caso um cibercriminoso explore essa falha, ele pode acessar o sistema da vítima e ter acesso completo aos arquivos

O que a vulnerabilidade permite: caso um cibercriminoso explore essa falha, ele pode acessar o sistema da vítima e ter acesso completo aos arquivos — “vulnerabilidades de 0-day são uma das formas mais perigosas de ciberameaça, pois, por ser desconhecida, não existe detecção ou correção”, adiciona a empresa.

Vale notar que a Microsoft já corrigiu as três vulnerabilidades, por isso, é importante que você mantenha o seu sistema operacional atualizado com os últimos pacotes disponíveis.

“A descoberta de três vulnerabilidades de 0-day no modo kernel em poucos meses é uma evidência de que nossos produtos usam as melhores tecnologias e são capazes de detectar ameaças sofisticadas. Para as organizações, é importante entender que, para proteger seu perímetro, elas precisam de uma solução que combine proteção endpoint e uma plataforma avançada de detecção de ameaças”, afirma Anton Ivanov, especialista em segurança da Kaspersky Lab.

Acompanhe mais dicas que a empresa separou aqui embaixo:

  • Instale a atualização da Microsoft para corrigir a vulnerabilidade desconhecida
  • Certifique-se de manter atualizado todos os softwares usados em sua organização e sempre executar novos patches de segurança quando disponíveis
  • Use uma solução de segurança de ponta
  • Em caso empresarial, garanta que sua equipe de segurança tenha acesso aos mais recentes relatórios de Threat Intelligence.
  • Por fim, mas não menos importante, garanta que sua equipe seja treinada nos aspectos básicos de cibersegurança.
Fonte: Tecmundo

Descoberta nova vulnerabilidade no Windows

Ataques que usam vulnerabilidades de dia zero são considerados extremamente perigosos, pois eles exploram vulnerabilidades desconhecidas (consequentemente sem correção), que dificulta sua detecção e prevenção. Se encontrado por criminosos, a vulnerabilidade pode ser usada na criação de exploits – programa malicioso que usa a vulnerabilidade para acessar todo o sistema. Este tipo de “ameaça oculta” é amplamente utilizado por grupos especializados em ataques APT sofisticados.

A Kaspersky Lab informou nesta segunda-feira (19) que sua tecnologia de Prevenção Automática de Exploit detectou, em menos de um mês, uma segunda vulnerabilidade desconhecida (zero-day) no Microsoft Windows sendo explorada em uma série de ciberataques no Oriente Médio. Depois de ser reportada, a vulnerabilidade foi corrigida pela Microsoft em 13 de novembro.

Embora o método de distribuição ainda seja desconhecido, a análise da Kaspersky Lab descobriu que o exploit que utiliza a vulnerabilidade de zero-day é executado no primeiro estágio de instalação do malware com o objetivo de conseguir os privilégios necessários para se manter no sistema da vítima. O golpe funciona apenas na versão 32-bits do Windows 7.

De acordo com os especialistas da empresa, não é possível determinar qual grupo está por trás da descoberta da vulnerabilidade, porém o exploit desta vulnerabilidade está sendo usado em ataques APT feitos por mais de um grupo.

Após a descoberta, a Kaspersky Lab relatou imediatamente a vulnerabilidade à Microsoft. Apenas algumas semanas antes disto, no início de outubro, foi detectado outro exploit explorando uma vulnerabilidade de dia zero no Microsoft Windows, que infectava as vítimas por meio de um backdoor no PowerShell. A Kaspersky Lab identificou a ameaça, que também foi relatada e corrigida pela Microsoft.

“Em um mês, descobrimos duas novas vulnerabilidades de dia zero e diversos ataques mirando uma mesma região. A discrição dos cibercriminosos nos faz lembrar que é extremamente importante contar com ferramentas e soluções inteligentes que consigam proteger as empresas contras ameaças sofisticadas como estas. Caso contrário, elas podem se tornar vítimas de ataques direcionados”, afirma Anton Ivanov, especialista em segurança da Kaspersky Lab.

Fonte: IDGNow! 

Nome de bebida, mas é um novo e perigoso malware

Um malware chamado Dark Tequila foi descoberto pelos pesquisadores da Kaspersky Lab. De acordo com os analistas, o malware realizada ataques bancários e já atinge clientes no México e outras áreas da América Latina. Um dos principais problemas do vírus é que ele parece estar ativo desde 2013, ou seja: são cinco anos voando baixo pelos radares.

