Dicas para baixar aplicativos com segurança

ElevenPaths    26 abril, 2021

O advento de smartphones ou telefones celulares inteligentes, foi uma mudança de paradigma na forma como o conteúdo é usado e consumido através de dispositivos móveis.  Tanto que, a partir daquele momento, estes passaram de serem concebidos apenas como celulares para computadores de bolso reais. Essa revolução abriu um novo mundo que hoje se estende a outros dispositivos como tablets,TVs e até mesmo alguns wearables como smartwatches.

Se você está usando Android ou iPhone, este artigo traz algumas dicas úteis para baixar aplicativos com segurança, para que você possa aproveitá-los ao máximo sem perder de vista sua segurança cibernética

Use fontes oficiais

Quando for baixar um aplicativo, faça isso sempre a partir das lojas oficiais: Play Store para dispositivos Android e Apple Store para dispositivos Apple. Não confie em aplicativos que vêm de sites ou canais desconhecidos. Em caso de dúvida, acesse o site oficial da empresa cujo aplicativo você vai baixar e de lá eles vão redirecioná-lo para a página de download, que certamente será Play Store ou Apple Store!

Leia comentários de outros usuários

Assim como quando você está reservando uma acomodação ou compras online, ler comentários de outros usuários pode ajudá-lo a esclarecer dúvidas sobre se deve baixar aquele aplicativo ou não, saber quais são suas funcionalidades, recursos utilizados, etc.

Por outro lado, consultar fóruns especializados é uma boa ideia se você está interessado em conhecer mais detalhes sobre suas especificações e funcionamento.

Verifique os dados e permissões que o App solicita

Antes de começar a usar um aplicativo, é importante rever suas configurações nas configurações do telefone. Na verdade, você geralmente pode acessar essas configurações diretamente da página de download da Play Store ou Apple Store no momento em que termina o download. 

Ligue ou desligue as permissões que você considera necessárias e, quando tudo estiver em ordem, é hora de começar a usar o aplicativo.

Mantenha seu software atualizado

Atualize seus dispositivos regularmente, pois além de aumentar sua proteção contra ameaças cibernéticas, como ransomware, eles ajudam a melhorar a compatibilidade e o funcionamento dos aplicativos que você baixa.

Esperamos que essas dicas sejam úteis para você e recomendamos que você também tenha sistemas de segurança instalados em seu smartphone. Lembre-se que os smartphones são computadores de bolso com os quais estamos cada vez mais realizando tarefas e atividades a qualquer hora, em qualquer lugar. Se você instalar um antivírus no seu computador, faça-o no seu celular também. 

Sim, os cérebros femininos são programados para a tecnologia

Mónica Rentero Alonso de Linaje    22 abril, 2021

A mente feminina está programada para a tecnologia? Sim, bem, como parece. Essa foi a primeira grande questão que me veio à cabeça no primeiro ano da minha carreira. E não porque essa ideia ficou na minha mente por muito tempo, mas porque um dos meus professores decidiu colocá-la na frente de toda a classe e de uma forma hesitante.

Sempre me lembrarei disso como a anedota mais chocante da minha vida universitária. Estávamos na aula de álgebra, uma das disciplinas que fiz durante o primeiro ano da universidade, e o professor, como se estivéssemos em outro século, lançou a pérola: “as mulheres não se destacam em ciências matemáticas ou engenharia porque seus cérebros não são programado para isso”. Não dei crédito. Naquela época, eu era a única mulher matriculada nessa disciplina e me encheu de indignação e surpresa.

Mas, é claro, meu rosto de descrença ficou ainda mais acentuado, mesmo quando, para finalizar o comentário, ele decidiu acrescentar a seguinte frase: «Portanto, vocês são melhores no trabalho de dona de casa, cabeleireira ou faxineira.» Tive que morder a língua, mas sabia que suas palavras não seriam perdidas e reforçariam ainda mais meu desejo de mostrar ao mundo do que somos capazes. E assim foi. A primeira coisa que fiz foi receber honras no mesmo assunto. No final das contas, parece que os cérebros das mulheres também foram programados para esse tipo de conhecimento!

Partilho a minha história porque, embora seja verdade que os restantes anos da universidade decorreram como um encanto, incorporando cada vez mais colegas nas salas de aula; achei a anedota muito chocante para não compartilhar. Acho que ainda são muito poucas as meninas que fazem parte das carreiras tecnológicas e científicas e não gostariam que houvessem comentários desse tipo.

Por experiência própria, sei que a universidade recompensa o seu valor, independentemente do seu sexo, e se eles enxergam seu potencial, logo virão atrás de você para oferecer bolsas de estudo, empregos de pesquisa, etc.

Excluindo esta anedota em particular, sempre me senti muito protegida ao longo da minha formação acadêmica, mas sei que ainda estamos muito longe de encontrar um papel forte para as mulheres nos campos científico e tecnológico.

Sim, é verdade que ainda há um longo caminho a percorrer, mas vamos atingir a meta e com honras. Quem diria ao meu professor de álgebra que meu cérebro foi “programado” para terminar meus estudos com o Prêmio Extraordinário de Número Um na graduação em Engenharia de Telecomunicações? E se você descobrir que no caso dos “Números Um”, dos 4 que receberam este prêmio em telecomunicações, 3 Números Um eram mulheres? Somos poucas, mas temos sucesso!

