Apenas 1 foto pode vir a contaminar sistemas da Apple

apple_malwareUma nova vulnerabilidade descoberta nos sistemas operacionais da Apple permite que criminosos possam invadir um dispositivo apenas compartilhando uma imagem em mensageiros. A falha afeta o iOS, Mac OS X(macOS), TvOS e watchOS e foi descoberta por pesquisadores da Cisco.

Caso seja explorado, o problema pode ser usado para roubar senhas e arquivos, além de executar códigos remotos automaticamente no equipamento sem o consentimento do usuário. A Apple afirma que já corrigiu o erro e pede que os usuários atualizem seus softwares em todos os aparelhos.

Para se aproveitarem da falha, os criminosos criam uma imagem contaminada com código malicioso nos formatos TIFF, OpenEXR, Collada ou BMP. Em seguida, é necessário fazer com que a vítima abra o arquivo, o que pode ser feito enviando-o por e-mail, mensageiros ou compartilhando o link de um site que hospede a imagem.

O perigo desta falha é que ela, muitas vezes, não requer que o usuário abra o arquivo enviado, uma vez que muitos softwares o fazem automaticamente para poder exibir seu conteúdo. Quando é aberta, ocorre um processo chamado de buffer overflow, que faz com que o sistema escreva memórias no local errado do disco, o que permite a execução de códigos sem o conhecimento ou consentimento do usuário.
Este código, por sua vez, pode ser usado para vários fins diferentes, alguns dos mais comuns são roubar senhas ou dados bancários e até mesmo criar formas para que o dispositivo seja controlado remotamente.

Falha semelhante no Android

O processo é semelhante ao Stagefright, um bug do Android que foi descoberto e corrigido em 2015. A falha era usada para esconder códigos em arquivos de vídeo que eram reproduzidos automaticamente ao ser enviados por MMS.
A correção para a vulnerabilidade já foi lançada pela Apple para todos os seus sistemas operacionais e a recomendação é que os usuários atualizem seus dispositivos para as versões mais atuais o mais rápido possível. Enquanto isto não ocorre, uma precaução é evitar abrir qualquer link ou e-mail suspeito recebido.

Agradecemos ao Davi, colaborador amigo do seu micro seguro, pela referência a essa notícia.

Fonte: Techtudo

Sistemas de pagamentos sem fio são seguros?

nfc_cartoes“O total é de R$ 12.99″ disse a caixa do supermercado do bairro. Peguei minha carteira para fazer o procedimento habitual no terminal, esperei um segundo, depois ouço um beep e – voilá! -transação concluída com sucesso!

Um sistema sem fio para cartão bancário é super conveniente. Não precisa passar o cartão, lembrar seu PIN e assinar a nota com uma caneta falhando. Nem revirar a carteira em busca de dinheiro ou de moedas perdidas para facilitar o troco. Basta somente usar seu cartão e está livre para sair com as compras.

Os caixas também estão felizes com esse sistema. Ele torna o processo de compra mais rápido e diminui o “bandwidth”, gargalo tão comum no varejo.

No entanto, a simplicidade nos faz questionar sobre a segurança. Um criminoso poderia usar um leitor falso e roubar nosso dinheiro?

Com intuito de descobrir mais sobre este universo, estudei vários relatórios sobre ataques dos hackers e conversei com representantes dos bancos. O feedback geral foi positivo, mas existem pontos de atenção.

Alcance

Os sistemas de cartão de comunicação sem fio operam por NFC (tecnologia baseada em RFID). Um cartão possui um chip e uma espécie de antena que conecta ao terminal POS usando uma faixa de freqüência de 13,56 MHz. Diferentes sistemas de pagamento usam seus próprios padrões, como Visa payWave, MasterCard PayPass, American Express ExpressPay etc. Independente do nome, empregam a mesma abordagem e base tecnológica.

O alcance de transmissão NFC tende a ser pequeno, mais ou menos 2,5cm. Assim, o primeiro ponto de segurança é físico. Basicamente, o leitor deve ser colocado próximo ao cartão, o que dificilmente poderia ser feito ilegalmente.

No entanto, pode-se montar um leitor capaz de funcionar dentro de alcance mais longo. Por exemplo, pesquisadores da Universidade de Surrey desenvolveram um scanner compacto capaz de ler dados NFC em uma distância de até 80cm.

Este dispositivo pode ser capaz de solicitar transações no transporte público, em shoppings, aeroportos e outros locais públicos. Em muitos países, cartões com tecnologia NFC podem ser encontrados em cada esquina, assim locais superlotados possuem muitas vítimas potenciais para criminosos.

