Malware russo é pior do que o imaginado

Revelado no final de maio, o malware russo VPNFilter pode ser pior do que o imaginado inicialmente. Isso porque a Cisco Systems atualizou nesta semana a lista de ataques possíveis e de roteadores que podem ser afetados pela ameaça.

Em um post feito no seu blog em 6 de junho, a divisão Talos, da Cisco, afirmou ter descoberto um “novo módulo de estágio 3 que injeta conteúdo malicioso no tráfego web à medida que passa por um aparelho de rede”. Mais conhecido como “man-in-the-middle”, esse ataque permite que os cibercriminosos usem essa vulnerabilidade para interceptar tráfego de rede e injetar código malicioso sem que o usuário fique sabendo.

Isso significa que um hacker pode manipular o que você vê na sua tela enquanto ainda realiza tarefas maliciosas no seu display. Como o gerente sênior de tecnologia da Talos, Craig Williams, afirmou ao site especializado Ars Technica, “Eles podem modificar o saldo da sua conta bancária para que ele pareça normal enquanto que eles retiram dinheiro e potencialmente chaves PGP e coisas do tipo. Eles podem monitorar tudo entrando e saindo do aparelho”. Essa é uma ameaça muito maior do que o imaginado inicialmente.

Quais os roteadores afetados?

O alerta emitido pelo FBI no fim de maio sugere que todos os donos de roteadores devem reiniciar seus aparelhos. Por isso, talvez seja uma boa ideia reiniciar o seu roteador de qualquer forma.

Dito isso, a Symantec publicou a seguinte lista no fim de maio com roteadores e aparelhos NAS que seriam suscetíveis ao VPNFilter.

• Linksys E1200
• Linksys E2500
• Linksys WRVS4400N
• Mikrotik RouterOS for Cloud Core Routers: Versões 1016, 1036 e 1072
• Netgear DGN2200
• Netgear R6400
• Netgear R7000
• Netgear R8000
• Netgear WNR1000
• Netgear WNR2000
• QNAP TS251
• QNAP TS439 Pro
• Outros aparelhos QNAP NAS rodando software QTS
• TP-Link R600VPN

Nos últimos dias, no entanto, a Cisco, emitiu um alerta afirmando que a ameaça vai além desses modelos acima, e inclui um grupo mais amplo de roteadores fabricados por empresas como Asus, D-Link, Huawei, Ubiquiti, UPVEL e ZTE. Vale lembrar que o FBI e a Cisco recomenda que todos os usuários reiniciem os seus roteadores, independente de eles estarem na lista ou não.

Reiniciar o seu roteador acaba com o que a Cisco chama de Estágio 2 e Estágio 3 do VPNFilter – a parte destrutiva do malware. O processo é simples: simplesmente desconecte o roteador da tomada, espere 30 segundos e plugue-o novamente. Pronto!

Também é recomendado trocar a senha do roteador por um código novo e forte, desabilitar os recursos de gerenciamento remoto (que devem vir desabilitados por padrão na maioria dos casos) e atualizar seu software de antivírus no computador. Além disso, caso você tenha um roteador que esteja na lista de aparelhos afetados pelo VPNFilter pode ser importante realizar um reinício de fábrica nas configurações do dispositivo.

Fonte: IDGNow!

App Dune! Um risco a sua segurança

“Salta acima da linha para pontuar, mas cuidado! Quanto maior o salto, mais difícil será a aterragem!”. É dessa maneira que o jogo Dune! se apresenta na Google Play Store: um game divertido para você passar o tempo. Porém, segundo pesquisadores da Pradeo, o aplicativo está vazando dados de usuários para servidores chineses.

A situação é preocupante: Dune! possui entre 10 e 50 milhões de downloads, além de ter sido destacado recentemente na lista “Top Apps” da própria Play Store.

Dune!, infelizmente, ainda está disponível para download na Google Play Store

Os pesquisadores da Pradeo comentaram o seguinte: “Após olhar o Dune” mais detalhadamente, tivemos a seguinte conclusão: o app vaza dados de maneira massiva. Estas são nossas principais descobertas: o Dune! Geolocaliza o usuário e retransmite a localização, vaza dados do telefone para 32 servidores distantes e ainda possui 11 vulnerabilidades OWASP (Projeto Aberto de Segurança em Aplicações Web)”.

