Eu comecei na área de segurança da informação aos 12 anos, hackeando jogos para me tornar o player mais poderoso online. Naquela época, eu não tinha ideia que um dia me tornaria um profissional de segurança ofensiva e, muito menos, que seria chamado para montar e liderar um ‘Dream Team’ numa multinacional como a Telefónica Tech. Hacking, era antes de tudo, um estilo de vida. De lá para cá, das muitas lições que aprendi é que nem sempre nas coisas mais complexas, na exploração de falhas mais complicadas, é que se encontram os tesouros mais preciosos. E ao decorrer da minha carreira isso se concretizou consecutivamente.  

  Algumas verdades são inegáveis – A Segurança é inversamente proporcional à praticidade, pelo menos um ataque cibernético acontece a cada 39 segundos e a falha mais simples pode desencadear o fim de um Império. Um problema recorrente que percebo em várias empresas que testei se resume a uma falha de levantamento de inventário de aplicações e se elas estão ou não divulgando serviços da rede interna de sua empresa.  

Uma atividade comum nas nossas abordagens de Red Team Testing é a modelagem de ameaças, ou seja, mapear todo o cenário de uma empresa e ver o grau de impacto que um atacante verdadeiro conseguiria causar. É neste ponto que esbarramos com as falhas de controle de inventário de aplicações. Como uma empresa vai gerenciar suas aplicações? Além disso, como patchs de segurança serão aplicados, se existem esses pontos cegos? 

 O cenário vai se tornando mais crítico quando essa mesma aplicação, que não está protegida pelo patch de segurança mais atual, divulga concomitantemente serviços internos e externos. Ela se torna um dos nossos principais alvos, e não é uma prática incomum que as equipes de Red Team estejam focadas nesse alvo. Mesmo não encontrando nenhuma vulnerabilidade crítica inicialmente, façam o download da aplicação, e pesquisem internamente, para, assim, encontrarem seus próprios Zero Days e posteriormente comprometerem a empresa alvo. 

 Saindo um pouco da ótica técnica e indo para um nível estratégico, esbarramos em problemas de políticas de segurança da informação que estão sendo desrespeitadas. Existem os problemas de conformidade com a IS027001, LGPD, GDPR que demandam levantamento de inventário e o risco da perda de credibilidade com seus clientes – O monstro que todos querem evitar. 

  A nossa recomendação é um levantamento de inventário completo, mapeando aplicações que devem ou não estar voltadas para fora, acompanhado por um gerenciamento contínuo de aplicação de patchs. Para mais informações ou dúvidas sobre como lidar com este problema entre em contato com a equipe da Telefónica Tech.  

Uma aplicação divulgando um serviço interno pode não disparar grandes alertas, para os mais leigos. Porém, é um alvo fácil para um profissional de elite. 

  

Seguindo na esteira dos artigos desenvolvidos para lançar luz sobre a resposta aos incidentes que são realizados em nosso grupo, parece claro que as ações necessárias para a implantação de um ransomware com o máximo impacto desejado pelo atacante requerem diferentes fases e diferentes estados. de compromisso.

Essas fases começam com um primeiro comprometimento de um ativo da organização, do qual o adversário aproveita habilmente para ganhar poder sobre a infraestrutura e terminam implantando o dispositivo final encarregado de criptografar e deixar as notas de resgate.

Normalmente, a missão de um «Caçador de Ameaças» é focar na localização das fases anteriores que os adversários realizam (e quanto mais cedo essa fase for detectada, melhor) para poder resolver e / ou mitigar o incidente produzido com um impacto nulo ou muito minimizado. em relação ao que é um incidente de ransomware.

Então, como o Threat Hunting pode agregar valor quando o incidente já foi concluído?

Um catalisador na resposta

Um Threat Hunter é um analista especializado em investigar várias fontes de informações da infraestrutura da organização para extrair dados sobre ameaças. Essas ameaças são detectadas nas diferentes anomalias que um adversário causa na operação normal dos diferentes ativos. Anomalias que o «Threat Hunter» conhece e sabe detectar nas informações fornecidas por ferramentas como EDR, XDR, SIEM, UEBA, etc., que fornecem o contexto necessário para diferenciar o que é operação normal do que não é.