Eu realmente preciso de um antivírus?

ElevenPaths    20 abril, 2021

A cibersegurança tem sido um dos temas de maior destaque, devido ao seu constante crescimento e desenvolvimento, a sua presença nos meios de comunicação é cada vez mais frequente, principalmente notícias sobre a descoberta de vulnerabilidades, ataques e novos ransomware. No final, o que o usuário médio percebe é que a segurança cibernética é um tema destinado a empresas e grandes organizações e que não afeta o seu dia a dia. Mas não é bem assim.

A cibersegurança é assunto de todos

Você ainda acha que os ataques cibernéticos não afetam você? Aqui estão alguns dados: em 2020, 43% dos ataques eram direcionados a PMEs, as vulnerabilidades no Android e iOS aumentaram 44% e os ataques a usuários continuam a se concentrar no envio de e-mails com tentativas de phishing e/ou malware. Sem falar nos escândalos de privacidade cada vez mais comuns relacionados a dados, uso incorreto de cookies e um longo etc…

A pergunta obrigatória que devemos nos fazer é: como um usuário padrão pode se proteger? Neste blog já falamos várias vezes sobre dicas para teletrabalho segurodicas para proteger seus dados ou mecanismos para estar seguro no dia a dia, mas o que a maioria dos usuários pensa é que um antivírus será suficiente para se livrar ataques .

Neste artigo, explicamos para que serve um antivírus e de que forma você deve estar (mais) protegido.

O que é um antivírus?

Para começar, devemos esclarecer o que é um antivírus. Muito populares por décadas, eles parecem a opção número um (e muitas vezes a única) para se proteger na Internet pelos usuários. Eles começaram sendo exclusivamente para PCs, mas, com a revolução dos smartphones, há anos também estão disponíveis em dispositivos móveis. Tendo em conta as horas do dia que dedicamos aos nossos smartphones, é aconselhável proteger a nossa segurança mais aí do que nos PCs.

Em linhas gerais, um antivírus é um software que detecta «vírus«, ou seja, malware presente em dispositivos (como já dissemos, geralmente PCs ou smartphones). Esse malware geralmente vem de arquivos maliciosos anexados a e-mails baixados por usuários ou ao baixar arquivos de sites fraudulentos.

Pago ou grátis?

A principal diferença entre antivírus pago ou gratuito é a quantidade de funcionalidades ou recursos que incluem (controle dos pais, cópias de backup, …). Normalmente, as licenças pagas são renovadas ano após ano e têm várias opções, dependendo do número de dispositivos a serem protegidos.

Existem boas opções gratuitas, mas, como dizemos, geralmente as opções de pagamento são mais completas.

Incluído no sistema operacional (Windows Defender)

Na maioria dos sistemas operacionais, há software instalado por padrão para nossa defesa. No caso do Windows (o sistema mais comum), temos o Microsoft Defender, um sistema implementado em todos os computadores que utilizam Windows.

Contexto

Praticamente todos os aplicativos incluem a opção de configurar certos aspectos de privacidade. Recomendamos fazer esta configuração antes de usar qualquer aplicativo ou programa que baixamos, bem como ler atentamente as condições de uso antes de baixá-lo.

Atualizar, atualizar, atualizar

O mais importante para manter o seu sistema invulnerável é atualizar, sempre que possível, tanto o sistema operacional em geral, como os aplicativos ou programas em particular, bem como o próprio antivírus. Tenha cuidado, os programas antivírus gratuitos costumam usar os dados para vendê-los a terceiros: quando algo é gratuito, o produto é você.

O melhor antivírus é você

Uma grande porcentagem dos ataques é bem-sucedida porque são direcionados diretamente contra os usuários, imitando as comunicações verdadeiras para causar erros. É a chamada engenharia social, e estas são nossas dicas para não cair na armadilha:

  • Suspeite de todos os e-mails que você não conhece o remetente
  • Clique apenas nas páginas que você sabe que são 100% autênticas ou escreva o URL manualmente em vez de clicar em um link de um e-mail
  • Embora as páginas https garantam a conexão cliente-servidor criptografada, o malware pode se infiltrar nessas páginas, portanto, há pouca prevenção

A febre do NFT: a criptomoeda mais recente que está varrendo a Internet

Gonzalo Álvarez Marañón    19 abril, 2021

Em maio de 2007, o artista digital conhecido como Beeple começou a criar e publicar uma nova obra de arte na Internet todos os dias. Fiel à sua palavra, ele produziu uma nova imagem digital diariamente por 5.000 dias consecutivos. Conhecidas individualmente como EVERYDAYS, essas ilustrações formam coletivamente o núcleo de EVERYDAYS: THE FIRST 5,000 DAYS, uma das obras mais exclusivas na história da arte digital. Em 11 de março, sua criação foi leiloada na Christie’s por um total de $ 69.346.250. Sim, você leu certo: quase 70 milhões de dólares!

Por que alguém pagaria uma quantia tão fabulosa por uma obra de arte digital que pode ser copiada infinitamente e que você e eu podemos possuir com igual fidelidade?

Porque a cópia vendida só foi graças aos tokens não fungíveis (token não fungível ou NFT).

O que é um token?

