Posts Tagged ‘Segurança’

Há uma conhecida vulnerabilidade na CryptoAPI da Microsoft, que faz com que certificados falsos de sites supostamente seguros (que usam o protocolo HTTPS) sejam reconhecidos e validados. A falha já tem quase três meses (!) e ainda não foi foi corrigida pelo pessoal de Redmond (!!).

Notícia velha? Pois é. Mas a novidade é que há um certificado “solto” por aí, permitindo aos caras maus ficarem entre o seu micro e os servidores Paypal, em um tipo de ataque chamado “Man in the middle”. Com o certificado “válido”, o Paypal não tem como saber há alguém entre o usuário e seus servidores. Por outro lado, o usuário também não tem como verificar isso e a página aparece sem nenhum aviso de segurança.

Como tanto o IE, quanto o Safari e o Chrome usam a API defeituosa da MS, o risco de cair no golpe é bastante razoável. Por via das dúvidas, use o Firefox (versões acima da 3.0.13).

Para os “hackers” de plantão, a receita de bolo está aqui.

Dica do Marcellus Pereira, do meiobit

Hackbar é um ótimo plugin com muitas funcionalidades e pequenos hacks, ele tem grandes funcionalidades para testes de intrusão, como teste de injeção de SQL, vulnerabilidades e XSS. Converte Base64, Rot13, octal e outras bases numéricas. Este é o plugin essencial para você descobrir vulnerabilidades em sites de modo prático usando seu navegador, aprendizes de Hacker( ;] ) e Analistas de Segurança vão gostar.

Para conhecer mais sobre o plugin e realizar o download visite (https://addons.mozilla.org/pt-BR/firefox/addon/3899)

Hackers podem usar tática para invadir e-mails e outras contas.
Participe da coluna enviando perguntas sobre segurança na web.

O G1 publicou na semana passada uma notícia sobre a invasão do Twitter realizada por um hacker francês. O mais interessante sobre o caso é que o ataque foi possível graças ao recurso de “resposta secreta”, usado para recuperação de senhas. O malfeitor conseguiu descobrir a resposta para o acesso à conta Yahoo do funcionário do Twitter, resetou a senha e, entre as mensagens na conta de e-mail, encontrou as informações para acessar a administração do serviço de microblog.

No ano passado, a mesma função de recuperação de senha do Yahoo foi usada para invadir a conta de e-mail da candidata derrotada à vice-presidência dos Estados Unidos Sarah Palin. O invasor conseguiu achar a resposta “secreta” para a pergunta configurada por Palin com uma simples pesquisa na web.

Em janeiro de 2005, a vítima foi a socialite Paris Hilton. Hilton configurou o nome do seu cão como resposta para resetar a senha no site da operadora de telefonia móvel T-Mobile. A invasão deu acesso às mensagens do celular da socialite.

Não é difícil perceber que a “resposta secreta” é, na maioria das casos, simplesmente uma má ideia. Entenda por que na coluna de hoje, e saiba como não depender de uma “resposta” secreta para recuperar sua senha.

Em mensagem enviada para o blog Cult of Mac, da revista Wired, um hacker de codinome “orin0co” alegou ter invadido a conta pessoal de Steve Jobs na Amazon.com. O hacker estaria tentando vender detalhes e informações desta conta a jornalistas, incluindo o histórico de compras e o número de cartão de crédito do presidente da Apple, conta Leander Kahney, editor do blog.

Segundo o hacker, Jobs é um ávido comprador pela internet. Ao longo dos últimos dez anos, ele teria adquirido mais de 20 mil itens na Amazon, algo como cinco itens por dia, todos os dias. Interessante é que esta informação não corresponde ao escrito pelo próprio Kahney em seu livro A cabeça de Steve Jobs, onde ele diz que “Jobs tem muita dificuldade em fazer compras. (¿) ‘Acabo não comprando muitas coisas’, disse ele ao responder a uma pergunta sobre os aparelhos e tecnologias que compra (¿)”.