Outra questão é que se pode ir ainda mais longe com um scanner personalizado ou aproveitando da proximidade física. Um método elegante para “eliminar as distâncias” foi desenvolvido pelos hackers espanhóis Ricardo Rodrigues e José Villa e apresentado na conferência Hack in the Box.

A maioria dos smartphones são equipados com um módulo NFC. Grande parte das pessoas, carrega seu smartphone próximo a carteira dentro de bolsos, ou bolsa. Rodrigues e Villa desenvolveram o conceito de um Trojan Android, que transforma um smartphone em um transponder NFC.

Assim que um smartphone é comprometido e colocado perto de um cartão, ele sinaliza a possibilidade de realizar uma transação para os responsáveis pelo ataque. Depois, basta ativar um terminal POS e colocar um smartphone habilitado com NFC perto do terminal. Assim, um tipo de ligação de Internet é construída entre um cartão NFC e um terminal NFC, independentemente do alcance.

O Trojan pode ser distribuído através de métodos convencionais, envolvendo malware e um aplicativo pago hackeado. O único pré-requisito é que a versão do Android seja a 4.4 ou superior. Mesmo o acesso local não é necessário, embora seja uma opção desejável para o Trojan quando a tela do smartphone está bloqueada.

Criptografia

Conseguir um cartão dentro do alcance do leitor hackeado como alvo é apenas metade da tarefa. A outra parte é mais complexa, a linha de defesa, a criptografia.

As transações de comunicação sem fio são protegidas pelo mesmo padrão EMV que protege cartões de plástico comuns equipados por um chip EMV. Considerando que uma tarja magnética pode ser facilmente clonada, um chip talvez dificulte que isso aconteça. Ao receber uma requisição de um terminal POS, o IC gera uma chave única. Essa chave pode ser interceptada, mas não seria válida para a próxima transação.

Muitas pesquisas destacam a fragilidade sobre a segurança EMV; no entanto, casos da vida real de hackear um cartão são ainda desconhecidos.

No entanto, há um detalhe importante. Em uma situação padrão, o conceito de segurança de cartões EMV é baseado na combinação de chaves criptografadas e um código PIN introduzido pelo usuário. No caso de operações de contato, o código PIN não é necessariamente solicitado, de modo que os meios de proteção, neste caso, estão limitados a chaves criptografadas geradas por uma placa e por um terminal.

“Teoricamente, é possível criar um terminal que realizaria a leitura de dados NFC do cartão “do bolso””. No entanto, este terminal personalizado deve empregar as chaves criptografadas obtidas a partir de um banco e de um sistema de pagamento. “As chaves são emitidas pelo próprio banco o que significa que o golpe seria muito fácil de ser rastreado e investigado”, explica Alexander Taratorin, diretor de suporte de aplicação no Reiffeisenbank.

Valor da transação

Existe ainda outra linha de proteção: a limitação do valor da transação para pagamentos de comunicação sem fio. Este limite é estipulado para as configurações de um terminal POS, dependo do banco e sistema de pagamento. Na Rússia, o valor máximo para este tipo de transação é 1000 RUB, nos EUA, US$ 25, e no Reino Unido, 20 libras (em breve será de 30 GBP).

Se o valor exceder o limite, a transação é rejeitada ou exige uma comprovação adicional de validade, por exemplo, um código PIN ou uma assinatura, variando de acordo com as normas do banco emissor. Para evitar tentativas de várias transações de valores inferiores, outro mecanismo de segurança adicional seria acionado.

No entanto, existe uma dificuldade. Quase um ano atrás, outra equipe de pesquisadores da Universidade de Newcastle (Reino Unido) detectou a vulnerabilidade do sistema de cartões Visa de comunicação sem fio. Uma vez que você opta por realizar o pagamento em moeda estrangeira e não em libras esterlinas, o limite da transação pode ser ignorado. Se um terminal POS está offline, o valor máximo de transação pode atingir até 1 milhão de euros.

No entanto, a empresa Visa afirma que ataques por repetição na vida real não são tão viáveis, pois os sistemas de segurança do banco bloqueariam as operações.

De acordo com o Reiffeisen, um terminal POS controla o valor máximo da transação, independentemente da moeda.

Vamos escolher uma forma diferente

Então, vamos deixar tudo ao acaso, acreditando na improbabilidade prática de um sistema de pagamento de banco não falhar, evitando assim transações criminosas? A resposta provavelmente é sim, desde que os golpistas não trabalhem para o seu banco.

