A Agência Municipal de Transportes de São Francisco não foi apenas hackeada. Ele foi retido para resgate.
Em novembro, os invasores assumiram o controle de uma parte da rede da agência. No Dia de Ação de Graças, os quiosques de bilheteria do metrô de superfície ficaram escuros. As telas da agência não mostravam códigos de erro ou avisos de manutenção. Eles exibiram uma mensagem assustadora: “Você hackeado, TODOS os dados criptografados. Contato para chave ([email protected])ID:681,Enter.”
A demanda era grande. 100 bitcoins. Cerca de US$ 73 mil na época. Prazo final? Terça-feira.
Parece a manchete de um romance distópico. No entanto, o que mais chama a atenção na violação do SFMTA não é o caos. É como parece inevitável. Tratamos esses incidentes como anomalias. Eles não são. Eles são a nova base para a segurança digital.
Зміст
A economia do ransomware
O ransomware passou de um incômodo a uma principal fonte de receita para os cibercriminosos. Andrew Howard, CTO da Kudelski Security, é direto: os invasores promoveram essa técnica de uma das muitas opções para uma das ferramentas mais eficazes em sua caixa de ferramentas.
Por que a mudança?
Outros malwares ainda existem. Troianos. Spyware. Mas falta-lhes a recompensa financeira direta. O ransomware muda o jogo ao remover o intermediário.
Joe Opacki, vice-presidente de pesquisa de ameaças do PhishLabs, observa a simplicidade. “Em vez de ter que roubar dados e vendê-los ou alugar botnets… o ransomware oferece pagamento direto.”
Infecte a máquina. Bloqueie os arquivos. Peça dinheiro. Sem lavagem de dados. Não há negociantes do mercado negro. Apenas uma transação direta, geralmente em Bitcoin ou MoneyPak, que são mais difíceis de rastrear do que moeda física.
O volume é impressionante. A Segurança Interna dos EUA estimou uma média de 4.000 ataques de ransomware por dia em 2016. Isso representa um salto de 300% em relação ao ano anterior.
Quem paga?
Você pode pensar que as corporações são o alvo principal. Eles são. Mas os utilizadores domésticos são afetados de forma desproporcional.
Um estudo de 2016 da Kaspersky Labs descobriu que dos 2,3 milhões de utilizadores que encontraram ransomware entre abril de 2015 e março de 2016, quase 87% estavam em casa. Os resgates? Muitas vezes apenas algumas centenas de dólares.
As receitas totais apenas para os primeiros três meses de 2016 foram estimadas em 209 milhões de dólares. Não sabemos exatamente quantas pessoas pagaram. Mas quando o custo de recuperação é zero se você pagar, e alto se não pagar, a matemática funciona para o invasor.
Em uma escala maior, o impacto é físico. Em fevereiro de 2016, o Hollywood Presbyterian Medical Center, em Los Angeles, resistiu por quase duas semanas antes de pagar 40 bitcoins (cerca de US$ 17 mil) para desbloquear seus sistemas.
Eles não perderam registros de pacientes. Os hackers nunca os acessaram. Mas os funcionários foram obrigados a preencher formulários e atualizar registros com lápis e papel durante 13 dias. O cuidado diminuiu. A confusão cresceu. O hospital pagou para voltar ao normal.
Por que as defesas falham
Nolen Scaife, estudante de doutorado na Universidade da Flórida, descreve o ransomware como um “adversário difícil”.
Defender-se contra isso é difícil. Cada ataque varia ligeiramente. Parece uma atividade normal de administração do sistema até que seja tarde demais. A criptografia acontece rapidamente.
A equipe de Scaife desenvolveu o CryptoDrop, um programa de detecção projetado para detectar o processo de criptografia e interrompê-lo. O objetivo é simples: quanto menos dados o malware criptografar, mais rápido você poderá restaurar a partir de um backup.
Mas reverter a criptografia? Isso é quase impossível com a criptografia moderna.
“A confiabilidade de uma boa criptografia feita de maneira adequada e o aumento da criptomoeda criaram uma tempestade perfeita para o ransomware”, escreve Scaife. Se o ransomware for bem projetado e você não tiver backups, pagar geralmente é a única maneira de recuperar seus arquivos.