Descrevendo o processo para roubar os dados de Jobs, o hacker disse que enviou a ele um e-mail falso, fazendo se passar por uma mensagem oficial da Amazon. Segundo ele, isso fez com que o presidente da Apple fizesse login em um site fraudulento cujo layout era semelhante ao da verdadeira loja virtual, uma tática comum de phishing. Uma foto de tela com dados da suposta conta de Steve Jobs, enviados pelo hacker orin0co foi publicada pelo Cult of Mac.

Para “orin0co”, o fato é muito constrangedor para uma empresa que alega que os Macs são menos suscetíveis a vírus, travamentos e dores-de-cabeça. “Imagine o quão seguro é o Mac, se você pode enganar até o poderoso Steve Jobs”, debochou o pirata.

A Apple não quis comentar o assunto ou negar as alegações do hacker; a Amazon declarou não ter conhecimento se a conta de Steve Jobs está comprometida ou não.

Fonte: Terra

Um MacBook munido do software Undercover foi o grande herói de um caso de polícia na Noruega, segundo conta o jornal Dagbladet. Ao ser roubado, fotografou os ladrões e ajudou, inclusive, a identificar um traficante procurado, que também foi preso.

Depois de ter sua casa arrombada por ladrões, que levaram mais de 50 mil coroas norueguesas (cerca de R$ 16 mil) em bens da família, Petter Røisland recebeu a notícia de que a polícia tinha, como suspeitos do roubo, componentes de uma gangue. Todavia, a falta de provas impedia a prisão dos acusados.

Para se resguardar de outra investida dos ladrões para roubar a sua residência, o jovem de 23 anos resolveu tomar uma atitude. Instalou o programa Undercover, da Orbicule, em dois dos novos Macs que a família havia comprado para substituir os roubados.

Na manhã do dia 9 de fevereiro deste ano, a família Røisland percebeu que os amigos do alheio haviam visitado sua casa novamente. Desta vez, porém, Petter acionou o dispositivo de segurança dos computadores, contatando a Orbicule para avisar que seus Macs haviam sido surrupiados. Logo a central confirmou a condição de roubo e começou a rastrear o sinal do software Undercover.

Passados alguns meses, depois de a polícia já ter encerrado o caso sem solução, a empresa de segurança enviou um email a Petter, avisando que um dos computadores fora ligado e que eles receberam o endereço IP da máquina. No outro dia, a Orbicule também mandou fotos enviadas através do Mac roubado, que foram imediatamente compartilhadas com a polícia.

Mas o mais incrível foi o que Petter descobriu depois: um dos fotografados era um grande traficante local, a quem a polícia da Noruega estava procurando há muito tempo, sem sucesso. Durante dias, o jovem trocou emails com a Orbicule, descobrindo novas informações, dentre elas, a posição geográfica aproximada do computador, que levaram à captura dos bandidos.

Fonte: Terra

Criminosos criaram sites falsos para roubar dados de usuários.
Porta-voz confirmou que rede social trabalha para resolver estragos.

Hackers atacaram 200 milhões de usuários do Facebook nesta quinta-feira (14), roubando senhas de vários membros da popular rede de relacionamento social da internet.

O porta-voz do Facebook, Barry Schnitt, confirmou nesta quinta que o site estava resolvendo os estragos causados pelo ataque, acrescentando que a equipe estava bloqueando perfis comprometidos. Ele se negou, no entanto, a revelar quantas contas foram comprometidas.

Os criminosos roubaram as senhas ao invadir perfis de alguns membros do Facebook e enviar e-mails à lista de amigos dos contatos atacados, pedindo-os que clicassem em páginas falsas da internet.

Como estes sites falsos foram criados para se parecerem com a página oficial do Facebook, as vítimas direcionadas acabaram acessando suas contas e, consequentemente, dando suas senhas aos invasores.

Ataques deste tipo são realizados geralmente com a finalidade de roubo de identidade e divulgação de propaganda indesejável.

Fonte: G1/Tecnologia

Alerta foi dado pela Microsoft, que liberou correções nesta terça.
Empresa classificou falha como ‘crítica’, a mais grade da escala.