Ao mesmo tempo, há outra descoberta desagradável. A tecnologia NFC pode facilitar o roubo de credenciais de cartões de pagamento, se a própria transação não for hackeada.

O padrão EMV pressupõe que alguns dados são armazenados sem criptografia na memória do chip. Esses dados podem incluir o número do cartão, últimas transações etc., dependendo da política de cada banco ou o sistema de pagamento. Os dados podem ser lidos por meio de um smartphone com NFC habilitado e um aplicativo legítimo (como leitor de cartão Banking NFC) – você pode verificar, fazendo o teste.

Até agora, a informação sobre causa é desconhecida e não é considerada suficiente para comprometer a segurança do cartão. No entanto, o proeminente Which? retomou o velho mito.

Os especialistas do Which? Testaram vários cartões diferentes emitidos pelos bancos do Reino Unido. Com a ajuda de um leitor NFC e um software livre, eles conseguiram decodificar o número do cartão e a data de validade de todos os cartões testados.

E pensamos que não precisávamos nos preocupar. Não é preciso o número do CVV para fazer compras online?

A triste verdade é que muitos sites online não exigem o número do CVV. Os especialistas do Which? conseguiram encomendar uma TV de 3 mil libras em uma das maiores lojas de varejo online.

As letras miúdas

Considerando que a tecnologia de pagamentos de comunicação sem fio pressupõe diversas camadas de proteção, isso não significa que o seu dinheiro está 100% seguro. Muitos elementos de cartões bancários são baseados em tecnologias obsoletas como fita magnética, possibilidade de pagar online sem autenticação adicional etc.

Em muitos aspectos, a segurança depende das definições utilizadas pelas instituições financeiras e varejistas. Este último setor, em sua busca de facilitar as compras, buscado menos “carrinho abandonados”, às vezes prefere sacrificar a segurança das transações de pagamento para faturar.

É por isso que as recomendações básicas de segurança continuam valendo mesmo no caso da tecnologia pagamentos sem contato. Nunca deixe estranhos observarem quando você digita sua senha do cartão, tenha cuidado ao fazer download de um aplicativo para o seu smartphone, instale um antivírus, habilite notificações por SMS e alertas disponíveis do seu banco, para ser notificado de qualquer transação suspeita.

Se você quer ter certeza que ninguém usará um leitor NFC, compre uma carteira refletora. Afinal, as leis da física ainda são universais.

Agradecemos ao Davi, colaborador amigo do seu micro seguro, pela referência a essa notícia.

Fonte: Kaspersky blog

Roteiro de etapas utilizado pelos crackers em ataques a redes

hacker_vs_crackersDefender uma rede corporativa nunca foi tarefa fácil. O encarregado de proteger os ativos digitais de uma empresa parece estar sempre lutando contra o tempo.

O maior desafio dos responsáveis pela segurança é conseguir pensar como um cracker. Na realidade, as tecnologias usadas pelos crackers são aprimoradas a cada ano, mas as suas metodologias continuam as mesmas há décadas.

Na opinião de Bruno Zani, gerente de engenharia de sistemas da Intel Security, saber como crackers pensam e agem é o primeiro passo na direção para manter a rede segura.

Segundo ele, existem seis fases de intrusão que são usadas frequentemente pelos crackers para burlar os esquemas de segurança.

São elas:

1. Coleta de informações – Quando crackers planejam um ataque, a primeira coisa que eles fazem é escolher uma empresa-alvo e identificar onde será realizado o ataque. Em seguida, eles começam a recolher endereços IP e nomes de perfis importantes dentro do ambiente que podem armazenar dados corporativos ou pessoais sensíveis.

2. Exploração – Depois de elaborar uma lista completa dos funcionários e perfis-alvos, eles começam o processo de varredura. Isso inclui a verificação de instâncias específicas de aplicativos vulneráveis ​​que estão em execução no ambiente.
3. Enumeração – Uma vez que um cracker tenha identificado o aplicativo vulnerável, ele procura por versões precisas das tecnologias que possuem alguma falha e podem ser invadidas.

4. Invasão – Após encontrar um ponto de entrada, o cracker começa comprometer o servidor web, aproveitando vulnerabilidades ou problemas de configuração para obter acesso. Ao determinar como interagir com o alvo e sistema operacional subjacente, ele se infiltra para examinar quão longe pode expandir um ataque dentro da rede.