A equipe da Pradeo ainda comentou que aplicativo pode até ajudar na realização de ataques de negação de serviço (DDoS), além de vazar informações como código do país, fabricante, servidor, nome comercial, rede telefônica, nível de bateria, modelo do dispositivo e sistema operacional.

“Apenas o sistema operacional já oferece qual o nível de vulnerabilidade do aparelho e isso pode ser usado por hackers para avaliarem a possibilidade de um ataque”, disse a Pradeo.

Dune!, infelizmente, ainda está disponível para download na Google Play Store. Dune! também está disponível para iOS via App Store, mas a pesquisa não comentou sobre essa versão

Fonte: Tecmundo

Malware mira carteiras virtuais de Bitcoins

Pesquisadores da Kaspersky Lab descobriram um novo malware que rouba criptomoedas das carteiras online de usuários. Na mira dos criminosos estão algumas das moedas virtuais mais populares, incluindo aí o Bitcoin, Ethereum, Zcash, Dash e Monero. De acordo com a Kaspersky, o número de assaltantes de criptomoedas aumenta a cada ano em resposta a crescente popularidade das moedas.

O novo malware, chamado de CryptoShuffler, consegue roubar as criptomoedas das carteiras online ao trocar o endereço pelo próprio na área de transferência do dispositivo infectado. Os sequestros na área de transferência, que redirecionam usuários para sites maliciosos e miram pagamentos em sistemas online, são conhecidos há anos. Entretanto, casos envolvendo moedas virtuais ainda são raros

Na maioria dos casos, se o usuário deseja transferir suas criptomoedas para outro, é necessário saber qual o ID da carteira dessa pessoa – um número único e exclusivo. É nesse momento que o CryptoShuffler explora a necessidade do sistema de operar com esses números, explica a Kaspersky.

Como funciona o ataque

Depois que é iniciado, o CryptoShuffler começa a monitorar a área de transferência do dispositivo, utilizado pelos usuários enquanto fazem o pagamento. Isso envolve copiar e colar os números da carteira onde está escrito “endereço de destino”, usado para a transação do dinheiro. O Trojan, então, troca o número original do usuário por um usado pelo criador do malware. Sem que a vítima perceba a diferença dos endereços, ela transfere seu dinheiro diretamente para o criminoso.

Até agora, com base nas observações dos pesquisadores da Kaspersky Lab, os criminosos por trás do CryptoShuffler tiveram sucesso em ataques contra usuários de carteiras de Bitcoin – eles conseguiram roubar 23 BTC, o que é equivalente a 140 mil dólares. O total em outras carteiras varia de alguns a milhares de dólares.

“Ultimamente, observamos um aumento nos ataques de malware visando diferentes tipos de criptomoeadas, e esperamos que essa tendência continue. Então, os usuários que estão considerando investir em criptomoedas neste momento precisam garantir que eles tenham proteção adequada”, diz Sergey Yunakovsky, analista de malware na Kaspersky Lab.

Um Trojan, que mira aparentemente apenas a moeda Monero, o DiscordiaMiner, também foi identificado pela Kaspersky. O vírus foi projetado para carregar e executar arquivos de um servidor remoto. De acordo com a pesquisa, existem algumas performances similares ao Trojan NukeBot, descoberto no início do ano. Assim como no caso NukeBot, a fonte dos códigos foi compartilhada em fóruns de hacking ilegal.

Fonte: Kaspersky

WeChat é um perigo: fuja dele!

O que muita gente já suspeitava finalmente foi confirmado no finalzinho desta semana: um dos principais mensageiros instantâneos da China repassa mesmo os seus dados para o governo do país. A descoberta foi feita graças a uma atualização dos termos de privacidade do WeChat.

De acordo com o portal The Next Web, a nova versão do documento deixa claro que o aplicativo pode “reter, preservar e divulgar suas informações pessoas por um longo período de tempo” por conta de uma série de fatores.

Com isso, o serviço pode expor nome, contatos, email e até localização do usuário com terceiros: para cumprir ordens judiciais ou colaborar com pedidos do governo; sempre que a empresa acreditar que alguma lei ou regulação local tiver sido quebrada; e com o objetivo de proteger os direitos e a segurança da empresa, de parceiros ou dos próprios clientes do app.