Se esse mesmo processo for adaptado para a resposta a um incidente, temos como resultado um fluxo de informações realimentado pelo compartilhamento das descobertas entre as diferentes funções. O que um forense pode ser investigado pelo Threat Hunter para ver no EDR ou SIEM como ele alcançou aquela máquina, de onde e em quantas outras máquinas ele foi visto. Dar, por sua vez, novas informações ao forense (feedback) sobre o curso do incidente, permitindo acelerar as diferentes linhas de investigação (e ajustar melhor a contenção, em muitos casos).

Ao repetir essas investigações com os dados obtidos pela equipe de Cyberinteligência (como vimos no post anterior), o Threat Hunter retornará ao restante da equipe as diferentes descobertas que ajudarão esta parte da equipe a avançar rapidamente na classificação de o adversário. Permitindo conhecer dados tão cruciais como se houvesse um site onde serão publicados dados roubados (vazamento de dados) pelos atacantes ou que outras ferramentas pudessem utilizar no cenário específico, já que em outros incidentes realizados por este mesmo grupo eles terá sido visto.

Mas não apenas permite que a equipe de resposta a incidentes avance mais rapidamente em suas respectivas tarefas. Ao investigar ativamente o comportamento das máquinas na organização e com os diferentes indicadores de comprometimento (IOCs) disponíveis, permite levantar rapidamente serviços nos quais se possa confirmar que não há afetação e o arranque seguro dos afetados bloqueando artefatos maliciosos já identificados por meio de EDR.

Atuando a partir do EDR para todos os ativos

Conforme mencionado acima, a resposta ao incidente é amplamente “centrada em EDR”. As ações realizadas pelo Threat Hunter nesta plataforma são variadas:

• Recuperación de evidencias. Gracias a un EDR, es posible conectar con las máquinas que interesen y recuperar información directamente desde ellas; permitie – Recuperação de provas. Graças a um EDR, é possível conectar-se com as máquinas de interesse e recuperar informações diretamente delas; permitindo obter artefatos sem a necessidade de usar o tempo de outros grupos técnicos da organização (dada a situação, eles geralmente têm uma carga de trabalho muito maior do que o normal)ndo obtener artefactos sin la necesidad de utilizar tiempo de otros grupos técnicos de la organización (dada la situación, suelen tener una carga de trabajo muy superior a la normal).
• Investigação de eventos. Um EDR também oferece telemetria nas máquinas nas quais o agente correspondente está sendo executado. Esta telemetria permite investigar as execuções de artefatos, entender sua criação, eliminar arquivos maliciosos, rastrear conexões criadas por cada processo executado e, entre outros, detectar a persistência de diferentes elementos de software ou malware. Tudo isso fornece um contexto operacional muito completo no qual os padrões de ataque podem ser estudados de forma otimizada.
• Isolamento de ativos. Conforme a telemetria é investigada, os ativos que exibem comportamento malicioso ou claramente suspeito podem ser isolados na rede; permitindo, por sua vez, o funcionamento normal daqueles elementos que não foram afetados.
• Bloqueio de IOCs e criação de regras. Dois dos resultados mais interessantes das investigações são os Indicadores de Compromisso (IOC em inglês) e as regras de comportamento que o adversário fez no incidente. Ambos os elementos podem ser facilmente configurados na plataforma para bloqueio automático e aviso. Portanto, se o adversário tivesse deixado uma bomba lógica ou mantido o acesso com alguma persistência que relançaria o ataque, ele seria automaticamente bloqueado pelo EDR já que esta configuração havia sido feita anteriormente.

Devolvendo o bastão para a organização

Durante a resposta ao incidente, a equipe líder garantirá que o adversário foi expulso com sucesso e que o incidente foi resolvido em todos os níveis.

