TOP 10 – Os Mais Comuns Ciberataques

Ciberataques são ações ofensivas que alvejam os sistemas de informação dos computadores, a infraestrutura, as redes de computadores ou dispositivos pessoais, usando vários métodos para roubar, alterar ou destruir os dados e os sistemas de informação.

Hoje nós descreveremos os 10 tipos de ciberataques mais comuns:

Nota para revendas, MSPs e integradores: cada um dos ataques abaixo é uma dor que os seus clientes já têm hoje — e uma oportunidade de oferta de segurança gerenciada. No meio e ao final deste artigo, veja como estruturar isso com o portfólio da AIQON.

1 – Denial-of-Service (DoS) e o distributed denial-of-service (DDoS)

Um ataque de Denial-of-Service sobrecarrega os recursos de um sistema para que ele não responda aos serviços solicitados. Um ataque de DDoS também ataca os recursos do sistema, porém é lançado em um maior número de estações que estão infectadas com o software malicioso controlado pelo atacante.

Ao contrário de ataques que são feitos para habilitar que o atacante ganhe ou aumente seu acesso em um ambiente, o Denial-of-Service não oferece benefícios diretos aos atacantes. Para alguns deles, a satisfação de ter o serviço negado é suficiente. Entretanto, se o recurso atacado pertence a um competidor do negócio, então o benefício do atacante pode ser real. Outro propósito do ataque de DoS é deixar um sistema offline para que um ataque diferente seja lançado. Um exemplo comum é usurpar uma sessão, que descreveremos a seguir.

Há diferentes tipos de ciberataques DoS e DDoS; os mais comuns são o ataque TCP SYN flood, o ataque teardrop, o ataque smurf, o ataque de ping da morte e botnets.

Ataque TCP SYN flood

Neste ataque, o atacante explora a utilização do buffer de espaço durante a inicialização de sessão do Protocolo de Controle de Transmissão (TCP). O dispositivo do atacante então lota o sistema alvo com uma fila de pequenos processos que fazem pedidos de conexão, mas não responde quando o sistema alvo dá resposta a esses pedidos. Isso causa “tempo esgotado” no sistema alvo, que trava ou se torna inutilizável quando a fila de conexão é preenchida.

Há algumas contramedidas para um ataque de TCP SYN flood:

• Colocar os servidores atrás de um firewall configurado para barrar os pacotes de entrada SYN.
• Aumentar o tamanho da fila de conexão e diminuir o tempo esgotado das conexões abertas.

Ataque teardrop

Esse ataque faz com que os campos de comprimento e deslocamento de fragmentação em pacotes sequenciais de IP se sobreponham no dispositivo atacado; o sistema atacado tenta reconstruir os pacotes durante o processo, mas acaba falhando. O sistema então fica confuso e trava.

Se os usuários não tiverem patches para se proteger contra esse ataque de DoS, devem desabilitar o SMBv2 e bloquear as portas 139 e 445.

Ataque smurf

Esse ataque envolve a utilização do IP spoofing (falsificação de IP) e do ICMP para saturar a rede alvo com tráfego. Esse método de ataque usa echo requests do ICMP alvejando endereços IP de broadcast. Essas solicitações ao ICMP se originam de um endereço “vítima” falsificado. Por exemplo, se o endereço da vítima é 10.0.0.10, o atacante falsifica um echo request ICMP a partir do endereço 10.0.0.10 para o endereço de broadcast 10.255.255.255. Essa requisição vai para todos os IPs no alcance, com todas as respostas voltando ao 10.0.0.10, congestionando a rede. Esse processo é repetível e pode ser automatizado para gerar grandes quantidades de congestionamento na rede.

Para proteger os seus dispositivos deste ataque, você precisa desabilitar broadcasts de IP direcionados aos roteadores. Isso irá prevenir que o ICMP echo request seja feito a dispositivos de rede. Outra opção é configurar os sistemas finais para que não respondam a pacotes de ICMP vindos de endereços de broadcast.

