quinta-feira, 23 de setembro de 2010 por Administrador
Nesse vídeo, Raimund Genes, CTO da Trend Micro, discorre (em
inglês) a respeito da maneira por meio da qual um criminoso
digital pode usar informações de redes sociais, como
LinkedIn e Facebook, para invadir uma rede
corporativa.
Raimond mostra como os criminosos podem, por meio dos endereços
de e-mail disponíveis publicamente em redes sociais, enviar um
e-mail personalizado e direcionado especialmente para a pessoa. O
e-mail contém uma URL maliciosa, que leva para um script de exploit
que, por sua vez, ativa o download de um cavalo de Troia.
Alguns não levam a sério essa possibilidade, argumentando que
"muitas coisas precisam acontecer para que eu seja infectado". Se
você faz parte deste grupo, não está completamente errado. O e-mail
precisa passar antes por filtros de spam e ainda ser convincente o
suficiente para que o alvo clique no link. Caso o alvo clique nele,
os scripts do exploit precisam passar pela detecção do antivírus.
Para tanto, o exploit deve ser zero-day, ou completamente novo,
para ter sucesso total. Caso contrário, o criminoso simplesmente
vai torcer para que o seu alvo ainda não tenha aplicado as
correções mais recentes.
Muitas coisas precisam acontecer ao mesmo tempo para que o
ataque funcione, certo?
Entretanto, um criminoso pode percorrer a rota mais longa, como
a
invasão do Twitter do ano passado (matéria em inglês), quando
um hacker de pseudônimo Hacker Croll conseguiu infiltrar-se na rede
corporativa do Twitter.
Exemplo: Ataque ao
Twitter
Hacker Croll começou montando um perfil de funcionários do
Twitter a partir de informações disponíveis publicamente
que encontrou com mecanismos de busca. Nesse perfil, ele foi capaz
de reunir nomes de funcionários com endereços de e-mail associados,
posições na empresa e pedaços de informações pessoais. Hacker Croll
tentou então acessar a conta do Gmail de um funcionário do
Twitter usando o recurso de recuperação de senha, que
envia a palavra secreta de um usuário para uma conta de e-mail
secundária.
Hacker Croll teve sorte, pois o e-mail secundário do seu alvo
era uma conta inativa do Hotmail. O
Hotmail remove contas desativadas, então Hacker Croll
simplesmente registrou a conta desativada no seu próprio nome.
Depois pediu que o Gmail enviasse a senha recuperada
para a conta de Hotmail que agora era dele - e pronto! Ele
ganhou acesso à caixa de mensagens daquele funcionário do
Twitter.
A partir dali, ele foi capaz de juntar mais informações sobre
outros funcionários do Twitter. Conseguiu acesso a outros
serviços de web que o alvo original assinava (porque o alvo
reutiliza as mesmas senhas na maioria das vezes) e, explorando o
recurso de pergunta secreta utilizado tanto pelo Gmail
quanto por outros serviços de e-mail na web, invadiu as contas de
outros funcionários do Twitter. Como Hacker Croll possuía
um perfil detalhado de seus alvos, responder a uma pergunta secreta
como: "Qual o nome do seu animal de estimação?" foi simples.
No fim das contas, ele conseguiu informações confidenciais da
empresa, contas do iTunes, dados de cartão de crédito e
controle de domínios do Twitter no site GoDaddy.
Tudo isso a partir de dados pessoais disponíveis publicamente.
Revelar informações demais pode ser
perigoso
A moral da história? Leve a sério o nosso CTO quando ele diz:
"Por favor, não revele muitas informações em sites de redes
sociais". E, se me permitir um conselho adicional, por favor, não
use a mesma senha para a maioria das suas contas on-line.
A Trend Micro pode proteger você de malwares, websites e e-mails
maliciosos com a nossa Smart
Protection Network™. Mas não existe defesa que impeça que
hackers se utilizem de informações que você mesmo disponibilizou na
internet.
*Relato detalhado do ataque ao Twitter documentado
por
TechCrunch.
Leia mais em:
http://blog.trendmicro.com/be-careful-what-you-reveal-online/#ixzz106djuLAI