Releases

Proteção avançada: a chave para o cenário das ameaças cibernéticas em constante mudança

RELATÓRIO APONTA SEIS TENDÊNCIAS EM AMEAÇAS CIBERNÉTICAS E COMO COMBATÊ-LAS

O PandaLabs, o laboratório de segurança da Panda Security, detalha e analisa as questões básicas que afetam a segurança cibernética no Relatório de Insights sobre ameaças de 2020

Os ataques cibernéticos estão em constante evolução e, ao mesmo tempo, estão se tornando mais frequentes. Por esse motivo, os profissionais de segurança cibernética devem olhar além das ideias tradicionais e deixar para trás estratégias puramente reativas e adotar uma abordagem mais proativa e progressiva. Proteger o endpoint da mesma maneira que sempre foi protegido não é mais suficiente. Atualmente, as ameaças se multiplicam e mudam tão rapidamente que as empresas não podem mais depender de ferramentas de defesa manual para garantir a segurança cibernética.

Além disso, em 2020, toda infraestrutura ou ambiente de TI precisa considerar o que pode vir no futuro. Portanto, é vital empregar soluções de segurança cibernética com várias camadas que podem monitorar malware em tempo real para descobrir padrões de comportamento e eliminar todos os tipos de ameaças persistentes avançadas, ataques sem arquivos e outras atividades maliciosas que podem pôr em risco a organização. Os endpoints devem ser protegidos usando uma abordagem que combine a proteção avançada de endpoint (EPP) e a detecção e resposta de endpoint (EDR), com uma postura de segurança de confiança zero apoiada por inteligência artificial.

O PandaLabs, laboratório de segurança da Panda Security, multinacional espanhola líder em soluções e serviços avançados de segurança cibernética e ferramentas de gerenciamento e controle, escreveu o Relatório de Insights sobre Ameaças de 2020 que ressalta a importância da proteção avançada. Para isso, analisou e detalhou vários aspectos-chave no campo da segurança cibernética:

  1. Insights com base em dados, não em intuição. A segurança do endpoint requer uma enorme quantidade de dados a serem coletados e analisados. Esses dados abastecem tudo, da inteligência artificial que analisa os comportamentos e cria padrões até os serviços de caça de ameaças, responsáveis por interceptar as ameaças antes que elas possam atacar. Na defesa cibernética, os dados dos endpoints fornecem um nível de visibilidade essencial que pode oferecer proteção de primeira linha e ver o que está acontecendo em todos os dispositivos, redes e conexões. Dessa forma, é possível detectar qualquer mudança, tendência ou anomalia no cenário global de ameaças. Sem esse alto nível de visibilidade, agora e no futuro, os criminosos cibernéticos poderão percorrer as redes com facilidade.
  2. Hotspots globais: os atacantes ou atacados? De acordo com os dados coletados pelo PandaLabs, a Tailândia é o país com mais detecções por endpoint (40,88), enquanto os EUA são o 14º na lista (0,12). O Oriente Médio e a América do Sul são as regiões com maior concentração de alvos. Estes números levam a uma conclusão surpreendente: estes países são alvos atraentes para os ataques cibernéticos porque existem muitos sistemas expostos e mal protegidos, o que significa que os hackers tiveram um impacto maior e mais sucesso neles. Além disso, é razoável supor que esses não são os alvos finais, mas que esses sistemas comprometidos são a fonte de outros ataques contra alvos em todo o mundo.
  3. A comprovação está no PDF: os ataques com base em arquivos persistem. Agentes ruins usam extensões de arquivo para realizar suas atividades. Por trás de cada extensão, há uma vulnerabilidade na maneira como o arquivo é projetado, que pode ser explorada em todos os tipos de atividades de crimes cibernéticos (phishing, por exemplo). No topo da classificação das extensões de arquivo mais acessadas em 2019 estão .pdf, .odf, .job, .pem e .mdb. Outras extensões, como .xls, .doc ou .ppt, também fazem parte da lista.
  4. Os limites da lista de permissões. Hoje, com o aumento da segurança baseada em políticas de confiança zero, muitos profissionais de segurança cibernética negligenciam a proteção de aplicativos na lista de permissões, acreditando que eles são confiáveis. Entretanto, as listas de permissões, assim como as listas negras, têm seus limites: não apenas as ameaças são capazes de contornar os aplicativos de segurança usados nesses espaços, mas também podem explorar especificamente o software nessas listas. Felizmente, o monitoramento ativo de todos os softwares e processos ultrapassa os limites da lista de permissões. Se absolutamente todas as atividades dos endpoints forem monitoradas, o malware será identificado e não poderá ser executado, e o goodware não poderá ser usado para fins maliciosos.
  5. A nova ameaça: ataques sem arquivo. Existem ferramentas de produtividade, navegadores e componentes de sistema operacional que são onipresentes na grande maioria dos endpoints que geralmente são incluídos na lista de permissões. Nenhum aplicativo ou executável nesta lista seria classificado como suspeito, muito menos malware. Isto os torna vetores ideais para ataques sem arquivos, atividade hacker ao vivo, ataques living-off-the-land (LotL) e muitos outros. Para manter os sistemas seguros, é necessário ter uma tecnologia antiexploit. Como mostram os dados coletados pelo PandaLabs, os três principais aplicativos mais comumente explorados são Firefox, Microsoft Outlook e Internet Explorer.
  6. Uma solução, múltiplas camadas. Nem todas as ameaças cibernéticas são iguais e, quando os sistemas interrompem uma ameaça, podem deixar que outras passem despercebidas. É por isso que as organizações precisam de uma combinação de tecnologias locais baseadas em assinaturas, tecnologias baseadas em nuvem e análise comportamental baseada no contexto para detectar e responder a ameaças cibernéticas de forma adequada.