Se nunca visitou um casino, não importa, já o terá visto igualmente nos filmes: ao entrar, os jogadores trocam o seu dinheiro por fichas (tokens em inglês). Quando participam nos diferentes jogos de azar, não apostam dinheiro real, mas sim esses tokens. Fora do cassino, as fichas não têm valor por si mesmas, não são nada mais do que pequenos discos de plástico ou cerâmica. Enquanto, dentro do cassino, um token vale tanto quanto a figura em seu verso.

Além disso, esses tokens têm uma série de características interessantes:

  • Anônimos: não carregam nenhum crachá que identifique quem os usa. Se um for roubado, eles podem usá-lo por você e ninguém vai notar.
  • Consumíveis: um token de um determinado valor é idêntico a outro token do mesmo valor.
  • Uso único: você não pode usar o mesmo token duas vezes.
  • Privados: são emitidos por uma entidade privada.
  • Sem valor: são criados a partir de materiais de baixo valor, portanto, o token em si não tem valor.
  • Sistema: para serem úteis, devem operar dentro de um sistema de regras que lhes dê valor.
  • Impossível: teoricamente, ninguém poderia fazer um token idêntico em casa.

Não acredite que os tokens de casino são os únicos. Existem muitos outros tipos de token: o dinheiro falso que é distribuído em muitos festivais para pagar bebidas, válido apenas no local do festival; as fichas que vendem em feiras e quermesses para passear nas diferentes atrações; as moedas de muitos videogames, que são adquiridas pagando com dinheiro real e só têm valor dentro do universo do jogo; o convite para festas particulares em boates que você pode trocar por um drink; não esquecendo os bilhetes de loteria; e muito mais.

O que é um token digital?

Se você é um daqueles que costumam usar serviços como Apple Pay, Amazon ou Uber, aposto que cadastrou os dados do seu cartão de crédito para evitar ter que digitá-los toda vez que compra algo ou viaja. Diga-me, como você se sente sabendo que a Apple, Amazon ou Uber têm acesso ao seu cartão de crédito? Um funcionário desonesto ou cibercriminoso pode obter acesso e usá-lo em seu nome.

Para limitar os danos, décadas atrás, o setor financeiro introduziu o conceito de token: um cartão de crédito virtual, vinculado ao seu cartão de crédito real. Você pode criar quantos tokens (cartões virtuais) quiser vinculados ao cartão real, para que suas transações sejam cobradas na conta por trás do cartão real, mas com restrições:

  • Um token só pode ser usado no Apple Pay; outro token, apenas na Amazon; e outro, no Uber. Ou seja, cada token está vinculado a um serviço. Se alguém roubar esse token, não poderá usá-lo em seu nome a não ser na plataforma para a qual foi criado.
  • Um token pode ter um gasto limitado. Uma vez aprovado, não seria mais válido.
  • Cada um dos seus dispositivos pode receber seu próprio token: um para seu laptop, outro para seu smartphone, outro para seu tablet, outro para sua geladeira e assim por diante. Se alguém roubar um token e tentar usá-lo em outro dispositivo, não funcionará.

Essas restrições limitam a utilidade dos tokens e, portanto, o impacto em caso de uso fraudulento. Esses tokens financeiros imitam algumas das características dos tokens de cassino, uma vez que só podem ser usados ​​em um ambiente muito limitado, fora do qual não têm validade.

Outro caso de uso muito difundido para tokens é na autorização do usuário. Quando você se autentica inserindo suas credenciais em uma página da web, ele gera um token (aleatório) associado à sua identidade e o entrega a você por meio de um cookie ou URL. A partir deste momento, basta mostrar o token para que fique autorizado a aceder a qualquer outra página ou serviço do mesmo site. Seu token funciona como um substituto para suas credenciais. Qualquer pessoa que roubar seu token pode se passar por você, mas apenas nesse site, pois fora do domínio dele ele não tem valor e não representa você.

Portanto, em seu sentido mais amplo, um token é qualquer substituto para dados confidenciais (contas bancárias, demonstrações financeiras, registros médicos, registros criminais, carteiras de motorista, pedidos de empréstimo, negociação de ações, registros eleitorais e outros tipos de informações pessoais identificável ou PII), sem valor extrínseco ou explorável fora do sistema de referência em que foi criado.

O processo de criação de um token a partir dos dados confidenciais originais é conhecido como “tokenização”, enquanto o processo reverso de resgate do token é chamado de “destokenização”.

A segurança de um sistema de tokenização depende da (im) possibilidade de falsificação de tokens e da destokenização deles sem acesso ao mapa de associação dos tokens com os dados sensíveis que representam. Especificamente, a tokenização de cartão de pagamento deve estar em conformidade com o Padrão de Segurança de Dados da Indústria de Cartões de Pagamento (PCI DSS) .

Como você pode ver, essa tokenização não está relacionada à criptografia, mas ainda há mais.

O que é um token criptográfico?

Tecnicamente, cada criptomoeda é um token: se você olhar a lista de características dos tokens de cassino, verá que as criptomoedas os possuem. Dependendo da taxa de câmbio de um euro dará um certo número de tokens (ou token de frações ). Mas, recentemente, » token » está assumindo um significado mais específico em relação às criptomoedas.