Ataque de ping da morte

Esse tipo de ataque usa pacotes de IP para realizar o comando de ping em um sistema alvo com um tamanho maior do que o máximo de 64KB. Pacotes de IP desse tamanho não são permitidos, então o atacante fragmenta os pacotes de IP. Uma vez que o sistema remonta os pacotes, ele pode sofrer de sobrecarga no buffer e outros travamentos.

O ping da morte pode ser bloqueado usando um firewall que verifica os pacotes de IP fragmentados quanto ao seu tamanho máximo.

Botnets

Botnets são milhões de sistemas infectados com malware sob o controle do hacker para carregar ataques de DDoS. Esses bots ou sistemas zumbis são usados para atacar o alvo, na maioria das vezes sobrecarregando a largura de banda do sistema e as capacidades de processamento. Esses ciberataques são difíceis de rastrear pois os botnets estão localizados em localidades geográficas distintas.

Botnets podem ser mitigados por:

• Filtro RFC3704, que pode negar qualquer tráfego de um endereço falsificado e ajuda a garantir que o tráfego seja rastreável até a sua rede de origem correta. Por exemplo, o filtro RFC3704 derruba os pacotes da lista de endereços bogon.
• Filtro buraco negro, que derruba o tráfego indesejado antes de entrar em uma rede protegida. Quando um ataque de DDoS é detectado, o host do BGP (Border Gateway Protocol) deve enviar atualizações de roteamento para os roteadores ISP para que eles roteiem o tráfego indo até os servidores vítimas para uma interface null0 no próximo salto.

2 – O ataque Man-in-the-middle (MitM)

Um ataque MitM ocorre quando um hacker se insere entre os meios de comunicação de um cliente e um servidor. Abaixo estão alguns dos tipos mais comuns de ataques MitM:

Usurpar sessão

Neste tipo de ataque MitM, um atacante usurpa a sessão entre um cliente confiável e uma rede de servidor. O computador do atacante substitui os endereços de IP pelos do cliente confiável enquanto o servidor continua a sessão, acreditando que está se conectando com o cliente. Por exemplo, um ataque pode se desenrolar assim:

1. Um cliente se conecta ao servidor.
2. O computador atacante ganha controle do cliente.
3. O computador do atacante desconecta o cliente do servidor.
4. O computador do atacante troca o endereço IP do cliente pelo seu próprio endereço IP e falsifica a sequência de números do cliente.
5. O computador do atacante continua a dialogar com o servidor, que acredita ainda estar se comunicando com o cliente.

Falsificação de IP

A falsificação de IP é usada por um atacante para convencer um sistema de que ele está se comunicando com alguém conhecido e confiável, oferecendo ao atacante acesso a esse sistema. O atacante envia um pacote com o endereço IP de origem de um host conhecido e confiável, em vez do próprio IP, a um host alvo. O host alvo pode aceitar o pacote e agir a partir daí.

Replay

Um ataque de replay ocorre quando um atacante intercepta e salva mensagens antigas e depois tenta reenviá-las, personificando um dos participantes. Esse tipo de ataque pode ser facilmente evitado com marcações de tempo ou um nonce (um número aleatório ou uma string que muda com o tempo).

Atualmente, não há uma única tecnologia ou configuração que previna ataques de MitM. Geralmente a criptografia e os certificados digitais oferecem uma segurança efetiva contra ataques de MitM, garantindo a confidencialidade e a integridade das comunicações; mas um MitM pode ser injetado no meio de comunicações de forma que a criptografia não ajudará.

Por exemplo, o atacante “A” intercepta a chave pública de uma pessoa “P” e a substitui pela sua própria chave pública. Então, qualquer um que envie uma mensagem criptografada para P usando a chave pública de P está, na verdade, usando a chave pública de A sem saber. Logo, A pode ler a mensagem destinada a P e então enviá-la a P com a chave pública dela, sem que P nunca saiba que a mensagem foi comprometida. Além disso, A pode modificar a mensagem antes de enviá-la a P. Como você pode ver, P está usando criptografia e acha que a informação está protegida, mas não está, por causa do ataque MitM.