“As ameaças cibernéticas nunca foram tão variadas quanto são agora. Em um determinado dia, um endpoint pode encontrar um golpe de phishing com link para um arquivo malicioso, adquirir ransomware de um site falsificado, ser vítima de um ataque insidioso sem arquivo que se mantém oculto na memória por semanas, meses ou mais. Em um momento em que o número de ameaças cresce e evolui constantemente, os profissionais de TI devem implantar todas as ferramentas disponíveis com o objetivo de manter a segurança das redes”, explica a equipe do PandaLabs.

Metodologia

Este relatório é baseado em dados de telemetria e detecção coletados por agentes Panda em endpoints que executam a tecnologia Adaptive Defense durante 2019.  Foi compilado e analisado pelo laboratório antimalware e pelo centro de operações de segurança da Panda Security. O PandaLabs atua como o centro nervoso de tudo o que está relacionado a malwares e ajuda a moldar a tecnologia da Panda.

A tecnologia do Adaptive Defense monitora constantemente todas as ações acionadas pela execução de processos em endpoints protegidos.  Cada evento é catalogado com base em mais de 2.000 características singulares de objetos. Esses eventos de telemetria não são considerados como incidentes, objetos maliciosos ou anomalias; em vez disso, eles representam informações vinculadas a um objeto específico, por exemplo: processos, arquivos, comunicações ou registros.

Estas ações são enviadas para a plataforma na nuvem da Panda Security, na qual são analisadas por meio de técnicas de machine learning que extrai automaticamente inteligência de segurança avançada.  Estas informações permitem que a Panda Security classifique cada processo executado, com 99,08% de precisão e falsos positivos ou negativos quase nulos.

Sobre a Panda Security

Desde que foi fundada na Espanha em 1990, a Panda Security se tornou uma das principais multinacionais europeias em soluções e serviços de segurança cibernética e em ferramentas para gerenciar e controlar computadores e sistemas. Mantendo consistentemente o seu espírito inovador, a Panda alcançou vários marcos históricos no setor.

Atualmente, a Panda Security é a principal fabricante de EDR na Europa, com acionistas, sedes, tecnologia e plataforma em nuvem totalmente europeus.  Seu modelo de segurança cibernética visionário e disruptivo serviu para ajudar a Panda a obter a certificação “Common Criterial EAL-2”, a qualificação do Centro Criptológico Nacional da Espanha “Produto de Segurança Qualificado para TIC” e a classificação “ENS High”. Isso torna o Panda Adaptive Defense a única solução no mercado com essas certificações. A empresa está presente em mais de 80 países, possui produtos traduzidos em mais de 23 idiomas e possui mais de 7,5 milhões de clientes em todo o mundo.

Read More
Artigos

ARTIGO: Segurança da informação: aprendendo com 30 anos de evolução dos ciberataques

Américo Spachacquercia, Analista de sistemas e consultor em Cibersegurança da Panda Security Brasil

Ciberataques estão continuamente evoluindo. Com a internet agora uma ferramenta cotidiana em nossas vidas, os ataques aumentaram tanto em frequência quanto em sofisticação. Por causa disso, eles têm um enorme impacto global nas economias, segurança nacional, eleições, roubo de dados e privacidade pessoal e da empresa.