A Microsoft informou nesta terça-feira (12) que hackers vêm tentando atacar usuários de seu software de apresentações para PCs PowerPoint, e diz ter lançado correções para protegê-los contra a ameaça.

A maior fabricante mundial de softwares afirmou ainda que uma versão do PowerPoint para computadores Mac, da Apple, também estão vulneráveis à ação dos hackers, apesar de ainda não se ter confirmado que os criminosos estão de fato buscando explorar o programa.

A Microsoft definiu a ameaça como “crítica” — a mais grave da escala que classifica pontos vulneráveis do software.

Os hackers vêm buscando se aproveitar da vulnerabilidade do PowerPoint induzindo suas vítimas a abrirem um arquivo de PowerPoint corrompido — que teriam baixado de um site ou recebido por email, segundo a empresa de segurança Symantec. “A essa altura, o agressor teria então controle total sobre tudo a que a conta do usuário tem acesso no sistema,” disse Alfred Huger, analista da Symantec.

Huger afirmou ainda que a Symantec tem observado até agora apenas um número limitado de tentativas de hackers de tirar proveito da vulnerabilidade no programa.

A Microsoft não lançou uma atualização para Macs, mas o porta-voz da empresa Christopher Budd assegurou que ele já está em desenvolvimento.

Fonte: G1

Endereços podem evitar o envenenamento de DNS.
Participe da coluna enviando suas dúvidas sobre segurança.

Na semana passada, a coluna Segurança para o PC explicou como funciona o ataque de envenenamento de cache DNS, usado por golpistas para redirecionar páginas de instituições financeiras para sites clonados. A coluna de hoje dá continuidade ao assunto, explicando algumas vulnerabilidades que facilitaram esses ataques e também o que pode ser feito para preveni-los, como o EV-SSL e o DNSSEC, usado nos domínios “b.br”.

Se você tem alguma dúvida sobre segurança da informação (antivírus, invasões, cibercrime, roubo de dados, etc), vá até o fim da reportagem e utilize a seção de comentários. A coluna responde perguntas deixadas por leitores todas as quartas-feiras.

Leia também: Saiba como golpistas da web levam internautas a sites falsos

O ataque explicado na semana passada é o mais simples de todos; pode-se dizer que ele é “cru”. O criminoso não só precisa adivinhar o código identificador da conexão, como terá apenas uma chance de fazer isso a cada período de algumas horas. Se fosse possível tentar repetidamente adivinhar o código, é certo que, mais cedo ou mais tarde, isso aconteceria. Até o ano passado, não se conhecia uma maneira de tentar mais de uma vez.

Assim como o a memória temporária (cache) mantém um redirecionamento malicioso on-line por algum tempo, ela também mantém o registro legítimo. Ou seja, depois que a resposta verdadeira e correta está no DNS, ela estará segura até que sua data de validade (“TTL” ou “time to live” no jargão técnico) termine.

O malfeitor precisaria, portanto, esperar o fim do TTL para poder tentar novamente. Ele teria uma tentativa a cada período de algumas horas, o que significa que um ataque bem-sucedido poderia levar muito tempo para ser feito, mesmo com computadores atacando o DNS 24 horas.

>>>> Vulnerabilidades facilitam o ataque

Realizar o ataque sem nenhuma técnica extra é complicado, mas um criminoso com mais conhecimento tem algumas opções para tornar o envenenamento de cache possível.

Sobrecarregar o NS do site alvo para torná-lo lento é um exemplo. Atrasar a resposta legítima em meio segundo é suficiente para dar algumas milhares de chances a mais para o malfeitor.

Os problemas mais graves são as falhas de segurança. Em alguns servidores de DNS vulneráveis ou configurados incorretamente, um criminoso nem precisa adivinhar o código identificador para envenenar o cache.