A suspeita é que, até agora, a Tencent – dona do WeChat – já fazia esse tipo de papel mesmo sem alertar aos internautas, basicamente passando por cima da privacidade alheia para auxiliar as autoridades chinesas na sua luta por manter a internet do país cada vez mais fechada e controlada.

Fica a dica

Enquanto na China os usuários não têm muitas alternativas ao programa, quem mora em outras localidades pelo mundo e se preocupa para a segurança dos seus dados pode preferir a utilização de outros mensageiros no celular.

Fonte: Tecmundo

Arquivos do PowerPoint podem carregar malware

Pesquisadores de segurança digital encontraram pela primeira vez um malware que infecta computadores a partir de arquivos do PowerPoint (PPSX) explorando uma falha do Microsoft Office e do WordPad conhecida como CVE-2017-0199. Essa brecha de segurança foi descoberta e consertada pela Microsoft em abril deste ano, mas usuários que nunca atualizaram suas máquinas ainda podem estar inseguros.

Hackers estão variando sua estratégia para evitar a detecção por meio de softwares de antivírus

A falha permite que criminosos disfarcem seus malwares como se fossem apresentações de slides do PowerPoint, mas o golpe mais comum até agora era atrair as vítimas por meio de arquivos RTF.

Ao que parece, os hackers estão variando sua estratégia para evitar a detecção por meio de softwares de antivírus, que fazem uma verificação menos criteriosa quando o assunto são documentos em PPSX, tradicionalmente inofensivos.

Como acontece

Segundo constataram os pesquisadores da TrendMicro, os arquivos infectados são distribuídos via email por técnicas de phishing muito direcionadas. A maioria dos casos vitimou funcionários de fabricantes de cabos na Ucrânia, que recebiam uma mensagem que, aparentemente, era de um parceiro comercial fazendo um pedido. O PPSX, portanto, continha os detalhes técnicos da solicitação.

Ao abrir o item infectado, os usuários do WordPad ou do Microsoft Office desatualizados via apenas a mensagem “CVE-2017-0199” na tela em vez da apresentação prometida. Imediatamente, o malware então começava a agir através do recurso “Object Linking and Embedding” (OLE) do Windows. Um arquivo com código XML ou JavaScript então era baixado da internet para abrir de forma automática o PowerShell ou CMD para que o arquivo RATMAN.exe seja executado.

Dessa forma, os criminosos podem registrar tudo o que a vítima faz no computador, desde as teclas pressionadas no teclado aos dados mostrados no display. Há também a possibilidade de o PC baixar de forma silenciosa novos malwares para aumentar ainda mais o controle do hacker sobre o dispositivo.

Portanto, o recado da TrendMicro é ficar alerta para emails minimamente suspeitos, mesmo aqueles enviados por fontes que parecem conhecidas.

Fonte: Tecmundo

Roteador DIR-615 da D-Link é uma porta aberta a ataques maliciosos

O roteador DIR-615, da D-Link, estava com uma porta de entrada aberta para cibercriminosos há cerca de um ano. De acordo com uma denúncia recebida pelo TecMundo, um backdoor no firmware do roteador permitia o acesso via Telnet, um protocolo de rede utilizado para proporcionar melhorar a comunicação.

Usuários brasileiros do roteador precisam atualizar o dispositivo de maneira urgente — consumidores do Brasil e Taiwan foram afetados.

Se você possui o roteador D-Link DIR-615, atualize-o com urgência

“Trata-se de uma forma de acesso indevido com privilégios administrativos aos roteadores com os firmware afetados, sem o conhecimento do proprietário do dispositivo”, segundo o pesquisador Oliveira Lima, da StoneLABS. Lima nota que a D-Link recebeu o aviso sobre o problema há cerca de um ano, mas apenas agora o problema foi corrigido: “A D-link levou 1 ano para corrigir o problema em questão e acredito que o backdoor estava presente desde do lançamento do firmware”.

Apesar da correção, a questão ainda é grave: as pessoas não atualizam os próprios roteadores. A parcela de usuários que realmente faz o download de patches e atualiza o dispositivo é pequena, por isso, boa parte das pessoas que usam o roteador DIR-615 estão expostas aos cibercriminosos.