Para desenvolver as melhores estratégias, ferramentas ou serviços para parar esses ataques ou minimizar seu impacto, é vital aprender com a história e incorporar o que ela pode nos ensinar sobre como os cibercriminosos agem.

Por isso, identificamos os ataques cibernéticos que mais causaram impacto nas últimas três décadas, que mostram a evolução dos ciberataques e a permanência de técnicas, como a de engenharia social e distribuição de malwares por meio de software pirata. Pode ser que você identifique outros ataques não listados neste artigo e suas observações serão bem-vindas. Confira:

Barrotes (1993): conhecido como o primeiro vírus espanhol, esse malware era enviado por meio de um disquete infectado, que eram comumente usados na época para compartilhar arquivos ou software pirata. Era um pequeno programa que, ao entrar em sistemas, escrevia seu código malicioso em arquivos executáveis (.com e .exe no MS-DOS), onde permaneceu escondido até 5 de janeiro, quando foi lançado e ativado para substituir o disco de inicialização. Como resultado, toda vez que o computador era iniciado, a tela era coberta por barras, impossibilitando o uso do dispositivo.

CIH/Chernobyl (1998): originário de Taiwan, este é considerado um dos vírus mais prejudiciais da história por causa dos milhões de dólares de perdas que causou em todo o mundo, e da rapidez com que se espalhou. Seu modus operandi era letal: uma vez instalado em um computador, ele excluía todas as informações de todo o computador, até mesmo corrompendo bios para que o sistema não pudesse inicializar. Estima-se que afetou mais de 60 milhões de usuários do Windows 95, 98 e ME.

Melissa (1999): um dos primeiros ataques cibernéticos realizados usando técnicas de engenharia social. Os usuários receberiam um e-mail com um anexo (chamado List.doc), que supostamente continha detalhes de login para acessar sites de pornografia. No entanto, uma vez que o documento aberto, o vírus acessava a agenda do Microsoft Outlook da vítima e encaminhava um e-mail para os primeiros 50 contatos da agenda de endereços.  Também infectava todos os documentos do Word no computador.

Eu te amo (2000): este worm, programado em Visual Basic Script, também usou engenharia social e e-mail para infectar dispositivos. O usuário recebia um e-mail com o tema “Eu TE AMO” e um anexo chamado “LOVE-LETTER-FOR-YOU” TXT.vbs”. Quando este documento era baixado e aberto, ele substituía uma infinidade de arquivos (.jpeg, .css, .jpg, .mp3, .mp2 e outros) por um Trojan que visava obter informações confidenciais. O impacto deste malware foi tão grande que infectou milhões de computadores em todo o mundo, incluindo dispositivos no Pentágono e no Parlamento britânico.

Mydoom (2004): outro pedaço de malware enviado por e-mail, mas desta vez usando uma mensagem de erro. Mydoom usava a maioria das ferramentas e opções de segurança do Windows para se espalhar pelo sistema e por cada arquivo. Teve consequências dramáticas, pois reduziu, na ocasião, o tráfego mundial de Internet em 10% e causou perdas de cerca de US$ 40 bilhões.

Stuxnet (2010): é o primeiro exemplo conhecido de uma arma de guerra cibernética, pois foi projetado para atacar a infraestrutura crítica iraniana. Este worm, que se espalhou através de dispositivos USB removíveis, realizou um ataque direcionado contra empresas com sistemas SCADA, com o objetivo de coletar informações e, em seguida, ordenar que o sistema se autodestruísse. Ele explorava a vulnerabilidade do Windows MS10-046, que afetou atalhos, para se instalar no computador, especificamente no Windows 2003, XP, 2000, NT, ME, 98 e 95. Ele também foi capaz de entrar em dispositivos que não estavam conectados à Internet ou a uma rede local.

Mirai (2016): é o mais conhecido botnet por trás de grandes ataques de negação de serviço (DDoS) até o momento. Isso afetou grandes empresas como Twitter, Netflix, Spotify e PayPal. Este malware infectou milhares de dispositivos IoT, permanecendo inativo dentro deles. Os criadores do Mirai o ativaram em 21 de outubro de 2016, usando-o para atacar o provedor de serviços DNS Dyn. Tanto seus serviços quanto seus clientes caíram ou enfrentaram problemas por horas.