Boletim semanal de cibersegurança abril 10-16

ElevenPaths    16 abril, 2021

Boletim de Segurança da Microsoft

A Microsoft lançou seu boletim mensal de segurança para abril deste ano, no qual corrigiu mais de 100 vulnerabilidades. As atualizações incluem patches para novos bugs nas versões do Exchange Server 2013-2019 (CVE-2021-28480, CVE-2021-28481, CVE-2021-28482, CVE-2021-28483), todos com alta criticidade e dois dos quais permitiriam que um potencial invasor executasse código remoto sem autenticar. Com relação a essas vulnerabilidades, sabe-se que a Agência dos EUA para Segurança de Infraestrutura e Segurança Cibernética (CISA) requisitou a todas as agências federais a instalar estas atualizações até sexta-feira. Por outro lado, uma vulnerabilidade também foi corrigida no Desktop Window Manager, com CVE-2021-28310 e criticidade média, que seria ativamente explorada por vários atores que ameaçam elevar privilégios em sistemas vulneráveis.  Por fim, também vale a pena mencionar várias vulnerabilidades de RCE com envolvimento para o Microsoft Office: CVE-2021-28454, CVE-2021-28451 (Excel), CVE-2021-28453 (Word) e CVE-2021-28449. Outros sistemas corrigidos foram Edge, Azure, SharePoint, Hyper-V, Team Foundation e Visual Studio.

A Adobe corrige várias vulnerabilidades críticas

A Adobe corrigiu diferentes vulnerabilidades que afetam quatro de seus produtos: Adobe Photoshop, Adobe Digital Editions, Adobe Bridge e RoboHelp. Estes equivalem a um total de dez vulnerabilidades, incluindo dois bugs críticos listados como CVE-2021-28548 e CVE-2021-28549 afetando o Adobe Photoshop, um bug crítico (CVE-2021-21100) no Adobe Digital Editions, seis vulnerabilidades, incluindo quatro revisões (CVE-2021-21093, CVE-2021-21092, CVE-2021-21094, CVE-2021-21095) que têm um impacto na Adobe Bridge e, finalmente, um bug de alto risco que estaria afetando o RoboHelp. A Adobe adverte seus clientes a atualizar versões vulneráveis o mais rápido possível.

Zero-Day no Chrome e Edge

O pesquisador de segurança Rajvardhan Agarwal descobriu uma vulnerabilidade de zero day nas versões atuais do Google Chrome e do Microsoft Edge, que ele tornou público através de seu  perfil no Twitter e no GitHub.  De acordo com o meio de segurança cibernética The Record relata, o código do sploitvem de uma vulnerabilidade que foi usada durante o evento de hacking Pwn2Own na semana passada. Embora os detalhes de tal vulnerabilidade nunca tenham sido publicados, Agarwal teria descoberto que estava no motor V8 JavaScript do Chromium, revisando o código-fonte dos patches. Os desenvolvedores do Chromium já teriam corrigido o bug, no entanto, essa correção ainda não faria parte das atualizações oficiais para navegadores como Google Chrome e Microsoft Edge, que permanecem vulneráveis.

Alguns dias depois, o pesquisador de segurança conhecido no Twitter como @frust93717815 divulgou outra nova vulnerabilidade de zero day em navegadores baseados em Chromium, postando um PoC em seu perfil no Github.  Essa nova vulnerabilidade estaria afetando tanto o Chrome quanto o Edge e, como a publicada no início da semana, poderia permitir a execução remota de código, podendo abrir o aplicativo do Windows Notepad. Embora essa vulnerabilidade não seja capaz de escapar do ambiente securizado do Chromium e, portanto, não seja prejudicial em si, um agente de ameaças que consegue desativar o argumento de “Sandbox “ do Chrome (seja amarrando a outras vulnerabilidades ou confundindo o usuário), poderia alcançar sua exploração. Desde o Bleeping Computer eles verificaram que a exploração é funcional nas versões mais recentes do Google Chrome (89.0.4389.128, emitido há poucos dias) e no Microsoft Edge (89.0.774.76).

Ambas as vulnerabilidades já foram corrigidas na versão 90.0.4430.72 do Google Chrome e na versão 89.0.774.77 do Microsoft Edge.

Campanhas de distribuição icedID

Pesquisadores da Microsoft detectaram recentemente uma campanha de distribuição de malware IcedID usando formulários de contato legítimos em páginas da Web. Os atacantes estariam preenchendo automaticamente formulários de contato recebidos pelas vítimas sob a forma de e-mail que à primeira vista parece confiável. A mensagem enviada usa técnicas de engenharia social para forçar a vítima a acessar um link incorporado usando linguagem de emergência e ameaças legais para falsas alegações de direitos autorais de imagens ou outros materiais supostamente usados em seu site.  O link redireciona para um login do Google onde a vítima insere suas credenciais, iniciando automaticamente o download do arquivo malicioso contendo IcedID. Simultaneamente, pesquisadores e analistas  da Uptycs Ali Aqeel também detectaram a distribuição do IcedID usando documentos maliciosos da Microsoft, principalmente Excel e Word. Deve-se lembrar que o IcedID é um Trojan bancário que rouba informações financeiras das vítimas, e que também é capaz de agir como uma porta de entrada para sistemas infectados para outros malwares; Estima-se que ele possa ser um dos vetores de acesso do ransomware RansomEXX, que recentemente incluiu entre suas vítimas à Câmara Municipal de Castelló, na Espanha.

Cibersegurança em tempos de pandemia, como o confinamento afetou nossa segurança digital?