– Confira agora o modelo do seu roteador e atualize-o urgentemente. Para saber como atualizar, acesse aqui.

Como a invasão acontece

O roteador é o dispositivo-chave de toda a sua navegação na internet. Seja WiFi ou cabeado, independentemente da maneira em que você esteja conectado ao roteador, acaba passando pelo dispositivo tudo o que você faz online.

Com um backdoor presente, uma porta de entrada (vulnerabilidade no sistema) aberta para cibercriminosos, um invasor poderá não só acompanhar e monitorar a sua atividade online, como também roubar diversos dados sensíveis como senhas de redes sociais e senhas de banco.

Sobre o roteador DIR-615 da D-Link, “basta que o atacante esteja conectado à rede, ele poderia acessar o roteador via Telnet e utilizar uma conta de ‘backdoor’ admin para ter acesso total a administração do roteador”, conta Lima. “Isso porque a senha de acesso é gerada dinamicamente utilizando os últimos quatro números do endereço MAC do roteador — informação esta que seria facilmente obtida através de uma simples requisição ARP ou realizando um ataque de força-bruta”.

A desativação do Telnet também não ajuda nesta situação, sendo necessária a atualização do roteador, como você pode checar no alerta acima. O pesquisador Oliveira Lima disse o seguinte: “Na versão de firmware 20.11, o recurso Telnet está ativo independentemente da opção escolhida pelo usuário na interface web. Ou seja, mesmo que o usuário desabilite o Telnet, não irá fazer a menor diferença; algo confirmado pela fabricante”.

O backdoor presente no firmware do roteador se encontrava em aparelhos comercializados no Brasil e em Taiwan, segundo o pesquisador. Todos os roteadores vendidos nos Estados Unidos, por exemplo, não possuíam este problema.

O DIR-615 é um dos dispositivos mais vendidos no Brasil, com um preço médio de R$ 70. Vale relembrar que a D-Link já liberou um patch de correção para o backdoor, mas é necessário atualizar o roteador para fechar esta porta.

Fonte: Tecmundo

Baixar legendas de séries pode ser um risco para a sua segurança

Você costuma ver séries baixadas da internet? Se a resposta for sim e você também baixar legendas para ver esses vídeos, seu computador pode estar em risco para ataques de hackers mal intencionados.

De acordo com a empresa de segurança digital Check Point, o reprodutor de vídeos VLC, bem como o Popcorn Time, o Kodi e o strem.io têm uma falha de segurança que permite que seu computador seja controlado remotamente. Isso pode culminar a instalação de malware ou mesmo um ransonware, que sequestra os dados do seu PC e pede pagamento em dinheiro para liberá-lo.

Essa técnica também pode servir para transformar o seu computador em um dos “soldados virtuais” usados por grupos de hackers que promovem ataques de negação de serviço (múltiplos acessos simultâneos que tiram sites do ar e podem causar prejuízos milionários a empresas).

A Check Point indica que a falha afeta cerca de 200 milhões de computadores de usuários que veem séries baixadas ou transmitidas da internet. Netflix não aparece na lista de serviços problemáticos indicados pela empresa de segurança (ufa).

Para entrar na lista de legendas mais indicadas para o download e promover o ataque, os hackers mal intencionados publicam uma versão falsa da legenda em repositórios online e manipulam o ranking para que elas apareçam no topo.

O programa VLC já teve mais de 170 milhões de downloads, enquanto o Kodi tem mais de 40 milhões de usuários por mês. A Check Point estima que o Popcorn Time também esteja na casa dos milhões de usuários.

O problema que dá margem a esse tipo de ataque hacker é que não há uma padronização no formato de legendas usado na internet. Programas que baixam legendas diretamente de sites podem ajudar a evitar o download de arquivos maliciosos.

VLC, PopcornTime, Kodi e strem.io já tem correções para essa vulnerabilidade de segurança em seus respectivos sites. O Kodi ainda está em fase de implementação dessa correção.

Veja como é a invasão de um hacker ao computador de uma vítima por meio do download e execução de legendas no vídeo abaixo, divulgado pela Checkpoint.

Fonte: Exame