CiberGuerra e CiberEspionagem: O uso de ferramentas de invasão por Nações e Governos

Recentemente estive palestrando sobre CiberGuerra e CiberEspionagem no Campus Party Recife, e fiquei surpreso ao final da apresentação ao receber mais de 20 perguntas da audiência sobre este tema.

O assunto chama cada vez mais atenção da mídia e consequentemente do público. Infelizmente, em geral a cobertura feita pela mídia (mesmo a especializada) é movida pela técnica de "FUD" (Fear Uncertainty and Doubt) dos fabricantes de tecnologia de segurança da informação, como empresas de anti-vírus.

Este post tem o objetivo de listar resumidamente os tipos de ferramentas conhecidas que tem sido utilizadas por Nações (CiberGuerra, CiberEspionagem) e Governos (em apoio ao Sistema Judiciário) em ações relacionadas à CiberGuerra e CiberEspionagem.

I) "Nation-State Designed":

Uma coisa importante a perceber é que uma vez montado um framework (ou obtido de fontes conhecidas) é fácil recompilar e fazer "novos" trojans. No caso dos casos mais recentes, o "Gauss" possui rotinas de decriptação similares ao "Flame" e ambos por sua vez contém a mesma rotina de infecção USB que o "Stuxnet". Ou seja, O "Gauss" está mais pra irmão do "Flame" e primo do "Stuxnet", que por sua vez tem como irmão o "Duqu". Todos eles fazem parte do mesmo projeto / framework americano chamado "Olympic Games". Diferentes compilações dos mesmo framework, que rendem às empresas de anti-vírus bastante publicidade quanto são descobertas.

II) Trojans para investigações online

Usados para investigações policiais em alguns países e normalmente autorizados judicialmente. Nada impede que sejam utilizados fora deste contexto ou países, pelos seus autores ou detentores de seu código.

Alguns exemplos são o CIPAV (US/FBI) e o Bundestrojaner (Alemanha)

Mais detalhes sobre este ítem neste post: http://sseguranca.blogspot.com.br/2009/04/cipav-fbi-utiliza-spyware-em.html

III) "Closed Market" Penetration Tools & Exploits:

Existem diversas ferramentas mais "comerciais" (apesar de teoricamente seu acesso ser restrito à governos com uma lista negra de países a quem não se vende). Como exemplo podemos citar as vendidas pela italiana HackingTeam e pela inglesa Gamma - que recentemente teve seu "FinFisher" identificado em cerca de 10 países:

https://community.rapid7.com/community/infosec/blog/2012/08/08/finfisher

Há também empresas como a francesa VUPEN, que vendem exploits para vulnerabilidades 0-day, somente para governos.

IV) Commercial Frameworks:

Existem vários frameworks comerciais de pentest como o argentino Core Impact e os americanos Metasploit Pro da Rapid7 e Immunity Canvas. Neles uma infinidade de exploits podem ser utilizados para atacar sua própria infra-estrutura, ou a dos outros..

V) Open Source Frameworks:

Vale a pena ressaltar que em geral as redes (governamentais, educationais e comerciais) não requerem tanta sofisticação para serem invadidas, e o uso de ferramentas amplamente conhecidas com exploits públicos e técnicas simples de Spear Phishing são suficientes para invadir mesmo infra-estruturas críticas (como exemplo recente veja a notícia do possível ataque "ThunderStruck" com o Metasploit Framework na agência nuclear iraniana).

http://www.f-secure.com/weblog/archives/00002403.html

Medley - BH, ShmooCon, e mais novidades...

Como já aconteceu outras vezes por aqui, no momento são tantos e tão diversos os temas interessantes a discutir no blog que preferi publicar uma lista com as referências de dez dentre os mais recentes assuntos do mundo da segurança da informação:

1 - Caso você ainda não tenha tido a oportunidade - antes de mais nada - vale a pena conferir os materiais e resumos publicados das principais conferências de segurança que aconteceram no recentemente: Black Hat e ShmooCon.

Como material de destaque destas conferências, recomendo os seguintes links:

• Exploiting Lawful Intercept to Wiretap the Internet [ PDF | PPT | VIDEO | AUDIO ]  
• Hacking the Smartcard Chip [ PPT ]  
• Blackberry Mobile Spyware – The Monkey Steals the Berries [ PDF | DEMO | CODE ]
• DIY Hard Drive Diagnostics: Understanding a Broken Drive [ PDF ]
• OpenBTS - open source unix Base Transceiver Station [ SITE ]

2 - Fingerprint de browsers EFF:

O projeto Panopticlic da Eletronic Frountier Foundation  mostra como é simples identificar unicamente um computador a partir da detecção do navegador utilizado, plugins, cookies, fontes instaladas, etc. - para testar o seu agora, clique aqui. São óbvios os desdobramentos do ponto de vista da privacidade e da identificação de acessos em investigações envolvendo navegação na internet.

3 - Hackers Roubam Milhões em créditos de carbono:

Um bom exemplo de como qualquer negociação efetuada online está sujeita à ação dos cibercriminosos, foi divulgada recentemente pelo Jornal alemão Der Spiegel e pela Revista Wired um esquema envolvendo hackers que roubaram milhões de dólares em créditos de carbono.

Na reportagem é citada um caso similar de exploração de sistemas governamentais que ocorreu no Brasil em 2008 - quando madeireiras e hackers inventaram o ciberdesmatamento - ação investigada pelo Ministério Público Federal do Pará.

4 - Cuidado no Antivírus que você confia - experimento de revista alemã e da Kaspersky envolvendo um falso vírus comprova que vários (14 !) anti-vírus se basearam em resultados do VirusTotal para adicionar vacinas à seus Anti-Vírus. Para mais detalhes sobre minhas recomendações para manter uma máquina Windows segura, veja o tópico "A saga de se manter seguro usando Windows".

5 - Ataque na implementação de Chip + Senha utilizada em Cartões de Crédito / Débito [ PDF | Site]

Um boa descrição está na tradução feita pelo ThreatPost: "Nos últimos cinco anos, milhares de usuários de cartões foram roubados e tiveram seus cartões usados por criminosos. Os bancos muitas vezes dizem a eles que a senha foi usada, então a culpa é dos clientes. Entanto, nós mostramos que é fácil de usar um cartão sem conhecer a senha - e o recibo diz que a operação foi "verificada pelo PIN", mesmo que não tenha sido "

6 - Nova lista CWE/Sans dos 25 mais importantes erros de programação

Cross-site Scripting, SQL Injection, Classic Buffer Overflow, CSRF, e etc.. 

8 - Report: PDF maliciosos são responsáveis por 80% de todos os exploits em 2009 


Minha recomendação: Se você usa Windows, além de NÃO UTILIZAR o Internet Explorer - evite a todo custo o Adobe Reader - desinstale-o e use o FoxIt.


9 - Da vulnerabilidade à fraude: Este excelente artigo da SecurityNinja do Reino Unido detalha o caminho vulnerabilidades exploradas->dados não autorizados->dinheiro comumente seguido pelo cibercrime moderno, incluindo detelhes do underground onde são negociados.

10 - Sans Institute (@johullrich) inaugura o HashSearch - ferramenta para verificação de hashes MD5/SHA1 a partir do hash ou do nome do arquivo - com cadastro de 39.944.023 hashes criptográficos registrados pelo NIST National Software reference Library. Vale a pena conferir.