5. Escalada – Seguindo a invasão do ambiente, o próximo passo do cracker é criar perfis de usuário e privilégios de acesso para espalhar ameaças da forma mais ampla possível.

6. Pilhagem – A etapa final do processo de um ataque cracker é a pilhagem. Ao contrário de crackers do passado, os ataques atualmente já não são apenas elaborados para comprometer um servidor e desfigurar um site. Sua missão é muito maior, é ganhar acesso aos dados de cartão de crédito, aos segredos comerciais da empresa, às informações de clientes e informações pessoais. Enfim, minar os dados da empresa e usá-los em benefício próprio.

Após entender como os crackers pensam é preciso agir para bloquear os ataques. A maioria das empresas tentam criar uma fortaleza de segurança de TI com uma série de produtos de vários fornecedores, cada um abordando um aspecto diferente de seu ambiente e em diferentes áreas de risco. No entanto, enquanto não entenderem como os crackers encontram vulnerabilidades em seus sistemas em silos de segurança de endpoint, gateway e de data center, não existe a chance de pará-los.

De acordo com Zani, de nada adianta também ler cada um dos relatórios de análise de segurança disponível no mercado e implantar os produtos de segurança mais avançados. As pessoas também são parte importante da segurança. Muitas vezes o ataque é direcionado especialmente àquele funcionário mais desatento, que não se preocupa com os procedimentos de segurança desenvolvidos na empresa. Além disso, se as ferramentas usadas na segurança de TI e na proteção de dados não trabalharem juntas, o tempo sempre estará contra a empresa durante um ataque cibernético.

Agradecemos ao Davi, colaborador amigo do seu micro seguro, pela referência a essa notícia.

Fonte: IDG Now!

Segurança nunca será perfeita, afirma o criador do Linux

securityO criador do Linux, Linus Torvalds, participou da LinuxCon 2015 em Seattle, nos EUA, onde falou sobre diversas coisas, incluindo a segurança nos sistemas operacionais.

Linus Torvalds não é conhecido por ser um grande fã da comunidade de segurança – não que ele não se importe com a segurança, pois ele se importa. A razão pela qual Linus costuma ficar em desarmonia com a comunidade de segurança é “porque eles costumam ser muito preto e branco. Ou é seguro ou não é. E se é segurança, eles se importam profundamente. E se não é, eles não se importam”, afirmou.

“O que eu vejo é que segurança significa bugs e a maioria dos problemas de segurança que tivemos com o kernel (do Linux), e felizmente eles não foram grandes – bom, alguns deles eram grandes, mas isso não acontece sempre. A maioria deles eram apenas bugs estúpidos que ninguém teria realmente pensado como um problema de segurança normalmente, a não ser pelo de vir uma pessoa inteligente e se aproveitar disso.”

Mas então o Linux pode se livrar desses bugs? Não realisticamente. É apenas impossível criar qualquer software livre de bugs. O lance é se livrar deles o mais rápido que puder. “O negócio é que você nunca vai se livrar dos bugs”, diz Linus. Também é difícil saber com antecedência que o bug no seu software pode ser um problema de segurança. E ele tem toda razão. “Se você pensar dessa maneira, então você apenas sabe que os bugs são inevitáveis; a segurança nunca será perfeita”, completou.

A grande diferença, como sempre, vem da transparência e o quão rapidamente as partes envolvidas respondem a esses bugs. Como já falamos em outras reportagens, as empresas de open source são muito mais rápidas em solucionar bugs do que as empresas proprietárias, que, apesar de terem bilhões de dólares nos bolsos, deixam buracos de segurança sem correção por meses para serem explorados.

Mas então há algum mecanismo no kernel do Linux para assegurar que passem menos bugs? “No kernel nós obviamente tentamos fazer o melhor que podemos. Somos muito cuidadosos com código; temos padrões muito rígidos quando novas pessoas chegam. Às vezes é difícil entrar na comunidade kernel apenas porque se você está acostumado com programação no espaço dos usuários, no kernel você precisa ser bastante rígido em alguns aspectos.”

Para Linus, fora do kernel as pessoas deveriam simplesmente admitir que: “a) bugs acontecem, e b)tente mitigá-los ao ter várias camadas de segurança, por exemplo. Por isso, se você possui um buraco em um componente, provavelmente o próximo componente também terá. Penso que o open source está se saindo relativamente bem, mas qualquer pessoa que pensa que estará totalmente segura não está sendo realista. Sempre teremos problemas.”

Agradecemos ao Davi, colaborador amigo do seu micro seguro, pela referência a essa notícia.

Fonte: IDG Now!