Para tanto, o Threat Hunter ficará encarregado de supervisionar que as informações produzidas pelo sistema EDR «mostrem calma» e que nenhuma máquina da infraestrutura apresente nova atividade relacionada ao incidente.

Para isso, qualquer comportamento anômalo será monitorado e os diferentes alertas necessários serão configurados caso o incidente seja reproduzido ou uma máquina possa ter atividade (a fim de isolar essa atividade automaticamente e continuar com a recuperação).

Após um período de tempo razoável em que será verificado que não há nenhuma nova atividade relevante (normalmente um mês após o incidente), o trabalho do Threat Hunter será encerrado, devolvendo a testemunha à organização do cliente ou grupo de serviço EDR atribuído.

Emotet retorna à atividade

Pesquisadores de segurança da Cryptolaemus identificaram o que parece ser a reaparição do popular malware Emotet, cuja infraestrutura permaneceu inativa desde janeiro, após uma intervenção conjunta das forças de segurança em todo o mundo para frustrar suas operações. As novas amostras usavam o mesmo mecanismo de propagação tradicionalmente vinculado a esta botnet:  Malspam com anexos em Excel ou Word ou arquivos ZIP protegidos com senhas, remetentes falsificados e informações roubadas de threads de e-mail de vítimas antigas. A única diferença notável está no uso de comunicações criptografadas com o servidor C2 via HTTPS. Embora tenha sido apenas um dia desde a detecção da campanha de spam, outros pesquisadores começaram a alertar sobre essa nova atividade Emotet e sua entrega como segunda carga útil pelo malware Trickbot.  Operadores deste mesmo malware, Trickbot, que são conhecidos pelo pseudônimo de ITG23, foram recentemente vistos participando de várias campanhas junto com o ator de ameaças Shathak (TA551), na tentativa de entregar seu malware como uma etapa anterior de um compromisso com o ransomware Conti.

https://isc.sans.edu/diary/28044

0-Day em FatPipe VPN ativamente explorado

O FBI emitiu uma declaração alertando sobre uma ameaça persistente avançada (APT) abusando de uma vulnerabilidade de 0-day em dispositivos FatPipe VPN desde pelo menos maio do ano passado. Especificamente, a análise forense do FBI afirma que os atacantes poderiam ter acessado a função de upload de arquivo no firmware do dispositivo e instalado um webshell com acesso a raiz, levando a privilégios elevados nas redes internas das organizações alvo. A vulnerabilidade de 0-day descrita afeta os dispositivos FatPipe MPVPN, IPVPN e WARP (Virtual Private Network (VPN) e ainda não está identificada com um número CVE ou criticidade. O FatPipe já liberou um caminho e um aviso de segurança (FPSA006). O aviso do FBI também contém regras e indicadores da YARA para identificar atividades relacionadas nos sistemas.

https://www.ic3.gov/Media/News/2021/211117-2.pdf

ChainJacking: novo ataque da cadeia de suprimentos de software

A empresa de segurança Intezer, juntamente com a Checkmarx, publicou um artigo sobre um novo ataque da cadeia de suprimentos contra provedores de softwares que poderia colocar em risco várias ferramentas de gerenciamento de uso comum. Conhecido como «ChainJacking«, o ataque consiste na modificação ou corrupção do GitHub, Go Package Manager ou NPM pacotes de código aberto que são incluídos por padrão nas ferramentas de gerenciamento. No caso do GitHub, um invasor poderia reivindicar a propriedade de um nome de usuário abandonado e começar a entregar códigos maliciosos para qualquer um que baixe o pacote, aproveitando a confiança adquirida pelo antigo proprietário do nome de usuário. Explorando isso em um repositório de pacotes Go, poderia levar a uma reação em cadeia que amplificaria a disseminação do código malicioso e infectaria uma ampla gama de produtos, causando um dano comparável ao incidente do SolarWinds do ano passado ou ao do ataque de Kaseya deste ano. Até agora, nenhuma exploração ativa deste ataque foi relatada, mas isso não pode ser negligenciado dada a recente tendência de ataques da cadeia de fornecimento de software que são difíceis de detectar, ter um enorme impacto e dar aos agentes de ameaças novas mudanças de infecção.

