Fases de um Ataque: Stealth

[ 17/02/2009 - Update: ]

O Bruce Schneier se pronunciou sobre o tema, baseado também no caso da Logic Bomb da Fannie Mae. (Obrigado ao Marcelo e Lucas pelo link).

[ 12/02/2009 - Update: ]

O blog sobre forensics do Sans Institute publicou um artigo sobre "Logic Bombs", citando o caso da Fannie Mae, dentre outros, vale a pena conferir. Eles também fizeram algumas colocações interessantes para evitar ser vítima deste tipo de ataque - resumindo:

- Conheça, controle e revise os acessos aos seus sistemas de informação
- Utilize o princípio do mínimo privilégio - como base para a distribuição de acessos.
- Garanta que a revogação de privilégios seja um processo rápido e automatizado.
- Leve a sério ameaças de empregados insatisfeitos

Eu acrescentaria à esta lista:

- Monitore e audite os acessos administrativos ( não conte com a sorte =)

[ 03/02/2009 ]

Em 1998 um artigo de Alan Boulanger chamado "Catapults and Grappling Hooks, The Tools and Techniques of Information Warfare" apresentou uma divisão até então inédita das fases comumente utilizadas durante um ataque computacional. São elas: 1. reconnaissance, 2. probe, 3. toehold, 4. advancement, 5. stealth, 6. listening post, and 7. takeover.

Cada uma das fases descritas é proporcionada ou auxiliada pela fase anterior e de forma direta ou indireta prepara o atacante para a execução da próxima.

Onze anos depois, as fases conceituais não mudaram muito, mas certamente a motivação dos atacantes e a importância das diferentes fases para que estes alcancem seus objetivos são sempre variáveis.

Neste post pretendo apresentar três casos em que a fase stealth de ataques publicamente conhecidos foi fundamental, deixando claro os perigos inerentes ao não reconhecimento tempestivo das fases anteriores, o que acarreta invariavelmente em grandes perdas financeiras diante de atacantes bem preparados e motivados.

1) Em 2005, um ataque extremamente sofisticado culminou no escândalo com roteiro de filme - incluindo suicídio de um engenheiro envolvido na trama - ocorrido com a operadora GSM grega Vodafone-Panafon. A bem executada fase stealth do ataque permitiu que os perpetradores grampeassem o celular de mais de 100 figuras públicas da Grécia durante vários meses.

2) A HeartLand - empresa que recentemente divulgou ser vítima de um ataque stealth elaborado que possibilitou o maior vazamento de dados de cartão de créditos da história, ocorrido em 2008 - precisou de 3 equipes de investigação e mais de 2 meses depois de um alerta da Visa para descobrir que o sniffer responsável pela captura dos dados estava escondido em espaço não alocado do disco de seus servidores.

3) Na Fannie Mae - empresa de hipotecas sob administração do governo americano desde setembro de 2008 - um ex-administrador de sistemas contratado implantou em 4000 de seus servidores UNIX uma bomba relógio que iria remover o acesso dos demais administradores e apagar (wipe) vários terabytes de dados críticos da empresa, em 31/01/2009. Por sorte, o plano foi descoberto antes porque o esforço stealth deste atacante interno foi baixo, ele apenas incluiu várias linhas em branco dos scripts de manutenção dos servidores antes de digitar seus comandos maliciosos. Se a mesma sofisticação dos casos 1) e 2) tivesse sido utilizada, o impacto seria altíssimo.