Então, como ter certeza de que a chave pública de P pertence a P e não a A? Autoridades de certificação e funções de hash foram criadas para resolver esse problema. Quando a pessoa 2 (P2) quiser mandar uma mensagem para P, ela precisa ter certeza de que A não lerá ou modificará a mensagem e de que ela veio de P2, usando o seguinte método:

1. P2 cria uma chave simétrica e a criptografa com a chave pública de P.
2. P2 envia a chave simétrica criptografada para P.
3. P2 computa a função de hash da mensagem e a assina digitalmente.
4. P2 criptografa sua mensagem e o hash da mensagem assinada usando a chave simétrica e envia tudo para P.
5. P recebe a chave simétrica de P2 apenas porque tem a chave privada para descriptografá-la.
6. P e apenas P pode descriptografar a mensagem e o hash assinado, porque só ele tem a chave simétrica.
7. P verifica que a mensagem não foi alterada computando o hash recebido e comparando-o com o assinado digitalmente.
8. P também pode confirmar que foi P2 quem enviou, pois apenas P2 pode assinar o hash que é verificado com a chave pública de P2.

3 – Ataques de phishing e spear phishing

Um ataque de phishing é a prática de enviar e-mails que parecem vir de fontes confiáveis com o objetivo de obter acesso a informações pessoais ou influenciar os usuários a fazer algo. Utiliza-se bastante a engenharia social nesse tipo de ataque. Pode haver um anexo no e-mail que carrega um malware para o seu computador, ou um link para um site ilegítimo que pode te enganar a baixar um malware ou entregar sua informação pessoal.

Spear phishing é um tipo de ataque de phishing bem direcionado. Os atacantes levam bastante tempo pesquisando os alvos e criando mensagens que pareçam pessoais e relevantes. Por isso, o spear phishing pode ser difícil de identificar e de se defender. Uma das formas mais simples de conduzir esse ataque é através de e-mails falsos, em que o campo “De” é falsificado para parecer que a mensagem é de alguém que você conhece, como seu gerente ou colega de empresa. Outra técnica usada pelos golpistas para adicionar credibilidade é a clonagem de website: eles copiam sites legítimos para te enganar a inserir suas informações pessoais ou credenciais de login.

Para reduzir o risco de sofrer com phishing:

• Pensamento crítico – não aceite um e-mail como verdadeiro apenas por estar ocupado, estressado ou com mais de 150 mensagens não lidas na caixa de entrada. Pare um minuto e analise o e-mail.
• Passe o mouse por cima dos links – sem clicar, apenas para ver até onde o link leva. Use pensamento crítico para decifrar a URL.
• Analise os cabeçalhos dos e-mails – o cabeçalho define como o e-mail chegou até você. Os parâmetros “Responder” e “Retornar caminho” devem levar ao mesmo domínio listado no e-mail.
• Ambiente de testes – teste o conteúdo do e-mail em um ambiente controlado, registrando logs de atividade desde a abertura de um anexo até o clique em links.

4 – Ataques de Drive-by

Ataques de download drive-by são um método comum de espalhar malware. Os hackers procuram sites inseguros e plantam um script malicioso no código HTTP ou PHP de uma das páginas. Esse script pode instalar um malware diretamente no computador de quem visita o site, ou redirecionar a vítima a um site controlado por hackers. Downloads drive-by podem acontecer ao visitar um website, abrir uma mensagem de e-mail ou em uma janela de pop-up. Ao contrário de outros ciberataques, um drive-by não exige nenhuma ação do usuário para se concretizar — você não precisa clicar em um botão de download ou abrir um anexo malicioso para ser infectado. Um download drive-by pode tirar proveito de um aplicativo, sistema operacional ou navegador com falhas de segurança por falta de atualização.