Em vez disso, o indivíduo mal-intencionado pode simplesmente solicitar que o DNS traduza um endereço que ele próprio controla. Assim, o DNS irá contactar um NS também operado pelo criminoso. Esse NS, em vez de responder corretamente a solicitação do DNS, irá plantar o redirecionamento para o outro endereço, o alvo.

Em outras palavras, o criminoso pede que o DNS traduza o endereço “siteruim.mal” para IP, mas o “siteruim.mal” tenta informar o IP de “algumbanco.alvo”. Isso é um erro: o “siteruim.alvo” não devia ter nenhuma autoridade sobre o registro de outros sites. O DNS configurado incorretamente ou vulnerável, no entanto, pode acabar aceitando e terá seu cache envenenado.

Às vezes o problema é tão sério que pode permitir o redirecionamento do chamado NS raiz. Com isso, um criminoso teria o controle sobre todos os sites terminados em “.com”, por exemplo.

No ano passado, Dan Kaminky alertou a respeito da possibilidade de usar o princípio do técnica acima de forma diferente. Embora “siteruim.mal” não tenha autoridade sobre “algumbanco.alvo”, tanto “www.algumbanco.alvo” como “abc.algumbanco.alvo” têm autoridade sobre “algumbanco.alvo”. Isso significa que o criminoso pode usar combinações de subdomínios, mesmo que inexistentes, para repetidamente tentar envenenar o cache com uma resposta falsa.

Explicando melhor, o criminoso pede ao DNS que ele traduza o nome “qualquercoisaaqui.algumbanco.alvo”. Como o DNS não sabe a resposta, terá de consultar o NS, dando ao criminoso a possibilidade de interferir no processo, mas, em vez de informar o IP de “qualquercoisaqui”, o redirecionamento se dará no “www”. Isso pode ser repetido infinitamente, até que dê certo. Normalmente isso não seria possível, porque o “www” em si já estaria no cache, e o DNS não precisaria entrar no processo de tradução.

Não existe solução para isso. Os servidores DNS apenas passaram a usar maior aleatoriedade em seus códigos, esperando que, com isso, criminosos não consigam adivinhá-los.

>>>> O DNSSEC e SSL/EV-SSL como solução

Sites protegidos com EV-SSL mostram o nome da organização responsável na barra de endereços, mais visível que o simples ‘cadeado’ que aparece em sites com SSL comum. (Foto: Reprodução)

Embora medidas tenham sido tomadas para proteger o DNS, ele ainda é um protocolo vulnerável. A solução definitiva para o problema seria uma extensão do DNS chamada DNSSEC, na qual o a conexão é identificada também por meio de uma assinatura digital, difícil de ser quebrada pelo criminoso.

É preciso que provedores, órgãos gestores da internet e donos de sites todos trabalhem juntos para fazer o DNSSEC funcionar. Como foi dito na coluna da semana passada, a responsabilidade pelo DNS não está nas mãos de uma única entidade.

No Brasil, o DNSSEC já está disponível para alguns endereços. Sites terminados em “b.br” – que vários bancos possuem – são obrigatoriamente protegidos com DNSSEC e, em tese, à prova de envenenamento. Um criminoso não consegue se disfarçar do servidor NS para plantar o IP falso, porque a conexão não terá a assinatura correta.

Embora adoção do DNSSEC seja lenta, o Brasil é um dos pioneiros. Se o seu banco já possui um endereço terminado em “b.br”, é certamente mais seguro usá-lo do que o endereço “.com”, “.com.br” ou qualquer outro.

Outra medida contra o envenenamento de cache, já em uso, é o conhecido SSL, o “cadeado de segurança”, exibido pelo navegador em sites seguros. Um site redirecionado não poderia apresentar um “cadeado” válido; um erro apareceria na tela. Porém, muitos sites que lidam com informações sigilosas erram ao não utilizar o cadeado na página principal, não permitindo que o internauta verifique se o site é o correto até depois de informações já serem enviadas para o site falso.

Para resolver alguns dos problemas do SSL, existe o EV-SSL (“Extended Validation SSL”) que, entre outras coisas, consegue exibir o nome da organização responsável pelo site.