WannaCry (2017): foi um  ataque de ransomware que começou  com  um  criptoworm dos  mesmos  computadores Windows, criptografou os dados e exigiu pagamentos de resgate de US$ 300 em bitcoins. Ele foi interrompido alguns dias depois, graças a patches de emergência lançados pela Microsoft e à descoberta de um kill switch que impediu que computadores infectados continuassem a espalhar o malware. Estima-se que o ataque tenha afetado mais de 200.000 computadores em cerca de 150 países.

Petya/NotPetya (2016-2017): ransomware Petya, descoberto em 2016, é executado em computadores, criptografando certos arquivos, enquanto bloqueia o setor de inicialização do sistema comprometido. Dessa forma, impede que os usuários acessem seus próprios computadores a menos que digitem um código de acesso, depois de terem pagado o resgate, o que restaura o sistema operacional como se nada tivesse acontecido.  A variante NotPetya, que surgiu em 2017, teve como alvo principalmente o setor empresarial. Uma coisa que o tornou particularmente notório foi o fato de que, mesmo quando o resgate foi pago, os arquivos da vítima não foram recuperados. Apesar desse ransomware ter infectado redes em vários países, os pesquisadores suspeitam que ele realmente pretendia esconder um ataque cibernético direcionado a instituições ucranianas.

Ryuk (2019): o ransomware  Ryuk colocou em risco a infraestrutura crítica de grandes empresas nacionais e internacionais no último trimestre de 2019. Entre suas vítimas estão a prefeitura do condado de Jackson, na Geórgia (EUA). Este malware, cujas origens são associadas ao grupo russo Grim Spider, criptografa os arquivos em dispositivos infectados, e só permite que a vítima recupere seus arquivos se pagar um resgate em bitcoins. Ryuk parece ser derivado de Hermes, um pedaço semelhante de malware que pode ser comprado na dark web e personalizado para atender às necessidades do comprador.

Incidentes como esses permitiram acumular décadas de experiência para o desenvolvimento de modelos únicos de cibersegurança, baseados na lógica contextual gerada com aprendizado de máquina para revelar padrões comportamentais maliciosos e criar defesas cibernéticas avançadas contra ameaças conhecidas e desconhecidas. As modernas soluções são baseadas em tecnologias como inteligência artificial, big data e cloud computing.

 

Read More
Releases

Ataques sem arquivo: Como os cibercriminosos exploram os aplicativos legítimos da rede corporativa

Se um malware entrar em uma empresa, pode causar sérios danos. Mas, as ameaças cibernéticas também podem vir de dentro de uma organização: os chamados insiders podem causar uma longa lista de problemas de cibersegurança corporativa. E, longe de ser um problema isolado, esses incidentes aumentaram 47% em 2019. Estes casos envolvem um funcionário colocando em risco a segurança cibernética da empresa — intencionalmente ou acidentalmente. Existe, entretanto, um importante elemento interno que, à primeira vista, parece não ser motivo de preocupação: os aplicativos legítimos sendo utilizados pelos hackers.

O uso ilegítimo de aplicativos para fins maliciosos é uma das tendências cibercriminosas que estão em crescimento. Esses ataques sem arquivo aumentaram 94% em 2018 e aproveitam aplicativos que já existem em sistemas operacionais, como Microsoft Office, WMI ou Adobe, para roubar dados e danificar o sistema da empresa.

Como estes ataques ocorrem?

Embora a natureza desses ataques varie, eles são especificamente projetados para não escrever no disco rígido. Em vez disso, são processos executados a partir da memória do computador (RAM). A falta de arquivos maliciosos ou potencialmente perigosos no disco rígido significa que é quase impossível para os sistemas de proteção tradicionais detectar a ameaça.

“Há uma característica que todos esses tipos de incidentes têm em comum: são muito difíceis de detectar. Isso se deve ao fato de que esses ataques não usam nenhum tipo de código, o que significa que o antivírus tradicional não pode identificá-los. Além disso, o uso de processos e aplicativos legítimos torna praticamente impossível detectar comportamentos anormais na rede”, alerta Américo Spachacquercia, Analista de sistemas e consultor em Cibersegurança da Panda Security Brasil.

Além disso, os ataques sem arquivo frequentemente compartilham vetores de entrada. Entre os mais comuns estão aplicativos de acesso remoto, ferramentas administrativas e componentes internos do sistema operacional. Um comportamento que deve ser um sinal vermelho para uma possível atividade de ataque sem arquivo é a atividade incomum em uma CPU (especificamente, grandes aumentos no uso).