Para se proteger, mantenha navegadores e sistemas operacionais atualizados e evite sites que possam conter código malicioso. Continue usando os sites que você normalmente utiliza, mas tenha em mente que até eles podem ser hackeados. Evite programas desnecessários no seu dispositivo — quanto mais plug-ins você tiver, mais vulnerabilidades podem ser exploradas por ataques drive-by.

Relacionado: 6 Razões do Porquê o Gerenciamento de Patches está te Dando Dores de Cabeça

5 – Ataques de senha

Como as senhas são o mecanismo mais comum de autenticação de usuários em um sistema de informação, obter senhas é uma forma de ataque comum e efetiva. O acesso à senha de uma pessoa pode ser obtido olhando a mesa dela, fazendo “sniffing” na rede para captar senhas não criptografadas, usando engenharia social, acessando o banco de dados de senhas ou até adivinhando. Essa última forma pode ser feita manualmente ou de forma sistemática:

• Adivinhação por força bruta – tentativa de senhas diferentes de forma aleatória ou seguindo alguma lógica relacionada ao nome da pessoa, cargo, hobbies ou algo similar.
• Ataque de dicionário – usa um dicionário de senhas comuns para tentar acessar o computador e a rede de um usuário. Um dos métodos envolve copiar um arquivo criptografado contendo a senha, aplicar a mesma criptografia a uma das senhas comuns do dicionário e comparar o resultado.

Para se proteger desses ciberataques, implemente uma política de bloqueio de conta que bloqueia o acesso após algumas tentativas de senha inválida.

6 – Ataque de injeção SQL

A injeção de SQL se tornou um problema comum em sites movidos a banco de dados. Ocorre quando um malfeitor executa uma consulta SQL no banco de dados através dos dados de entrada enviados pelo cliente ao servidor. Comandos SQL são inseridos na entrada do plano de dados (por exemplo, no lugar de um login ou senha) para executar comandos predefinidos no SQL. Uma injeção de SQL bem-sucedida pode causar uma vulnerabilidade capaz de ler dados sensíveis do banco de dados, modificá-lo (inserir, atualizar ou deletar), executar operações administrativas (como desligamento) no banco de dados, recuperar o conteúdo de um determinado arquivo e, em alguns casos, enviar comandos ao sistema operacional.

Por exemplo, um formulário web em um site pode requisitar o nome da conta do usuário e enviá-lo ao banco de dados para puxar a informação associada, usando SQL dinâmico desta forma:

“SELECT * FROM users WHERE account = ‘” + userProvidedAccountNumber + “‘;”

Isso funciona para usuários que informam corretamente o número de suas contas, mas deixa uma brecha para ataques. Por exemplo, se alguém enviar um número de conta ‘ or ‘1’ = ‘1’, o resultado seria a seguinte string de consulta:

“SELECT * FROM users WHERE account = ” or ‘1’ = ‘1’;”

Como ‘1’=’1′ sempre resulta em TRUE, o banco de dados retorna os dados de todos os usuários, em vez de apenas um único usuário.

Esse tipo de vulnerabilidade depende do fato de que o SQL não faz distinção entre os planos de controle e de dados. Logo, injeções de SQL funcionam quando um site usa SQL dinâmico. Além disso, a injeção de SQL é bem comum em aplicações PHP e ASP pela prevalência de interfaces funcionais antigas. Aplicações J2EE e ASP.NET são menos propensas a serem exploradas dessa forma, pela natureza das suas interfaces programáticas.

Para se proteger, aplique o modelo de privilégio mínimo (least privilege) nos seus bancos de dados. Use procedimentos armazenados (sem SQL dinâmico) e declarações preparadas (consultas parametrizadas). O código executado contra o banco de dados deve ser robusto o suficiente para prevenir injeções. Além disso, valide os dados de entrada contra uma lista de permissão no nível da aplicação.