ElevenPaths    15 abril, 2021

A pandemia acelerou a transição para uma vida digital e, com ela, os ciberataques contra usuários e empresas dispararam. O ataque mais frequente, que corresponde à violação mais comum, é o de phishing . Quantas vezes recebemos um e-mail, abrimos e acessamos um link ou download impróprio? Três etapas tão comuns e simples que se tornaram uma rotina na qual muitos usuários caem. Desde o início da crise da Covid-19, os ataques de phishing aumentaram 70%.

Você sabia que a capacidade das empresas de conter os ataques diminuiu 13% nos últimos cinco anos? A pandemia obrigou muitas empresas a se adaptarem ao teletrabalho tão rapidamente que deixaram brechas de segurança em seus sistemas. O surgimento das plataformas de videoconferência e a necessidade de informações abriram pontos de ataque que os cibercriminosos procuram explorar. Além disso, muitos funcionários tiveram que trabalhar com seus dispositivos pessoais que estão fora do controle da organização para saber que tipos de sistemas operacionais usam, se são atualizados, se têm alguma vulnerabilidade causada por diferentes aplicativos instalados …

Tipos de ciberataques

Os tipos de ciberataques que estão sendo reportados às autoridades durante a pandemia são principalmente phishing e o smishing, uma versão do phishing por envio de SMS. Ambos são usados ​​da mesma forma, eles se fazem passar por um órgão oficial e tentam redirecionar o usuário a um site falso, para que ele possa inserir seus dados pessoais ou baixar arquivos maliciosos.

Esses ataques e muitos outros estão aumentando por causa da nova normalidade em que vivemos, passamos mais tempo em casa e nossa vida digital aumenta. Agora, mais do que nunca, devemos ter um cuidado especial em nossa vida digital, reconhecer ameaças e ter extrema cautela ao usar a rede.

Tanto os usuários quanto as empresas, grandes e pequenas, devem levar em consideração a segurança de seus negócios. Qualquer ataque cibernético pode ter consequências muito negativas para as empresas: perdas econômicas, impactos à reputação… por tudo isso e mais, a segurança cibernética e a proteção da informação se tornaram uma necessidade.

Boletim semanal de cibersegurança abril 3-9

ElevenPaths    9 abril, 2021

Campanha de distribuição de malware via Linkedin

A equipe de pesquisadores do eSentire publicou detalhes sobre a análise de uma nova campanha de distribuição de malware através da plataforma LinkedIn. A ameaça dos agentes seria enviar arquivos .zip sob o pretexto de ofertas de emprego, nomeando o arquivo como o suposto trabalho, a fim de ganhar a confiança da vítima. Uma vez aberto o anexo, ele inicia a instalação do malware More_eggs de forma sigilosa, utilizando processos legítimos do Windows para contornar soluções de segurança. Esse malware  funcionaria como um dropper, uma vez infectado o dispositivo do usuário, é gerado acesso ao sistema para prosseguir com o download de outros malwares ou exfiltrar informações. Deve-se notar que esta ferramenta é vendida como Malware as a Service (MaaS) pela organização Golden Chickens, que, segundo pesquisadores, tem ligações com outros atores avançados como FIN6, Cobalt Group e Evilnum.

Campanhas relacionadas a temporada de declaração de imposto de renda

Baseados nas campanhas internacionais, temos que redobrar a atenção as mesmas ameaças neste momento no Brasil. Várias campanhas globais de envio de e-mails fraudulentos foram detectadas que estariam aproveitando a temporada de declaração e devolução de impostos como uma isca. O objetivo da ameaça dos agentes por trás dessas operações seria tanto a distribuição de malware, por meio de anexos nas mensagens, quanto a coleta de dados através de páginas de phishing. Em um alerta emitido pelo INCIBE, ele alerta para esta campanha em andamento, voltada para funcionários e/ou freelancers na Espanha, passando-se pela Agência Triburária. Por outro lado, a Receita Federal dos EUA não foi capaz de fazê-lo. OS EUA (Receita Federal), estariam sofrendo com o roubo de identidade em e-mails de phishing destinados a estudantes e professores, bem como a distribuição de malware a partir de links de download ou anexos.

BazarLoader usa call centers para distribuição

Os pesquisadores do Future Recorded alertam para uma nova campanha dos operadores de malware BazarLoader, ativa desde janeiro de 2021, na qual call centers subterrâneos seriam usados para enganar as vítimas para baixar e abrir os documentos maliciosos que as infectariam. Embora essa metodologia não seja a primeira vez que é observada, é sim a primeira vez que os call centers são usados por malwares de grande escala, como o Bazarloader, em uma operação que tem sido chamada de BazarCall ou BazaCall. Essas campanhas começam enviando e-mails de spam para vítimas selecionadas; e-mails enviados normalmente fingem ser ofertas, testes gratuitos ou assinaturas de serviços médicos, TI ou outros serviços financeiros. Esses e-mails indicam que podem ligar para um telefone para saber mais sobre a oferta, se ligarem, são atendidos por operadores de língua inglesa que os orientam a baixar o anexo, desativar os recursos de segurança do Office e permitir que o documento (geralmente um Excel ou Word) habilite macros, através das quais o malware é baixado e o sistema está infectado. Analistas de segurança observaram essas campanhas também implantando o  ransomware Ryuk ou o Trickbot Trojan.