Segundo a Kaspersky, a programação do malware é sofisticada. “O malware Dark Tequila existe para coletar dados sobre suas vítimas, seja de credenciais bancárias ou dados pessoais ou corporativos. Como fica silenciosamente no disco rígido do usuário, ele recebe credenciais para serviços como o RackSpace, o BitBucket e o DropBox, que podem ser usados mais adiante na linha para realizar ataques adicionais”, adicionou a empresa.

A capacidade de roubar senhas do Dark Tequila vem de um keylogger instalado e uma ferramenta de monitoramento de redes

O método de transmissão e infecção do Dark Tequila acontece de duas maneiras: phishing, que engana as vítimas por meio de golpes; e pendrives maliciosos. Ambos se baseiam na ingenuidade e curiosidade das vítimas. No phishing, o cibercrime pesca por meio de descontos e promoções falsas de produtos. Já o pendrive, se você encontrar um jogado na rua, qual a chance de pegar e acabar espetando no seu computando? Podemos dizer que é relativamente alta.

“O malware utiliza um payload de vários estágios e é distribuído aos usuários por meio de dispositivos USB infectados e e-mails phishing. No computador, o malware se comunica com seu servidor de comando para receber instruções. O payload (código malicioso) é entregue à vítima somente quando certas condições são atendidas. Se o malware detectar uma solução de segurança instalada, ou tiver sinais de que a amostra é executada em um ambiente de análise (sandbox), interromperá a rotina de infecção e se excluirá do sistema”, afirma a Kaspersky.

A capacidade de roubar senhas do Dark Tequila vem de um keylogger instalado e uma ferramenta de monitoramento de redes. Por isso, ele também consegue se propagar em redes conectadas — um problema para ambientes corporativos, por exemplo.

“Esta campanha está ativa há vários anos e novas amostras ainda estão sendo encontradas. Até o momento, ele atacou apenas alvos no México, mas sua capacidade técnica é adequada para atacar alvos em qualquer parte do mundo”, finaliza a Kaspersky.

Como se proteger

A Kaspersky recomenda as seguintes medidas para se proteger contra spear-phishing e ataques por meio de mídia removível, como USBs.

Verificar os anexos de e-mail com um antivírus antes de abrir

  • Desativar a execução automática de dispositivos USB
  • Escanear as unidades USB com um antivírus antes de abrir
  • Não ligar dispositivos desconhecidos e USB ao seu PC
  • Usar uma antivírus com proteção robusta adicional contra ameaças financeiras
Fonte: Tecmundo

Trump bane Kaspersky do governo norte-americano

O presidente dos Estados Unidos, Donald Trump, assinou na terça-feira (12) uma lei banindo os produtos da Kaspersky Lab de serem utilizados em instituições governamentais. A decisão vem após longas semanas de discussões sobre a alegada interferência russa na Kaspersky.

A Kaspersky está passou por um escrutínio feito pela justiça norte-americana. Além da “guerra fria política” que a empresa se encontra, materiais confidenciais da NSA (Agência de Segurança Nacional) foram supostamente roubados por um software antivírus da Kaspersky.

A nova lei assinada por Trump exige que a administração do presidente remova os softwares da Kaspersky em até 90 dias

Para refrescar a sua memória: “Segundo o Wall Street Journal, documentos da NSA (Agência de Segurança Nacional) que detalhavam como os Estados Unidos defendem a própria rede de ciberataques foram roubados por hackers russos. Além dos detalhes sensíveis sobre a segurança, o WSJ nota que os documentos também mostram como os EUA invadem redes estrangeiras e até os códigos computacionais usados para explorar e invadir.

Agora, a nova lei assinada por Trump exige que a administração do presidente remova os softwares da Kaspersky em até 90 dias — tanto em redes civis quanto redes militares.

Anteriormente, o CEO da Kaspersky, Eugene, divulgou uma carta dizendo o seguinte

“Como uma empresa privada, a Kaspersky Lab não possui laços inapropriados com qualquer governo, incluindo a Rússia, e a única conclusão a chegar é que a Kaspersky foi pega no meio de uma guerra geopolítica.

Não pediremos desculpas por sermos agressivos na batalha contra malwares e cibercriminosos. A companhia detecta e mitiga de maneira efetiva as infecções de malwares, independentemente da fonte, e vem fazendo isso com orgulho pelos últimos 20 anos — o que sempre nos traz as melhores notas testes de independentes.

Também é interessante notar que os produtos da Kaspersky Lab seguem os restritos padrões da indústria de cibersegurança e possuem níveis de acesso e privilégicos similares aos sistemas que eles protegem, como qualquer outro vendedor de segurança nos EUA e pelo mundo”.

Eles usam a Rússia como argumento para essa briga, disse Eugene.

Fonte: Tecmundo