Vale lembrar que o ataque de envenenamento de cache ocorre no provedor. Ou seja, além observar a presença do cadeado e usar o endereço “b.br”, não existe muito que o usuário possa fazer. Qualquer servidor DNS pode ser eventualmente comprometido ou envenenado.

A coluna de hoje fica por aqui. Na quarta-feira (29) é dia de pacotão de segurança, com resposta a dúvida de leitores. Até lá!
* Altieres Rohr é especialista em segurança de computadores e, nesta coluna, vai responder dúvidas, explicar conceitos e dar dicas e esclarecimentos sobre antivírus, firewalls, crimes virtuais, proteção de dados e outros. Ele criou e edita o Linha Defensiva, site e fórum de segurança que oferece um serviço gratuito de remoção de pragas digitais, entre outras atividades. Na coluna “Segurança para o PC”, o especialista também vai tirar dúvidas deixadas pelos leitores na seção de comentários. Acompanhe também o Twitter da coluna, na página http://twitter.com/g1seguranca.

Fonte: G1/Tecnolgoia

A NotePolice, prestadora de serviços de localização e recuperação de notebooks e computadores roubados, lança o software Notebook Guardian, desenvolvido no Brasil. Com o programa, a máquina roubada pode ser localizada assim que for conectada à internet.

Se o cliente tem o Notebook Guardian e sua máquina é furtada, ele envia uma cópia do Boletim de Ocorrência à empresa NotePolice e, a partir desse momento, ela passa a ser responsável por obter ordem judicial e checar os dados da pessoa e do endereço onde estiver a máquina roubada, que será detectada assim que for conectada à internet.

Para contar com o Notebook Guardian, o cliente paga R$ 90 por ano. O serviço de segurança abrange todo o território nacional e garante o retorno: se a máquina roubada não for recuperada em até 60 dias, o valor pago pelo cliente é devolvido, informa a empresa.

O programa foi desenvolvido em linguagem Delphi Assembly e, de acordo com a fabricante, trabalha de forma invisível. Não pode ser desinstalado nem desativado e nenhum dispositivo físico é instalado na máquina do cliente - que não perde a garantia de fábrica. Caso o cliente troque de máquina, o software poderá ser transferido para o equipamento novo. A solução tem ainda pequeno consumo de memória e instalação rápida e simples.

O usuário recebe uma senha para acompanhar a máquina pelo site da NotePolice e, embora esta possa ser localizada no mundo inteiro, a recuperação é feita apenas no território nacional. A NotePolici oferece, também, um telefone 0800 para suporte técnico e atendimento às dúvidas do cliente.

A empresa anuncia para breve o Desktop Guardian, que vai monitorar o hardware do PC e avisar caso algum componente do desktop seja alterado, e o DataGuardian, para encriptação de dados e backuo online de arquivos pessoais. Mais informações podem ser encontradas no site www.notepolice.com.br.

Fonte: Terra

‘Worm’ se espalhou rapidamente e infectou milhões de PCs.
Empresa promete prêmio para quem ajudar a prender criadores.

O gigante da informática Microsoft ofereceu uma recompensa de US$ 250 mil para encontrar os criadores de um “worm” que ataca os sistemas dos computadores, anunciou a empresa nesta quinta-feira (12).

O desagradável código “Conficker”, ou “Downadup”, espalhou-se rapidamente, infectando milhões de computadores no mundo inteiro e ameaçando se apoderar, ou destruir, seus sistemas.

A Microsoft está trabalhando com especialistas de segurança em informática e com a Internet Corporation for Assigned Names and Number (Icann) para rastrear qualquer “Conficker” que esteja solto.

A empresa prometeu US$ 250 mil por qualquer informação que leve à captura das pessoas que lançaram esse código malicioso na web.

“Esperamos que esses esforços ajudem a controlar a ameaça que o Conficker significa e prender quem lançou esse ‘malware’”, disse o gerente-geral do Grupo Microsoft Trustworthy Computing, George Stathakopoulos.

Fonte: G1/Tecnologia