As 4 melhores linguagens de programação para iniciantes

ElevenPaths    6 abril, 2021

Este ano você se propôs novos desafios, mas não sabe por onde começar? Que tal se tornar um especialista em programação? Sabemos que assim, de forma direta, pode soar um pouco complicado e árduo.

«Eu, programando? Eu não vejo isso”, você pode estar pensando. Mas acredite se lhe dissermos que com a seleção de cursos de programação que fizemos para você, não haverá desculpa de que em poucos meses você não se tornará um completo conhecedor deste mundo. Você se atreve? Bem, vamos lá:

Python

Você não parou de ouvir seu nome por alguns anos, mas o que há no Python que o torna tão atraente para os iniciantes na programação? Sem dúvida, uma de suas principais vantagens é que, além de ser um software livre (e gratuito, sem a necessidade de pagar licença para seu uso), é uma linguagem de código aberto (open source).

Duas características que conferem ao Python um status de maior liberdade e transparência, facilitando assim a criação de uma grande comunidade ao seu redor. Algo que, para quem dá os primeiros passos na programação, é um tesouro, poder tirar dúvidas e aprender online com os colegas.   

Além disso, em comparação com outras linguagens de programação, a sintaxe do Python é bastante direta e familiar. Usando a lógica podemos conseguir interpretar partes do código e, caso as moscas não queiram esquecer de nada.

JavaScript

Se você está procurando por vagas de emprego, temos certeza de que este nome lhe parece familiarJavaScript . É o rei das linguagens de programação na busca por perfis de empregos, então o que você está esperando para dar o salto? A procura por esta linguagem não para e a sua integração em várias aplicações a tornam a companheira perfeita para iniciar esta aventura de desenvolvimento web.

É um bom ponto de partida, pois, por ser uma linguagem de digitação simples, não é difícil de aprender e fornecerá a base essencial para continuar estudando uma programação mais complexa. Além disso, o JavaScript nos permite executá-lo nativamente em qualquer navegador. Mais um ponto a seu favor.

Ruby

Talvez esta linguagem não seja tão conhecida como as duas anteriores, mas Ruby também será outro aliado importante. É uma linguagem de programação de código aberto bastante simples e fácil de ler e escrever, o que a torna muito acessível para iniciantes. Orientada para objetos dinâmicos, esta linguagem é utilizada especialmente para desenvolvimento web.

Graças ao Rails, um framework de aplicação web que trabalha com essa linguagem de programação, o aprendizado é muito simples e as horas de aula vão voar.

Linguagem C

Esta é a última das linguagens de programação que apresentamos a você. Tal como o anterior, não é tão conhecido ao nível do utilizador, mas o recomendamos pela sua variabilidade, ou seja, pode ser utilizado para criar praticamente tudo, desde mobiles a servidores, passando por aplicações desktops ou console de jogos. O que mais se pode pedir?

Claro que para fazer tudo isso é preciso ter o Visual Studio, um aliado na simplificação e proximidade dessa linguagem, embora também existam compiladores open-source.

O quebra-cabeça pelo qual eles oferecem um trilhão de dólares a quem resolver

Gonzalo Álvarez Marañón    5 abril, 2021

Você gosta de quebra-cabeças matemáticos? Bem, aqui está um muito lucrativo… mas difícil de decifrar! Se você descobrir um método para quebrar os hashes usados ​​no Blockchain, poderá obter todos os futuros Bitcoins que ainda não foram minerados!

A mineração de criptografia é baseada em um conceito chamado «prova de trabalho» (e no acaso). Os mineiros com os maiores recursos computacionais ao seu alcance (e que são mais favorecidos pelo acaso) são recompensados ​​com novos bitcoins. Neste artigo, explicaremos a origem da prova de trabalho, ligada ao combate ao spam, e como ela é utilizada hoje no Bitcoin.

Se os spammers tivessem que pagar por cada e-mail que enviam, a história seria bem diferente

Adam Back pensava assim em 1997. Criptógrafo e hacker de renome, ele havia lido um artigo publicado em 1992 por Cynthia Dwork e Moni Naor sobre como combater o spam exigindo cálculos matemáticos caros. Este artigo o inspirou a desenhar sua proposta de pagamento por e-mail : se você quiser enviar spam, você terá que pagar, mas não com dinheiro, você vai pagar com o suor do computador. O spammer terá que resolver um quebra-cabeça criptográfico de dificuldade variada e não enviará seu e-mail até encontrar a solução. Resolver o quebra-cabeça será muito complicado, mas verificar a solução, muito simples. Em outras palavras, você prova que trabalhou muito ou não há spam. E assim nasceu Hashcash.

A proposta de Back requer a adição do cabeçalho X-Hashcash : ao protocolo SMTP, de forma que, se uma mensagem chegar a um gateway de correio ou cliente de correio sem tal cabeçalho, ela será rejeitada imediatamente. E com qual token esse cabeçalho deve ser preenchido?

Em primeiro lugar, é necessária uma função hash segura . Embora o Hashcash propusesse o SHA-1, hoje outro algoritmo seria usado, como o SHA-256 ou o SHA-3.

