Vírus de internet banking que explora celulares rouba US$ 47 milhões

_________________________________________________________________

Eurograbber engana usuários para que baixem o vírus bancário Zeus. O scam também consegue contornar a barreira de segurança dos números de autorização de transações

_________________________________________________________________

Durante o ano passado, cerca de 30 mil clientes de bancos europeus foram roubados em um total de cerca de 36 milhões de euros - quase 47 milhões de dólares - por conta de um scam de internet banking que atua explorando dispositivos móveis, de acordo com informações de uma empresa de segurança que investigou a operação.

Scam é golpe em que a vítima recebe um e-mail que parece ser de uma empresa verídica, mas é falso e redireciona a vítima a um site malicioso. O scam foi nomeado de "Eurograbber" pelas empresas de segurança Check Point Software Technologies e pela Versafe, que disse que descobriram sobre a operação por meio de instituições financeiras depois que seus clientes de serviços bancários online foram atingidos.

O Eurograbber tipicamente engana as vítimas para que elas realizem o download de uma variante personalizada do Zeus. O vírus, então, assume o controle de seus computadores e intercepta as sessões bancárias online.

O usuário pode ser vítima do Eurograbber enquanto navega na Internet ou pelo recebimento de e-mail phishing (e-mails falsos que redirecionam usuários a sites comprometidos) afirma o diretor de produtos IPS da Check Point, que ajudou a investigar o Cavalo de Troia.

"É basicamente um ataque man-in-the-middle contra um site bancário", disse Burkey, acrescentando que acredita-se que o scam seja parte de uma operação criminosa da Ucrânia - país onde está localizado o servidor de comando e controle do vírus, interceptado por uma organização europeia de aplicação da lei, com a cooperação do provedor.

Um ataque "man-in-the-middle" (MitM) é aquele em que um intermediário intercepta a comunicação entre dois sistemas, como entre um PC e usuário.

O Eurograbber foi identificado pela primeira vez na Itália, depois se espalhou para a Alemanha, Holanda e Espanha, e atacou ambas as contas comerciais e individuais de 30 bancos, de acordo com a Check Point e a Versafe.

O Cavalo de Troia pode transferir ilegalmente fundos de contas bancárias de clientes em valores que variam de 500 a 250 mil euros. E embora tenha havido diversas fraudes bancárias nos últimos anos, o Eurograbber atingiu as empresas de forma que superou as medidas de segurança dos bancos baseadas no envio do chamado "número de autenticação da transação" (TAN) via SMS para o dispositivo móvel do cliente.

O TAN é uma medida de segurança via SMS que tem por objetivo permitir ao cliente do banco verificar a transação bancária online que ele, de fato, autorizou - mas o Eurograbber comprometeu isso também.

Durante a primeira sessão depois de ter o computador infectado, o malware injeta instruções na sessão do usuário que solicita ao cliente que ele digite o seu número de telefone. Depois disso, a vítima é convidada a realizar uma atualização falsa de software de segurança bancário e, para isso, ela deve seguir as instruções enviadas via SMS ao telefone.

Essas instruções dadas pelo cibercriminoso dizem à vítima para clicar em um link para que complete o upgrade em seus dispositivos móveis. No entanto, "clicando no link a vítima realiza o download da variante do Zeus para dispositivos móveis (ZitMo)", diz o relatório feito pela Versafe. "O ZitMo foi desenvolvido especificamente para interceptar SMS bancários que contêm o número de autorização da transação".

Esse número é o elemento-chave do processo de autenticação de dois fatores em uma transação feita por Internet banking e uma vez que o Eurograbber intercepta esse número no dispositivo móvel da vítima, ele trabalha em plano de fundo para completar a transação realizada pela organização criminosa, que silenciosamente transfere o dinheiro da conta bancária da vítima para onde os criminosos quiserem.

Burkey disse que o Eurograbber foi identificado em dispositivos móveis Android, BlackBerry e Symbian, bem como em iPhones desbloqueados, nos quais os controles de segurança da Apple foram desativados. Parece que o Eurograbber ainda não foi usado em ataques fora da Europa, mas "não há razão que o impediria de atuar por aqui", disse Burkey.

FONTE: IDGnow

Windows 8 está vulnerável às principais ameaças de malware

Lançado em 26 de outubro, o Windows 8 está sujeito à infecção por cerca de 15% dos 100 grupos de malware mais utilizados em crimes cibernéticos este ano, mesmo com o Windows Defender ativado. A revelação foi resultado de testes realizados pela BitDefender.