7 – Ataque de Cross-Site Scripting (XSS)

Ataques de XSS usam recursos web de terceiros para executar scripts no navegador ou na aplicação da vítima. Especificamente, o atacante injeta uma carga com JavaScript malicioso no banco de dados de um site. Quando a vítima requisita uma página do site, o site transmite a página com a carga do atacante como parte do corpo HTML para o navegador da vítima, que executa o script malicioso. Ele pode, por exemplo, enviar o cookie da vítima para o servidor do atacante, que pode extraí-lo e usá-lo para usurpar a sessão. As consequências mais perigosas ocorrem quando o XSS é usado para explorar vulnerabilidades adicionais, permitindo ao atacante roubar não apenas cookies, mas também chaves de logs, capturar a tela, coletar informações da rede e acessar e controlar remotamente a máquina da vítima.

Embora o XSS possa tirar proveito de VBScript, ActiveX e Flash, o mais abusado é o JavaScript, principalmente por ser amplamente suportado na web.

Para se defender contra ciberataques de XSS, os desenvolvedores podem higienizar os dados de entrada do usuário em uma requisição HTTP antes de refleti-los de volta. Certifique-se de que todos os dados sejam validados, filtrados ou escapados antes de retornar uma resposta ao usuário, como os valores dos parâmetros de consulta durante pesquisas. Converta caracteres especiais como ?, &, /, <, > e espaços em seus equivalentes codificados de HTML ou URL. Ofereça a opção de desabilitar scripts do lado do cliente.

Conteúdo relacionado: OWASP – Qual a Importância em Aplicações Web?

8 – Ataque de espionagem

Ciberataques de espionagem ocorrem através da interceptação do tráfego de rede. Por espionagem, um atacante pode obter senhas, números de cartão de crédito e outras informações confidenciais que um usuário esteja transmitindo pela rede. A espionagem pode ser passiva ou ativa:

• Espionagem passiva – o hacker capta informações apenas ouvindo a transmissão de mensagens na rede.
• Espionagem ativa – o hacker captura ativamente informações se disfarçando como uma unidade confiável e enviando consultas aos transmissores. Isso é chamado de sondagem, digitalização ou adulteração.

Detectar ciberataques de espionagem passiva é mais importante do que detectar os ativos, já que os ativos costumam exigir que o atacante primeiro conduza espionagem passiva para se passar por uma unidade confiável.

A tokenização de dados é uma das melhores formas de prevenção contra espionagem.

9 – Ataque de aniversário

Ciberataques de aniversário são feitos contra algoritmos de hash usados para verificar a integridade de mensagens, softwares ou assinaturas digitais. A mensagem processada por uma função de hash produz um digesto de mensagem (MD) de largura fixa, independente do tamanho da mensagem de entrada; esse MD único caracteriza a mensagem. O ataque de aniversário se refere à probabilidade de encontrar duas mensagens aleatórias que geram o mesmo MD quando processadas pela função de hash. Se um atacante calcular o mesmo MD para sua mensagem que o usuário tem, ele pode substituir com segurança a mensagem do usuário pela sua, e o destinatário não conseguirá detectar a substituição mesmo comparando os MDs.

10 – Ciberataques de Malware

Softwares maliciosos podem ser definidos como softwares indesejados instalados no seu sistema sem o seu consentimento. Podem se anexar a um código legítimo e se propagar, ou se esconder em aplicações úteis e se replicar pela internet. Veja alguns dos tipos mais comuns de malware:

• Vírus de macro – infectam aplicações como Word e Excel, anexando-se à sequência de inicialização da aplicação. Quando a aplicação é aberta, o vírus executa instruções para transferir o controle da aplicação, se replicar e se anexar a outro código no sistema.
• Infectador de arquivos – se anexa a código executável, como arquivos .exe, sendo instalado quando o código é carregado. Outra variante é um arquivo com o mesmo nome de um vírus, mas com extensão .exe — ao abrir o arquivo, o código do vírus é executado.
• Infectadores de sistema ou registro de inicialização – se anexam ao registro de inicialização mestre dos discos rígidos. Quando o sistema é iniciado, o setor de inicialização carrega o vírus na memória, de onde ele se propaga a outros discos e computadores.
• Vírus polimórficos – se escondem através de ciclos de criptografia e descriptografia. O vírus criptografado e um motor de mutação associado são inicialmente descriptografados por um programa de descriptografia, o vírus infecta a área de código, e o motor de mutação desenvolve uma nova rotina de descriptografia e copia o vírus com um algoritmo correspondente. O pacote criptografado é difícil de detectar por seu alto nível de entropia devido às várias modificações no código-fonte.
• Vírus invisíveis (stealth) – tomam conta de funções do sistema para se esconder, comprometendo o software de detecção de malware para que ele reporte uma área infectada como segura, escondendo aumentos no tamanho de arquivos infectados ou alterações de data/hora da última modificação.
• Trojans – um trojan (cavalo de troia) se esconde em um programa útil e normalmente tem funções maliciosas. Diferente dos vírus, não se replica. Além de lançar um ataque, pode estabelecer um backdoor explorável por atacantes, como abrir portas para uso posterior.
• Bombas lógicas – softwares maliciosos anexados a uma aplicação e ativados por uma ocorrência específica, como uma condição lógica ou uma data e hora determinada.
• Worms – diferentes dos vírus por não se anexarem a um arquivo alvo, mas serem programas próprios que se propagam por redes e computadores, frequentemente através de anexos de e-mail. Um worm típico envia uma cópia de si mesmo para cada contato do endereço de e-mail infectado. Além de atividades maliciosas diretas, um worm que sobrecarrega servidores de e-mail ao se espalhar pode causar ciberataques de DoS contra esses nós de rede.
• Droppers – programas usados para instalar vírus no computador. Em muitos casos o dropper em si não contém código malicioso e não é detectado por antivírus. Pode se conectar à internet para atualizar os softwares maliciosos residentes em sistemas comprometidos.
• Ransomware – tipo de malware que bloqueia o acesso aos dados da vítima e ameaça publicá-los ou apagá-los até que um resgate seja pago. Enquanto ransomwares simples podem bloquear o sistema de forma reversível por alguém com conhecimento técnico, variantes mais avançadas usam extorsão criptoviral, criptografando os arquivos da vítima de forma praticamente impossível de reverter sem a chave de descriptografia.
  Conteúdo relacionado: Ransomware no Brasil: Como proteger sua PME de ataques
• Adware – software usado por empresas para fins de marketing, exibindo banners de anúncios enquanto o programa é executado. Pode ser baixado automaticamente ao navegar em sites e aparecer em janelas pop-up ou barras que surgem automaticamente no computador.
• Spyware – programa instalado para coletar informações sobre usuários, seus computadores e hábitos de navegação, rastreando tudo sem consentimento e enviando os dados a um usuário remoto. Também pode baixar e instalar outros programas maliciosos sem o conhecimento do usuário, geralmente embutido em outra instalação de freeware.

Conclusão

Montar uma boa defesa requer entender a ofensiva. Este artigo revisou as 10 formas mais comuns de ciberataques que hackers usam para perturbar e comprometer sistemas de informação. Como você viu, os atacantes têm muitas opções — DDoS, infecção por malware, força bruta, entre outras — para tentar obter acesso não autorizado à sua infraestrutura crítica e dados sensíveis.

As medidas para mitigar essas ameaças variam, mas o básico da segurança se mantém: mantenha seus sistemas e bases de assinaturas de vírus atualizados, treine seus funcionários, configure o firewall para permitir apenas as portas e hosts específicos que você precisa, mantenha senhas fortes e use o modelo de privilégio mínimo no seu ambiente de TI, faça backups regulares e audite continuamente seus sistemas de TI em busca de atividade suspeita.

Para revendas, MSPs e integradores, esses 10 pontos são também um roteiro de vendas: cada um mapeia direto para uma categoria de produto que dá pra empacotar em serviço gerenciado — DDoS e WAF, EDR/patch management, PAM e senha, tokenização de dados, backup imutável, entre outros.