Em segundo lugar, o Hashcash usa os seguintes parâmetros:

  1. Um fator de dever w, tal que 0 <= w <= L , onde L é o tamanho da saída da função hash (em bits). É usado para modular a dificuldade do quebra-cabeça.
  2. Um número de versão, ver .
  3. Um parâmetro de carimbo de data / hora: time .
  4. Um identificador de recurso : resource .
  5. Um número escolhido aleatoriamente de pelo menos 64 bits: trial.

token Hashcash é composto pela união desses campos pelo caractere ‘:’, da seguinte maneira:

token = view : time : resource : trial

O quebra-cabeça consiste em calcular repetidamente o hash do token até que os w bits mais significativos sejam 0, aumentando em um o valor do trial  cada vez que não estiver correto. Obviamente, quanto maior o valor de w, mais difícil será o quebra-cabeça. Felizmente para o destinatário, verificar se a solução do quebra-cabeça está correta é tão trivial quanto calcular o hash do token. Além disso, não importa quantos quebra-cabeças você resolva, resolver um novo sempre levará, em média, o mesmo tempo: a dificuldade permanece constante para um determinado valor de w. E se o poder de computação melhorar com o tempo, apenas aumente w e novamente voltará a suar.

Claro, os tokens só são considerados válidos se não se repetirem, pois então, resolvido um, bastaria anexá-lo a todas as mensagens de spam. Uma maneira barata de resolver o problema de como armazenar um histórico de tokens é configurar um período de validade, calculado graças ao parâmetro time.

Embora essa ideia não tenha se concretizado para combater o spam, ela acabou inspirando Satoshi Nakamoto a projetar a prova de trabalho do Bitcoin.

Mineiros de criptografia cunharão bitcoins com o suor de seus ASICs

Na mina a terra é escavada em busca de um recurso escasso e muito valioso. No Bitcoin, o recurso escasso é o poder de computação. Os nós da rede Bitcoin competem entre si em uma corrida frenética para serem os primeiros a resolver um quebra-cabeça criptográfico, chamado de “prova de trabalho”, baseado em Hashcash.

Explicado de uma forma muito simplificada, o hash do novo bloco, c, que você deseja incorporar na cadeia de blocos é obtido, é concatenado com um noncex, e o hash do conjunto é calculado. Se o valor hash resultante começar com um número predeterminado de zeros, ou seja, for menor que um determinado target, você venceu a corrida! Caso contrário, adicione um ao nonce e recomece.

A função hash usada no Bitcoin é SHA256, passada duas vezes consecutivas. Expressos matematicamente:

SHA256 (SHA256 ( c | x )) < alvo ( d )

A dificuldade desse quebra-cabeça pode ser adaptada dinamicamente variando o número d de zeros à esquerda que o hash deve ter. Assim, uma dificuldade de 1 significa que o hash deve ter (pelo menos) um zero à esquerda, enquanto uma dificuldade de 10 significa que o valor do hash terá pelo menos 10 zeros à esquerda. Quanto maior o nível de dificuldade, mais zeros iniciais serão necessários e mais complicado será o quebra-cabeça, pois a dificuldade aumenta exponencialmente com o número de zeros. Obviamente, quanto mais complicado o quebra-cabeça de hash, mais poder de computação ou tempo leva para resolvê-lo.

Bitcoin define a dificuldade para que, globalmente, um novo bloco seja criado a cada 10 minutos, em média. O primeiro mineiro a resolver o quebra-cabeça recebe uma recompensa na forma de bitcoins e cobra as taxas aplicadas às transações contidas no bloco. A recompensa para o vencedor é programada desde o início. Inicialmente, o cripto mineiro vencedor foi recompensado com 50 bitcoins para cada novo bloco. Essa recompensa é reduzida à metade a cada 210.000 blocos, ou seja, aproximadamente a cada 4 anos. Devido à redução da recompensa do bloco pela metade, a quantidade total de bitcoins em circulação nunca excederá 21 milhões de bitcoins. Esses incentivos financeiros devem compensar a despesa de recursos computacionais ou ninguém mineraria bitcoins.

Estou minerandoooo!!!

No início, um computador com uma CPU decente era suficiente para extrair bitcoins. Mas os fortes incentivos aumentaram rapidamente a dificuldade do mecanismo de prova de trabalho. As CPUs foram logo substituídas por GPUs, estas por sua vez por FPGAs e, como os bitcoins valorizaram, foram usados ​​circuitos integrados de aplicativos específicos (ASICs). Não sei se todas as criptomoedas que adquirem esses equipamentos são feitas de ouro, mas seus fabricantes certamente encontraram sua veia particular. A barreira de entrada para a mineração é tão alta hoje que por muitos anos a comunidade de mineração foi dominada por um pequeno número de grupos de mineração de “grandes jogadores”.

Como resultado, o grupo supostamente grande e diverso de pares que mantêm coletivamente a integridade do sistema acaba se tornando um grupo muito pequeno de entidades, cada uma das quais possui enorme poder computacional na forma de hardware especializado, alojado em fazendas gigantescas, as maiores dos quais estão na China, Rússia, Islândia, Suíça e os EUA.

Esses grupos exclusivos formam uma espécie de oligopólio que divide entre si a responsabilidade de manter a integridade do sistema. A porta está aberta para abusos de poder, como omitir transações específicas ou discriminar usuários específicos. No final, Bitcoin e Blockchain não são tão descentralizados como o esperado em sua concepção original porque a integridade do sistema não é distribuída entre um grande número de entidades, mas está concentrada em poucas entidades muito poderosas, estabelecendo uma espécie de centralidade oculta que isso prejudica a natureza distribuída de todo o sistema.