Durante os testes, o Windows 8, com o Windows Defender funcionando, foi infectado por 61 amostras do total de 385 ameaças de malware mais populares.

Outras ameaças passaram despercebidas pelo Windows Defender, porém foram bloqueadas no momento da instalação. Outras conseguiram instalar-se no ambiente operacional, mas foram bloqueadas pelo Controle de Conta do Usuário (em inglês, User Account Control ou apenas UAC), de forma que nenhum payload (carga de transmissão de dados) foi acionado.

"Como forma de proteger o computador contra vírus, roubo de dados e outros tipos de malware, o Windows Defender é melhor do que nada", afirmou a estrategista chefe em segurança da BitDefender, Catalin Cosoi. "Mas não é tão eficaz assim. Alguns antivírus populares podem ser melhores. A conclusão é simples: usar seu PC sem uma solução de segurança é extremamente perigoso", concluiu ela.

Segundo Eduardo D'Antona, parceiro da BitDefender no Brasil, é fundamental que o usuário não abra mão de proteções específicas e com dinâmicas de atualização automática para novas ameaças que surgem a cada dia. "As ferramentas de proteção necessitam estar sintonizadas com as movimentações do mundo hacker e com os esforços conjugados da comunidade global de segurança”, afirmou.

O conjunto de amostras maliciosas representa as famílias de malware detectadas com maior frequência ao longo dos últimos seis meses, segundo o relatório BitDefender Real-Time Virus Reporting System. Um malware que passou pelo Windows Defender, com sucesso, foi capaz de acessar o backdoor do sistema, interceptou senhas digitadas, chegou a roubar credenciais de jogos online e mais.

Testes realizados sem que o Windows Defender estivesse ativado deram resultados ainda piores. Das 385 amostras, 234 foram executadas com sucesso. Outras 138 amostras não puderam ser iniciadas na máquina por diversos motivos, seis ameaças online foram executadas, porém falharam e outras sete foram instaladas, mas seu conteúdo foi bloqueado pelo UAC.

"Mesmo que o novo sistema operacional possua uma grande reformulação em termos visuais, com a introdução da interface avançada para o usuário, o Windows 8, com a solução de antivírus ativada, registra índices alarmantes de taxa de detecção, comparada às registradas pelo Windows 7", comenta o pesquisador chefe em segurança da BitDefender, Alexandru Balan.

FBI alerta sobre vírus que vai "desconectar" 300 mil computadores no dia 9 de julho; faça o teste

Site avisa se o seu computador está infectado pelo DNS Changer

Milhares de computadores vão ficar sem internet na próxima semana por causa de uma manobra do FBI para acabar com o malware DNS Changer. A polícia federal norte-americana avisou por meio de um comunicado oficial que vai desconectar todos os computadores infectados com o vírus na segunda-feira (9). O FBI estima que 360 mil PCs serão atingidos no mundo todo.

A manobra é a última parte de uma operação contra esse tipo de malware. Quando o DNS Changer começou a infectar os computadores no final de 2011, o FBI criou uma rede de segurança para proteger os usuários atingidos. Essa rede será desativada na próxima segunda-feira ao meio-dia (13 horas no horário de Brasília). Isso fará com que os PCs infectados saiam do ar.

O que é o DNS Changer

De acordo com o FBI, o DNS Changer é um tipo de malware que “controla” o computador dos usuários. Ou seja, as máquinas infectadas pelo vírus podem ser comandadas de forma remota por outras pessoas. Com isso, os hackers podem organizar ataques usando esses PCs ou realizar operações fraudulentas.

Páginas como o Google e o Facebook estão repassando alertas para usuários que podem estar com os computadores infectados pelo DNS Changer. A orientação é de que os usuários resolvam o problema antes da segunda-feira sob pena de ficarem sem conexão da internet.

É possível verificar se o seu computador está infectado fazendo um teste no site

http://www.dns-ok.us/.

Ao acessar a página, um banner vai informar se a sua rede está infectada.

O relatório do FBI sobre o vírus pode ser visto neste link.

Armadilha: programa de ataque dos Anonymous foi modificado para instalar vírus

Download de ferramenta traz malware Zeus que rouba dados de acesso a bancos online, contas de e-mail e até cookies 

Você apoia o grupo Anonymous? Então fique atento, pois, de acordo com um relatório da Symantec, golpistas têm se utilizado das ações do grupo para enganar e contaminar usuários defensores dos ciberativistas. A fraude começou em 20 de janeiro deste ano, um dia depois que o FBI prendeu os fundadores e fechou o Megaupload.