Ameaças avançadas exigem tecnologia avançada

Dado que ataques sem arquivo são difíceis de detectar, o que pode ser feito para detê-los? Uma maneira de enfrentá-los é parar de usar as ferramentas que os cibercriminosos tendem a aproveitar nesses ataques, como o PowerShell, console do sistema Windows, fechando assim potenciais vetores de entrada. Existem maneiras de defender proativamente sua organização desses ataques. No entanto, a única forma de garantir a segurança de uma organização é com tecnologia de cibersegurança avançada com Big Data, aprendizado de máquina e IoA. “É vital conhecer absolutamente tudo o que está sendo executado nos endpoints da empresa e em tempo real. A nossa solução Panda Adaptive Defense 360 monitora e classifica todos os aplicativos e binários antes e durante a exceção, garantindo que apenas arquivos executáveis confiáveis possam ser executados. Dessa forma, ela é capaz de bloquear qualquer atividade suspeita e proteger a empresa contra explorações de aplicativos e ataques Living-off-the-Land (LotL)”, completa Américo.

Os ataques sem arquivo são um perigo sempre presente para as empresas, e os cibercriminosos têm muitas maneiras de explorar os aplicativos legítimos em seu sistema. Para ajudar neste controle, a Panda Security desenvolveu um e-book que pode ser obtido neste link.

Read More
Releases

Segurança da informação: Ransomware Ryuk continua a atacar

Em 2019, os ransomwares foram uma das principais armas usadas pelo cibercrime. Empresas e organizações em todo o mundo foram atingidas por ataques cibernéticos que usaram esse tipo de malware para criptografar seus arquivos e exigir um resgate. As ondas de ransomware usam uma série de variantes para realizar os ataques. No entanto, há uma variante que foi usada na época e que ainda é vista hoje alerta o PandaLabs, laboratório de detecção e análise de malware da Panda Security. Trata-se do ransomware Ryuk.

Os estudos da PandaLabs apontam que o Ryuk é uma das variantes de ransomware mais notórias dos últimos anos. “Desde que apareceu pela primeira vez no verão de 2018, este malware tem conquistado uma lista impressionante de vítimas, especialmente em ambientes de negócios, que são o foco principal de seus ataques”, explica Américo Spachacquercia, Analista de sistemas e consultor em Cibersegurança da Panda Security Brasil.

Dados da Panda apontam que, em meados de 2019, um grande número de empresas espanholas de diferentes setores sofreu sérios ataques que fizeram uso de Ryuk para criptografar seus sistemas. Entretanto, a Espanha não é o único país que sofreu nas mãos desse ransomware. Outros países que foram mais atingidos por Ryuk são Alemanha, China, Argélia e Índia. Nos últimos três anos, Ryuk afetou milhões de usuários, comprometendo grandes quantidades de dados e causando perdas econômicas significativas.

Como ryuk funciona

Como outros tipos de ransomware, uma vez que Ryuk terminou de criptografar os arquivos de suas vítimas, ele deixa uma nota de resgate afirmando que, para recuperar seus arquivos, eles precisam fazer um pagamento em bitcoins para o endereço indicado na nota.

Na amostra analisada pela Panda Security, Ryuk entrou no sistema através de uma conexão remota feita em um ataque via RDP (Remote Desktop Protocol). O hacker consegue fazer login remotamente. Uma vez logado, ele cria um executável com a amostra.

O Ryuk tenta permanecer no sistema pelo maior tempo possível. Uma das maneiras que ele usa para fazer isso é criando executáveis e lançando-os em segredo no sistema.

Para ser capaz de criptografar os arquivos da vítima, ele também precisa ter privilégios. De um modo geral, Ryuk começa com um movimento lateral, ou seja, é lançado por outro tipo de malware, como Emotet ou Trickbot. Estes são responsáveis por aumentar os privilégios antes de concedê-los ao ransomware.

“Ryuk tem uma lista de truques para entrar, ganhar persistência e criptografar os arquivos das vítimas. Como é o caso de todos os ransomwares, se a empresa não tem a proteção adequada e não segue as diretrizes apropriadas, essa ameaça pode ser difícil de conter”, completa Américo.