O lado perverso das provas de trabalho

E não vamos esquecer um pequeno problema associado aos testes de trabalho. Visto que resolver quebra-cabeças criptográficos requer um grande gasto de poder computacional, o processo de mineração / validação é proibitivamente caro, tanto em termos de eletricidade quanto de dissipação de calor. Esse consumo tem um impacto extremamente prejudicial ao meio ambiente.

Em um trabalho publicado em 2019, The Carbon Footprint of Bitcoin , seus autores afirmam que a mineração de Bitcoin é responsável por 0,2% de todo o consumo de eletricidade no mundo e que produz tanto dióxido de carbono quanto uma metrópole do tamanho de Kansas City (cerca de 500.000 habitantes )

Outra pesquisa publicada na Nature em 2018, Quantificação dos custos de energia e carbono para mineração de criptomoedas , calculou que a mineração de Bitcoin, Ethereum, Litecoin e Monero combinados produziu o equivalente a entre 3 e 13 milhões de toneladas de dióxido de carbono em um período de 30 meses. E vendo o preço crescente de todas essas criptomoedas, apesar de sua volatilidade, tudo indica que o consumo de energia (e as emissões) continuarão crescendo.

Mais uma vez, é mostrado que quando a criptografia salta das lousas dos criptógrafos para o mundo real, as coisas se complicam. Afinal, o Bitcoin não funciona no papel, mas em processadores. E quanto mais trabalho, mais consumo.

Seu sistema macOS também é alvo de crimes cibernéticos, reforce-o!

Carlos Ávila    31 marzo, 2021

De acordo com a statcountero sistema operacional da Apple, especificamente o macOS (antigo OSX), tem uma participação de mercado em torno de 17%, sendo o segundo sistema operacional de desktop mais utilizado. Isso cria um mercado atraente onde os cibercriminosos estão constantemente em busca de vulnerabilidades que possam ser exploradas com eficácia.

Da mesma forma, no momento, o uso de malware multiplataforma por meio de novas linguagens de programação facilita uma implantação muito maior e um espectro mais amplo de vítimas. Esse tipo de código malicioso é projetado para atacar vários sistemas operacionais, incluindo o macOS. Isso forneceria “ferramentas” potenciais para o crime cibernético, a fim de aproveitá-las ao máximo, obviamente de forma maliciosa.

Por esse motivo, é importante estar atento a algumas considerações, além do sistema operacional, para que, como usuário de TI ou administrador, você possa fortalecer esses tipos de sistemas. Embora existam recomendações e boas práticas, que devem ser seguidas para manter o dispositivo e as informações gerenciadas tão seguras quanto possível, o foco deste artigo é compartilhar algumas ferramentas de segurança adicionais que você pode ter em mãos além do sistema operacional.

Ferramentas de segurança para ficar mais protegido

A seguir, destaco algumas ferramentas interessantes ( open source e gratuitas) para proteger o seu sistema operacional:

  • BlockBlockmonitora os locais mais comuns usados ​​por software malicioso para obter persistência e lançar alertas sempre que eles são modificados com um novo arquivo.
  • FSMonitor: é um aplicativo que monitora e permite visualizar, em um ambiente gráfico amigável, todas as mudanças no sistema de arquivos.
  • KnockKnock: você pode identificar o software instalado em seu computador que não é legítimo e o malware potencial instalado persistentemente em seu sistema.
  • LinkLiar: em casos particulares, a fim de proteger sua privacidade, você pode precisar alterar seu endereço MAC e este programa permitirá fazer isso facilmente.
  • Lynis : permite realizar um diagnóstico completo do sistema e medir seu grau de hardening. É uma ferramenta muito completa
  • OverSightmonitora a webcam e o microfone do sistema, alertando sempre que algum processo tentar acessá-los.
  • RansomWhere?: monitora continuamente os arquivos criptografados por processos suspeitos, sendo capaz de interromper o processo que está executando o ransomware e tenta minimizar as consequências da infecção dentro do sistema.
  • ReiKeyidentifica malware monitorando ações do usuário, principalmente procurando keyloggers no sistema.
  • Santa: desenvolvido pelo Google, consiste em uma extensão do kernel do macOS que monitora as execuções (‘lista branca / negra’ de aplicativos).
  • Stronghold: programa simples que permite definir facilmente as configurações de segurança do macOS a partir do terminal.
  • TaskExplorer: permite que você veja todos os processos que estão sendo executados no computador, incluindo qualquer tipo de malware que possa existir. Além disso, ele se integra ao VirusTotal.

Como mencionei no início deste artigo, não se esqueça de que o próprio sistema operacional possui vários controles de segurança e privacidade dos quais você deve estar ciente. Além disso, as ferramentas mudam e o importante é se manter atualizado a partir das várias fontes que existem hoje entre repositóriosprocedimentos de iniciativasartigos técnicos especializadosvídeos e muito mais que podem agregar aos seus dispositivos, ou à sua infraestrutura se você for uma empresa estão mais protegidos contra ameaças para os sistemas macOS.

Cada vez mais, os dispositivos Apple em geral são altamente cobiçados pelo crime cibernético, portanto, você deve adotar cada uma dessas recomendações para evitar ser outra vítima de invasores na rede.