https://www.intezer.com/blog/malware-analysis/chainjacking-supply-chain-attack-puts-popular-admin-tools-at-risk/

Vulnerabilidade de 0-day no ManageEngine ServiceDesk

Pesquisadores da IBM descobriram uma falha de 0-day no motor ManageEngine ServiceDesk. Trata-se de uma plataforma de gerenciamento de help desk amplamente utilizada que inclui aplicativos para a gestão de projetos e serviços de TI. A vulnerabilidade, CVE-2021-37415, poderia ser explorada para conceder acesso a um invasor não autorizado em um subconjunto de descanso de API de um aplicativo, que é responsável pela recuperação das informações dos tickets existentes dentro do referido aplicativo. Além disso, após a exploração bem-sucedida, um agente de ameaças poderia acessar dados confidenciais através da Internet, incluindo informações sobre os patches a serem aplicados ou a estrutura de rede interna de uma organização, entre outros. Além disso, isso poderia levar a um ataque da cadeia de suprimentos, devido ao uso generalizado deste produto e à natureza da vulnerabilidade. O ManageEngine emitiu a versão 11302  para corrigir a falha e que deve ser aplicada o mais rápido possível.

https://securityintelligence.com/posts/zero-day-discovered-enterprise-help-desk/

Os dados são moeda de troca no ambiente digital, mas infelizmente nem sempre estão seguros – visto os casos recentes de vazamentos de informações pessoais. Essas falhas na proteção geram insegurança, por isso, a governança digital e a proteção dos dados se tornam cada vez mais importantes:

• A Amazon divulgou (06/10/2021) que a plataforma de live streaming de games Twitch sofreu um vazamento de dados por conta de um erro de configuração. Um hacker anônimo anunciou ter colocado a mão em 125GB de dados. Entre os dados expostos estão: código-fonte do Twitch, relatórios de pagamento de 2019, clientes Twitch para dispositivos móveis, equipamentos de computador e console de jogos, AWS SDKs e serviços internos, dados de novos projetos e ferramentas de segurança interna, entre outros. O Twitch tem média de 30 milhões de visitantes diários e atrai músicos e gamers.

• A plataforma integradora de vendas HariExpres e parceira de grandes varejistas brasileiras, como os Correios, Mercado Livre, B2W Digital, Amazon, Shopee, Magalu, tinyERP. Bling! e Nuvemshop, expôs mais de 1,75 bilhão de dados confidenciais (o equivalente a 610 gigabytes de informações). Entre os dados vazados dos comerciantes, estão nome, e-mail, endereços comerciais e o CNPJ.

• Um site brasileiro expôs cerca de 426 milhões de dados pessoais, como CPF, nome, endereço, gênero, data de nascimento, e-mail e até a renda de pessoas físicas. Outros 109 milhões de dados incluem informações de veículos, como número de chassi, Renavam, modelo e placas de veículo de usuários, segundo a empresa de segurança digital PSafe.

Segundo um levantamento feito através da plataforma Toluna com 1.000 brasileiros questionando sobre a segurança dos dados online, cerca de 48% dos entrevistados afirmaram que não comprariam em uma empresa vítima de ataques cibernéticos. Com isso, a implementação de medidas de segurança para demonstrar capacidade na proteção e privacidade dos dados de seus clientes e consumidores são extremamente necessárias para a continuidade do negócio e caso não ocorra, essas empresas podem ser vistas como não confiáveis ou até mesmo sofrer algum tipo de ataque tendo como consequência:

• Reporte de incidentes que podem levar a perda de confiança na marca e danos a reputação;

• Revisão de todos os processos de governança e a implementação de medidas de segurança.

• Perdas financeiras com multas que podem chegar a 2% do faturamento limitados a 50MM;

• Prejuízo causado pela interrupção dos serviços e a recuperação dos dados,

Em resposta ao constante aumento de ciberataques que vêm sendo reportados, ocorreu o desenvolvimento de regulamentações a fim de estabelecer a proteção dos dados dos clientes e consumidores.