Milhares de hacktivistas que querem participar dos DDos (ataques de negação de serviço) contra sites estão sendo enganados e acabam instalando clientes da botnet (rede de micros zumbis) Zeus em seus computadores. Os usuários baixaram um programa chamado Slowloris, criado para atacar páginas com diversas requisições de acesso, o que acaba as tirando do ar.

O problema é que o download trazia também uma variante do malware Zeus que, além de realizar os ataques DDoS, rouba dados de acesso a bancos online, contas de e-mail e até mesmo cookies - os arquivos que gravam todo o seu histórico de navegação na web.

Como funciona o golpe

Os criadores de malware trocaram o template de um guia dos Anonymous para ataques DDoS, modificaram-no para incluir um link para a versão alterada do Slowloris e, por fim, republicaram a mensagem no serviço Pastebin, muito usado pelos hacktivistas.

O Anonymous é, normalmente, inimigo de empresas de segurança, como a Symantec, por exemplo. No entanto, contas de Twitter mantidas por membros do coletivo apoiaram o aviso desta vez para alertar os usuários. Um desses perfis, o AnonymousIRC, escreveu que "os apoiadores do Anonymous foram enganados a instalar o Trojan Zeus. Isso não deve acontecer. Cuidado com o que você posta e clica!".

Hackers brasileiros aumentam ataque a internautas portugueses

Os cibercriminosos brasileiros não se contentam mais em agir no território nacional. Um alerta emitido pela Kaspersky Lab, laboratório da fabricante de softwares de segurança, informa sobre o aumento de malware produzido por brasileiros que circula em Portugal. O principal alvo são os clientes bancários.

Kaspersky (Foto: Reprodução)

De acordo com a empresa, cerca de 30% dos portugueses são adeptos do chamado Internet banking, uso da internet para realizar operações bancárias. São 2,2 milhões de alvos em potencial para os hackers brasileiros que, desde janeiro, ampliam os ataques a esses usuários.

A Kaspersky usa o codinome 'Trojan.Win32.Cossta' para identificar ameaças virtuais criadas por brasileiros e que circulam majoritariamente em outros países. Também tem a variação do cavalo de troia 'Trojan.Win32.Cossta.raf', cujo crescimento em número de usuários infectados vem crescendo a partir de 6 de janeiro. Até mesmo internautas de Angola sofrem com as ameaças criadas pelos brasileiros.

Engenharia social é a principal forma de tentar os ataques. Mensagens falsas atribuídas a bancos pedem que os usuários informem suas credenciais bancárias, como conta e senha. A partir daí o cibercriminoso tem acesso aos dados e pode usa-los para realizar movimentações.

Os hackers brasileiros também usam mensagens falsas da Polícia de Segurança Pública informando sobre um suposto procedimento de investigação – que não existe. Ao clicar no link presente na mensagem o usuário baixa um arquivo que fica pronto para roubar dados relacionados a quatro grandes bancos portugueses.

Para essas situações a recomendação é que o usuário sempre desconfie de mensagens que ele recebeu sem solicitar o envio. Na dúvida não clique na mensagem, muito menos nos links dentro dela.

Fonte: Thássius Veloso - Do Tecnoblog

Vulnerabilidade em impressoras a laser permite invasão de hackers

Pesquisadores da Universidade de Columbia descobriram o erro.
HP confirmou a existência da falha, mas negou risco de incêndio.

Se você tem alguma dúvida sobre segurança da informação (antivírus, invasões, cibercrime, roubo de dados, etc), vá até o fim da reportagem e utilize a seção de comentários. A coluna responde perguntas deixadas por leitores todas as quartas-feiras.

A Hewlett-Packard (HP) confirmou a existência de uma “vulnerabilidade em potencial” em várias de suas impressoras LaserJet, especialmente modelos empresariais, que permitiria a instalação de um novo software na impressora para substituir o original. Os pesquisadores Salvatore Stolfo e Ang Cui conseguiram superaquecer uma impressora até tornar o papel marrom e sair fumaça, fazendo com que o disjuntor térmico entrasse em ação e desligasse a impressora.

Apesar do dano ao equipamento, a HP negou, porém, a possibilidade de incêndio. Segundo a empresa, todas as impressoras são equipadas com disjuntores térmicos para impedir que um superaquecimento do aparelho resulte em incêndios.