 Como se proteger contra Ryuk

A Panda Security lida com esse problema por meio de uma combinação de proteção avançada de endpoint em sua solução Panda Adaptive Defense: a capacidades de EDR, o monitoramento de todos os endpoints no sistema e seu serviço de classificação 100%. Baseia-se em uma abordagem de Zero Trust (confiança zero): qualquer processo ou aplicativo desconhecido é bloqueado até que possa ser analisado. Dessa forma, ele é capaz de parar qualquer ameaça antes que possa ser executada, mesmo os ataques mais avançados, como Ryuk.

Saiba mais detalhes técnicos sobre Ryuk o relatório sobre este ransomware, escrito pela PandaLabs (em inglês).

 

Read More
Releases

Campanhas de ataque cibernético explorando a COVID-19 têm impacto global, alerta a Panda Security

A doença Covid-19 está sendo usada como gancho para campanhas maliciosas de engenharia social, incluindo spam, malware, ransomware e domínios maliciosos. À medida que o número de casos continua a crescer no mundo, as campanhas que usam a doença como isca também aumentam. Pesquisadores do Panda Security têm identificado campanhas maliciosas relacionadas ao coronavírus, incluindo países como Estados Unidos, Japão, Rússia, China, Itália e Brasil.

Muitos desses e-mails, supostamente de organizações oficiais, afirmam conter atualizações e recomendações relacionadas à doença. Como a maioria das campanhas de spam, eles também incluem anexos maliciosos.

Um exemplo é uma campanha de spam supostamente enviada pelo Ministério da Saúde no Reino Unido. Ela contém recomendações sobre como prevenir infecções e vem com um anexo que supostamente contém as últimas atualizações sobre a Covid-19. No entanto, ele realmente contém um pedaço de malware. “Corona Virus Últimas Atualizações” como assunto.

Outros e-mails utilizados nessas campanhas estão relacionados às entregas de produtos, que supostamente foram adiadas ou modificadas por causa da propagação da doença. Tem ainda uma mensagem em português que promete notícias sobre uma suposta vacina para a Covid-19. Os cibercriminosos estão aproveitando ainda os mapas de monitoramento de coronavírus online, substituindo-os por sites falsos que facilitam o download e a instalação de malware.

Uma variante do ransomware CoronaVirus usa um site falso de otimização de sistema para se espalhar. As vítimas, sem saber, baixam um downloader para dois tipos de malware: o ransomware CoronaVirus e o roubo de senhas. Esta campanha faz parte de uma tendência recente vista no ransomware: combina criptografia de dados com roubo de informações.

Além disso, outra peça de ransomware, desta vez afetando os usuários de dispositivos móveis, chamada CovidLock, que supostamente ajuda a rastrear casos da Covid-19. O ransomware bloqueia os celulares de suas vítimas, dando-lhes 48 horas para apagar todos os dados no telefone e vazando detalhes de suas contas de mídia social.

Atenção deve ser dada aos domínios maliciosos que usam a palavra corona, como os que listamos a seguir:

  • corona [.] com
  • contra-coronavirus [.] com;
  • alphacoronavirusvaccine [.] com
  • corona-blindado [.] com
  • anticoronaproducts [.] com
  • corona-crisis [.] comcorona [.] com
  • corona-emergencia [.] com
  • beatingcoronavirus [.] com
  • corona explicada [.] com
  • bestcorona [.] com
  • corona-iran [.] com
  • betacoronavirusvaccine [.] com
  • corona-ratgeber [.] com
  • buycoronavirusfacemasks [.] com
  • coronadatabase [.] com
  • byebyecoronavirus [.] com
  • coronadeathpool [.] com
  • cdc-coronavirus [.] com
  • coronadetect [.] com
  • combatcorona [.] com
  • coronadetection [.] com

Como se defender dessas e outras ameaças cibernéticas

O fato é que todos esses ataques usam vetores de entrada que poderiam ser considerados “tradicionais”. “Na Panda Security, temos esses vetores mais do que cobertos com nossas soluções para endpoint. Graças os bloqueios de quaisquer binários maliciosos, temos soluções de grande valor para parar essas campanhas, entre outras”, esclarece Américo Spachacquercia, Analista de sistemas e consultor em Cibersegurança da Panda Security Brasil.

As soluções Panda Adaptive Defense e o Panda Adaptive Defense 360 são serviços que oferecem um modelo de proteção baseado em confiabilidade, classificação de arquivos e controle de execução de aplicativos. O modo Bloqueio, que pode ser escolhido pela equipe de TI do usuário, impede a execução de todos os programas desconhecidos até que eles sejam classificados e avaliados se oferecem ameaças à rede.