No Brasil, a LGPD (Lei Geral de Proteção de Dados n. 13.709/2018) é a legislação inspirada no Regulamento Geral de Proteção de Dados da União Europeia e que tem como objetivo determinar regras e diretrizes para o tratamento dos dados pessoais do titular como a coleta, armazenamento, compartilhamento e eliminação.

Segundo a proposta da PEC 17/2019 que torna a proteção de dados pessoais um direito fundamental e em processo de votação para aprovação pelo Senado, também caberá à União organizar e fiscalizar a proteção e o tratamento de dados pessoais conforme os termos estabelecidos pela lei.

Mas por que exatamente a Privacidade de Dados é importante?

A grande maioria das empresas possui elevado volume de tramitação de dados e armazenamento de informações de colaboradores, clientes e terceiros.

Qualquer processo de coleta de dados pessoais não autorizado, tratamento indevido de informações ou implementação de medidas não eficientes podem trazer consequências negativas ao titular dos dados, como possíveis fraudes e o roubo de identidade, podendo afetar diretamente os direitos e a liberdade de um indivíduo.

É necessário que o assunto privacidade seja priorizado pelas organizações para investimento nas melhores práticas de mercado. Para a avaliação das necessidades, gaps e riscos associados ao negócio, definição de uma estratégia de segurança E2E que garanta um nível aceitável de risco e a implementação dos controles necessários para garantir o cumprimento das obrigações regulatórias e de negócio, é importante seguir esses 4 passos:

• Defina uma estratégia de segurança avaliando de forma recorrente a privacidade e proteção dos dados tramitados na organização para identificação dos possíveis riscos, gaps e necessidades no ambiente. As ameaças evoluem constantemente e as medidas avaliadas no passado podem não ser efetivas contra as principais ameaças atuais do mercado.

• Estabeleça um modelo de arquitetura de segurança para implementação dos controles necessários e o cumprimento dos objetivos da organização. Diante do crescente número de crimes virtuais, é importante a definição da arquitetura baseada em segurança para implementar o conjunto de medidas necessárias contra vulnerabilidades a dados pessoais.

• Execute a gestão da infraestrutura de segurança para estabelecer o controle e o acompanhamento E2E de um ambiente seguro, permitindo a detecção de possíveis ataques cibernéticos. Toda infraestrutura de segurança deve estar dentro de um ambiente seguro e confiável, o que vale para todos os segmentos de empresas e tipos de negócios, sejam esses físicos ou virtuais. 

• Conte com o apoio de uma equipe de resposta especializada para se preparar para controlar os incidentes cibernéticos na ocorrência de um ataque ou vazamento de dados pessoais, estabelecendo dessa forma uma estrutura completa de segurança cibernética.

Confira algumas dicas que podem ser seguidas para proteger a sua privacidade na internet:

• Atente-se ao recebimento de mensagens que solicitam informações sigilosas. Se caso suspeitar da autenticidade da mensagem ou do remetente, encaminhe à empresa responsável para validar a sua autenticidade. Não preencha formulários ou realize download de arquivos com fontes desconhecidas.
• Evite a utilização de equipamentos e redes públicas para acessar informações que contenham dados pessoais sensíveis, como logins, senhas, dados de cartões de crédito, entre outros. Essas máquinas podem não ter medidas eficientes de segurança implementadas e reter informações importantes, como senhas de acesso.
• A plataforma “Have I Been Pwned?” pode ajudar no mapeamento de vulnerabilidades em redes sociais e verificar se as suas informações foram vazadas através do endereço haveibeenpwned.com. É só digitar os endereços de e-mail utilizados para entrar na rede social e você será comunicado se esses endereços estão entre os vulneráveis.

Sobre o autor: Gutiel Farias atua no aprimoramento e desenvolvimento de soluções estratégicas de segurança cibernética, com experiência em projetos de consultoria relacionados a Privacidade e Proteção de dados e a LGPD (Lei Geral de Proteção de Dados).