Os pesquisadores também conseguiram substituir o software da impressora para realizar outras funções. Em um experimento, eles fizeram com que o material impresso fosse enviado para um e-mail, que foi automaticamente processado por um software que procura por números de segurança social (SSN, usado de forma semelhante ao CPF brasileiro) e automaticamente publica a informação em uma conta no Twitter.

Pelo menos 42 modelos de impressoras laser da HP estão confirmadas como vulneráveis. De acordo com a fabricante, apenas modelos fabricados antes de 2009 têm a falha. Modelos mais novos exigem que as atualizações tenham uma assinatura digital antes de serem instaladas.

Nos modelos vulneráveis, a instalação do novo software pode ser feita até pela internet, já que os modelos empresariais analisados têm conectividade com a rede. Os pesquisadores disseram ter encontrado 40 mil impressoras que poderiam ser infectadas conectadas diretamente à internet, sem a presença de um firewall para bloquear um acesso indevido.

Outra maneira de comprometer uma impressora é “imprimindo” um documento especial que na verdade contém uma atualização para o software do equipamento. Para isso, basta enviar um trabalho de impressão a partir de um computador com Linux ou com Mac OS X, segundo os pesquisadores.

A HP já divulgou uma lista de impressoras consideradas vulneráveis e está buscando uma solução para o problema. Os pesquisadores acreditam, porém, que a falha pode estar presente em outras marcas de impressoras. Até o momento, nenhuma outra marca além da HP foi pesquisada.

Firmwares e 'dispositivos inteligentes'
Quando dispositivos começam a ficar “inteligentes” demais, com muitos recursos, vírus e códigos maliciosos podem se aproveitar disso. Em 2007, um vírus experimental para calculadoras da Texas Instruments fazia a tela do dispositivo simplesmente mostrar a mensagem “t89.gaara”. Em 2009, o vírus Psybot foi criado para infectar modems ADSL.

No caso das impressoras vulneráveis, o problema existe porque elas utilizam um “sistema embarcado” (embedded system) – um software feito especificamente para executar as tarefas que a impressora necessita para seu funcionamento. Esse sistema é instalado na forma de um “firmware”.

Firmwares novos são às vezes fornecidos pelo próprio fabricante, mas esse não é um fato muito conhecido. Placas e gravadores e leitores de CDs e DVDs para PCs também usam um firmware, por exemplo, mas raramente são atualizados, a não ser que exista um problema específico. A atualização de um firmware é arriscada: se ocorrer um problema durante a atualização, o equipamento pode ser inutilizado – uma consequência conhecida pelo termo “brick”, palavra em inglês que significa “tijolo”. É uma referência: após o brick, seu dispositivo é tão útil quanto um tijolo.

Na opinião dos pesquisadores da Universidade de Columbia, essa é uma situação complicada para as impressoras vulneráveis. Já que a atualização não é rotineira e pode causar problemas, muitos administradores de sistema não a realizam; com isso, muitos equipamentos ficariam vulneráveis no caso do simples lançamento de uma atualização. Por outro lado, uma impressora que já teve um firmware malicioso instalado não pode ser reprogramada: o firmware malicioso irá simplesmente exibir uma mensagem de sucesso na instalação sem, de fato, instalá-la.

“Uma vez que você entrou no firmware, você está lá para sempre. É por isso que esse problema é tão sério e tão diferente. Não é como retirar um vírus de um PC”, afirmou o pesquisador Cui ao Red Tape da MSNBC.

Quem mais está acostumado a atualizar firmwares hoje em dia são os donos de consoles de videogame, como o Xbox 360, Playstation 3 e o Playstation Portable (PSP). Os firmwares podem ser baixados da internet e são incluídos em jogos novos, que necessitam da atualização para funcionar. É uma medida antipirataria. Ao contrário das impressoras HP vulneráveis – algumas delas custando mais de US$ 7 mil –, até mesmo o portátil PSP, lançado em 2004 e hoje encontrado por R$ 600, exige assinatura digital nas atualizações.

*Altieres Rohr é especialista em segurança de computadores e, nesta coluna, vai responder dúvidas, explicar conceitos e dar dicas e esclarecimentos sobre antivírus, firewalls, crimes virtuais, proteção de dados e outros. Ele criou e edita o Linha Defensiva, site e fórum de segurança que oferece um serviço gratuito de remoção de pragas digitais, entre outras atividades. Na coluna “Segurança digital”, o especialista também vai tirar dúvidas deixadas pelos leitores na seção de comentários.