“Este serviço permite um mecanismo altamente eficiente e automatizado para detectar e bloquear malware e ransomware, mesmo antes de serem executados, independentemente de serem novas variantes ou novos domínios de download, como é o caso das variantes de malware relacionadas ao COVID-19”, completa Américo.

As soluções Panda analisam os indicadores comportamentais e contextuais de ataque (IoAs) em dispositivos protegidos, mapeando os comportamentos comuns e incomuns que podem incluir baixar um executável de um Word ou acessar uma URL desconhecida ou maliciosa. Qualquer tentativa de comprometer o dispositivo é imediatamente bloqueada, na qual a execução e conexão dessas atividades maliciosas são interrompidas.

 

Read More
Artigos

ARTIGO: Hospitais precisam de soluções de cibersegurança Zero Trust

ARTIGO: Hospitais precisam de soluções de cibersegurança Zero Trust

 Américo Spachacquercia, Analista de sistemas e consultor em Cibersegurança da Panda Security Brasil

Os hospitais são uma das infraestruturas críticas mais importantes nas cidades, ainda mais agora, com a emergência de saúde global causada pela Covid-19. Neste momento, é imprescindível que os hospitais funcionem da melhor maneira possível, sem contratempos.

Infelizmente, os hospitais são alvos muito populares de crimes cibernéticos, em função da quantidade de dados pessoais que eles manuseiam, bem como frente às vulnerabilidades dos seus sistemas de TI, que muitas vezes estão desatualizados.

Um exemplo recente disso foi visto na República Tcheca, onde, em meados de março, um ataque cibernético paralisou um hospital universitário que estava realizando testes e pesquisas para mitigar a propagação do novo coronavírus.

Na Espanha, um dos países mais atingidos pela pandemia, agências nacionais de cibersegurança detectaram, ao final de março, uma tentativa de bloquear os sistemas de TI de hospitais espanhóis enviando e-mails maliciosos para profissionais de saúde. Esses e-mails trazem um anexo que supostamente contém informações sobre a Covid-19 em um arquivo chamado “CORONAVIRUS_COVID-19.vbs.

Incorporado neste arquivo está um código executável e ofuscado do ransomware, o Netwalker, para extrair e lançar este ransomware no computador da vítima. Uma vez executado, o Netwalker criptografa os arquivos no computador e adiciona uma extensão aleatória aos arquivos criptografados.

Uma vez que esse processo é concluído, o ransomware deixa uma nota de resgate chamada [extensão]-Readme.txt. A nota contém instruções sobre como recuperar os arquivos criptografados.

O Netwalker ataca sistemas Windows 10 e é capaz de desativar o software antivírus. No entanto, para evitar disparar alarmes, ele não desativa sistemas de segurança EPP. Ele injeta código malicioso diretamente no Windows Explorer.

Para evitar a detecção, o Netwalker também usa uma técnica chamada “oco de processo”. Esse processo envolve desmapear a memória dos processos de estado suspensos e substituí-lo por código malicioso. Essas técnicas permitem contornar soluções de segurança cibernética que usam whitelisting e assinaturas para detectar malware.

Agora, é mais importante do que nunca manter os hospitais seguros. Para garantir que eles sejam protegidos, é vital que todos façam um esforço para impedir que o ransomware entre nos sistemas de TI no setor de saúde.

O primeiro passo, que deve ser uma parte fundamental de qualquer plano de segurança cibernética, é ter extremo cuidado com os e-mails. O e-mail é um dos principais vetores de entrada para os malwares. Ele é um vetor que existe em todas as empresas e organizações. Para protegê-las, é imperativo que anexos de remetentes desconhecidos não sejam abertos. Também é vital nunca clicar em links de e-mails de estranhos, pois eles também podem facilitar a instalação de malware.

Outra medida essencial são as soluções avançadas de cibersegurança, capazes de monitorar todas as atividades em todos os endpoints. Estas soluções identificam qualquer processo desconhecido, interrompendo a ação do malware antes que ele possa ser executado. Primeiro, a atividade suspeita é analisada e só poderá ser executada se for classificada como legítima. Essa postura de Zero Trust (confiança zero) garante a segurança do sistema de TI. É preciso fornecer orientações e treinamentos às equipes, especialmente em organizações que lidam com dados sensíveis, para que estejam cientes dos ataques cibernéticos, de como as ameaças chegam e os danos que podem causar.

