Blog da OpenCS

Existe um verdadeiro exército de agentes mal intencionados aguardando para dar um golpe nos distraídos.

Nesta quarta e última parte desta série de artigos, falaremos com mais detalhes das diversas modalidades de ataques que não necessitam modificar o terminal do usuário para que seja concretizado.

• Envenenamento de DNS: Este ataque consiste em “envenenar” servidores de DNS de grandes provedores com entradas falsas (Wikipedia, 2010), fazendo com que estes resolvam os nomes para endereços de IP falsos de forma que a dificuldade deste ataque está em vencer as medidas defensivas implementadas pelos grandes provedores de rede sobre sua infraestrutura.
  Realizar o envenenamento dos servidores de DNS de uma provedor de serviços pode ser uma tarefa bastante complexa e de difícil realização por parte de qualquer fraudador, no entanto, uma vez realizado o ataque, será muito difícil até mesmo para usuários experientes detectar que algo está errado.
  Como o problema afeta a infraestrutura de rede na qual o terminal está conectado é muito improvável que os antivírus ou antitrojans (não direcionados a proteção do site atacado), sejam capazes de detectar o problema.

• Hotspots maliciosos: Este tipo de ataque consiste em montar um hotspot para oferecer conexões de internet  “gratuíta” às possíveis vítimas. Uma vez que o atacante possui controle sobre os gateways e sobre os servidores de DNS, todas as configurações de rede para os terminais por DHCP e todos os demais recursos de infraestrutura, fica bastante simples executar ataques de redirecionamento, não havendo necessidade de infecção do terminal ou de qualquer infraestrutura considerada pública. Basta convencer a vitima a utilizar o hotspot.
  Com a popularização dos hotspots comerciais e domésticos, torna-se fácil convencer os desavisados a utilizar esta infraestrutura . A implementação deste ataque é bastante simples, bastando encontrar um local com vitimas em potencial, preparar um roteador wireless com acesso livre e ter um servidor para instalar os servidores de DNS e um roteador.

É importante frisar que mesmo os mais sofisticados mecanismos de proteção como certificação digital, biometria, teclados virtuais, cartelas de senhas, entre outros métodos podem não ser não são suficientes para proteger os usuários contra os ataques de spoofing, pois os mecanismos de ataque podem contornar os mecanismos de proteção existentes.

O Combate aos ataques de spoofing exige um conjunto de medidas de proteção diferentes que precisam atuar em conjunto, alertando usuários e instituições atacadas bem como as autoridades competentes. As soluções precisar rodar em diversos tipos de navegadores e sistemas operacionais, necessitando ser constantemente atualizadas para comportar os novos tipos de ataque que surgem diariamente.

É isso. Espero que tenham gostado.

Nesta terceira parte desta série de artigos, falaremos com mais detalhes sobre as diversas modalidades de ataques que modificam o terminal do usuário para que seja concretizado.

• Configuração de um Proxy hostil: consiste em convencer o usuário a executar algum software que modifique as configurações de Proxy do navegador WEB. Uma vez que o sistema esteja infectado, todo o tráfego de rede ou parte dele pode ser desviado para o Proxy controlado pelo atacante, permitindo a execução do ataque.
  O uso de um Proxy para acessar a internet constitui uma atividade perfeitamente legítima, tornando a detecção bastante difícil sem que os endereços sejam conhecidos ou existam mecanismos especiais para testar a legitimidade da conexão. A não ser em casos de erro do Proxy, lentidão ou uma verificação ocasional do usuário nas configurações de rede, este ataque é muito difícil de ser detectado.

• Modificação do arquivo de configuração de nomes local: consiste em convencer o usuário a executar um software que modifique comportamento do sistema de resolução de nomes local do terminal. No Windows este ataque é realizado sobre o arquivo HOSTS. Uma vez que o sistema esteja infectado, nomes legítimos podem ser redirecionados para sites hostis controlados pelo atacante.
  A adição de entradas no arquivo HOSTS é uma atividade não usual, porém perfeitamente legítima, tornando a detecção bastante difícil sem que os endereços afetados sejam conhecidos ou existam mecanismos especiais para testar a legitimidade da conexão. Softwares de detecção como antivírus e anti-spyware são capazes de detectar alterações no arquivo de hosts, mas se o usuário aceitar as alterações como legítimas.

• Modificação da configuração de resolução de nomes remota: consiste em modificar as configurações do servidor de DNS, apontando-o para um servidor hostil. Esta mudança pode ser feita por meio de um software especializado ou convencendo o usuário a fazer a modificação manualmente. Uma vez que o sistema esteja infectado, nomes legítimos podem ser redirecionados para sites hostis controlados pelo atacante.
  Como a modificação das configurações de DNS de uma conexão é considerada uma atividade legítima, a detecção torna-se bastante difícil sem que os endereços afetados sejam conhecidos ou existam mecanismos especiais para testar a legitimidade da conexão. A não ser que o usuário desconfie da aparência e comportamento do destino final, é improvável que mesmo usuários experientes sejam capazes de detectar o ataque.

• Modificar a configuração de roteamento de pacotes: consiste em convencer o usuário a executar um software que modifique as configurações de roteamento de pacotes do terminal. Uma vez que o sistema esteja infectado, IP legítimos podem ser redirecionados para sites hostis controlados pelo atacante.
  A maior dificuldade para este tipo de ataque é que este necessita de acesso administrativo ao terminal. Nas versões mais novas do padrão os usuários no ambiente Windows não são mais administradores de sistema, dificultando um pouco este tipo de ataque.
  A modificação das configurações de roteamento de uma conexão é considerada uma atividade legítima, tornando a detecção bastante difícil sem que existam outros mecanismos especiais para testar a legitimidade dos sites comprometidos de forma que, se o usuário não desconfiar da aparência e comportamento do destino final que o ataque seja detectado.

• Contaminação por softwares maliciosos ativos: estes ataques consistem em convencer o usuário a executar algum software hostil que modifique o comportamento do terminal, realizando redirecionamentos variados. Diferentemente dos ataques anteriores, em que o software malicioso executa uma operação e é desativado, neste tipo de ataque ele precisa continuar ativo para promover o ataque.
  O desenvolvimento de programas capazes de executar estes tipos de ataque não é muito trivial e demanda profundos conhecimentos do sistema, dependendo da complexidade do ataque.
  Atualmente é o tipo mais comum de ataque, mas seu uso tem sido substituído pelos ataques descritos anteriormente, devido à sofisticação dos softwares de proteção, capazes de detectar o software malicioso.

No próximo artigo, o quarto e ultimo da série, falaremos sobre os ataques de spoofing que não comprometem o terminal do usuário. Até lá!