 

Read More
Releases

Artigo: Como garantir o acesso remoto seguro à rede corporativa com o aumento do home office*

Américo Spachacquercia, Analista de sistemas e consultor em Cibersegurança da Panda Security Brasil

Proteger as informações e a rede corporativa são atividades cada vez mais complexas. O perímetro está cada vez mais disperso, pois a mobilidade e o trabalho em home office tornou vital garantir que inúmeros endpoints, como laptops, celulares, tablets e muitos dispositivos de Internet das Coisas (IoT), também estejam seguros.

 

Nos últimos 15 anos, a quantidade de pessoas trabalhando em casa aumentou 140%. E, nas últimas semanas, o trabalho em home office teve um aumento repentino, por causa da crise global do coronavírus (COVID-19). Para tentar conter o contágio de seus colaboradores, muitas empresas começaram a promover o teletrabalho. Mas, será que as organizações se preocuparam em implementar medidas para garantir a cibersegurança corporativa?

Dicas para garantir o acesso remoto à rede corporativa

Para acessar a rede corporativa, a maioria das empresas fornece computadores e uma conexão remota para que o funcionário possa acessar serviços corporativos através de sua própria conexão com a Internet. Mas, como podemos garantir que todo o processo de conexão seja seguro?

  1. O computador que tenta se conectar obviamente precisa ser protegido com uma solução de proteção avançada. No entanto, para reforçar a segurança, é de vital importância ter um sistema EDR  que possa certificar que todos os processos executados por esse computador são confiáveis. Dessa forma, podemos parar  ataques cibernéticos que não usam malware, bem como os ataques avançados que poderiam entrar na rede corporativa através do nosso computador. Em muitos casos, os trabalhadores também usam seus próprios computadores para acessar recursos corporativos. Nesses casos, a empresa deve exigir que eles instalem as mesmas soluções de segurança nesses computadores, ou pedir que eles não usem seus próprios computadores para tarefas corporativas. Caso contrário, eles poderiam estar colocando em risco os ativos da empresa sem sequer perceber.
  2. A conexão entre o computador e a rede corporativa deve ser garantida por uma VPN (Virtual Private Network) o tempo todo. Esta é uma rede privada que permite criar uma rede local segura sem a necessidade de seus integrantes estarem fisicamente conectados entre si. Isso também permite que eles usem remotamente os túneis de dados dos servidores de seu escritório.
  3. As senhas utilizadas para acessar serviços corporativos, e aquelas que usamos em geral, devem ser complexas e difíceis de decifrar para evitar serem descobertas. Para certificar que a conexão está sendo solicitada pelo usuário certo, e não é uma tentativa de fraude de identidade, é importante fazer uso da autenticação multifatorial (MFA). Graças a este sistema de dupla certificação para acesso do usuário aos serviços da empresa, podemos proteger mais eficazmente o acesso à VPN, aos logins de funcionários para portais corporativos e recursos para aplicativos em nuvem. Ele até nos ajudará a cumprir os requisitos de proteção de dados.
  4. Os sistemas de firewall, sejam virtuais ou físicos, provaram ser a primeira linha de defesa na segurança da rede corporativa. Esses sistemas monitoram o tráfego de entrada e saída e decidem se bloqueiam ou permitem tráfego específico com base em um conjunto de lógicas de segurança previamente definidas. Esses sistemas são, portanto, elementos básicos na proteção da rede corporativa, ainda mais se considerarmos o tráfego extra que o teletrabalho gera para estabelecer uma barreira entre redes internas seguras, controladas e confiáveis e redes externas menos confiáveis.
  5. Os serviços de monitoramento de redes, aplicativos e usuários e serviços para responder e sanar os contratempos que podem surgir são totalmente necessários para monitorar e garantir a continuidade dos negócios ao se trabalhar remotamente. É importante prepará-los para o volume que estes terão que suportar nos próximos dias, porque esse aumento no trabalho remoto também pode colocar uma carga extra nas ferramentas de monitoramento de rede, ou serviços de detecção e resposta, uma vez que agora encontrarão um maior número de dispositivos e processos a serem monitorados. Um dos recursos que devem ser monitorados com atenção especial são documentos que contêm informações confidenciais. Para isso, sua equipe de TI deve ter implantado uma  ferramenta capaz de auditar e monitorar dados pessoais não estruturados em computadores: desde dados em repouso até dados em uso e dados em movimento. Dessa forma, os dados da sua empresa serão protegidos, onde quer que estejam.

 

Read More