Este não é um conceito novo. O Trojan AIDS de 1989 usava disquetes infectados enviados por correio tradicional. Ele criptografou o diretório raiz de um PC. Foi derrotado rapidamente. Mas décadas de refinamento tornaram os mecanismos de entrega invisíveis e a criptografia inquebrável.
A vítima perfeita
Os hospitais são alvos ideais. Jérôme Segura, especialista em segurança, disse à CBC News que seus sistemas estão frequentemente desatualizados, guardam dados confidenciais e não podem se permitir períodos de inatividade. Se os arquivos dos pacientes ficarem bloqueados, eles não poderão simplesmente ignorá-los.
A aplicação da lei não é mais segura. Em 2015, cinco departamentos de polícia do Maine foram vítimas de ransomware. Pelo menos um deles rodava DOS, um sistema operacional obsoleto.
Os departamentos de polícia são alvos populares. E eles pagam.
Um chefe de polícia de New Hampshire teve um momento de brilhantismo. Ele pagou o resgate, pegou a chave e cancelou o pagamento. Quando seu departamento foi atingido novamente, dois dias depois, ele não tentou o truque. Ele acabou de desembolsar mais de US$ 500.
A ironia não passa despercebida a ninguém. As instituições encarregadas de fazer cumprir as leis estão terceirizando sua segurança para criminosos.
Ficamos com um sistema onde a criptografia é usada como arma contra aqueles que mais precisam dela. O hack do SFMTA não foi uma exceção. Foi uma prévia. E ainda estamos à espera que o resto do país nos alcance.
O elemento humano é o elo mais fraco
No início de 2016, o custo financeiro do ransomware já estava aumentando. Um distrito escolar da Carolina do Sul assinou um cheque de US$ 8.500 em fevereiro. A Universidade de Calgary gastou US$ 16 mil em junho, citando a necessidade de proteger pesquisas de classe mundial armazenadas em suas redes. Em novembro, poucas semanas antes do hack da Agência Municipal de Transportes de São Francisco (SFMTA), um condado de Indiana pagou US$ 21 mil para desbloquear sistemas para sua polícia e bombeiros.
O incidente do SFMTA parecia diferente. Os relatórios sugerem que o ransomware foi lançado de dentro. Segundo o pesquisador Opacki, o invasor explorou uma vulnerabilidade conhecida no software WebLogic da Oracle. Eles provavelmente estavam vasculhando a Internet em busca dessa falha específica e encontraram o sistema do SFMTA por acaso.
Mas a maioria dos ataques não depende de bugs de software. A vulnerabilidade geralmente está nas pessoas.
Opacki observa que superestimamos consistentemente nossa capacidade de detectar golpes de phishing. Um estudo de 2016 mostrou que 30% das pessoas abrem e-mails de phishing, com 13% clicando em links ou anexos maliciosos. Muitos ainda presumem que os e-mails de phishing são spam mal elaborado e com inglês incorreto. Eles caem nas planilhas de “folha de pagamento dos funcionários” enviadas por supostos funcionários de RH. O phishing evoluiu além dos príncipes nigerianos. Os e-mails agora são personalizados, usando detalhes reais extraídos das redes sociais.
Andrew Howard, do Kudelski Group, afirma que mesmo em organizações altamente preocupadas com a segurança, 3% a 5% dos funcionários caem em fraudes mal construídas. Em ambientes menos protegidos, a taxa de falhas é muito maior.
“É bastante desanimador”, admite.
Hacking para idiotas
O aumento do ransomware não se trata apenas de credulidade ou malware sofisticado. É uma questão de facilidade. Executar um golpe de ransomware é tão complexo quanto assaltar alguém na rua, mas com muito menos riscos.
Nolen Scaife argumenta que os hackers não precisam de muita habilidade. O software não é sofisticado. É rápido de criar e implantar. Mais importante ainda, os hackers não precisam construí-lo sozinhos. Eles compram na dark web.
Os mercados de malware vendem inúmeras variantes. Geralmente, eles vêm como aplicativos multifuncionais. Os vendedores fornecem atendimento ao cliente e suporte técnico para ajudar operadores inexperientes a executar golpes sem problemas. Dan Turkel, do Business Insider, destaca esse sistema de suporte. Alguns produtos oferecem até garantias de devolução do dinheiro. Muitos incluem serviços de chamada ou e-mail para orientar as vítimas durante os pagamentos. Pelo menos uma família de ransomware oferece atendimento ao cliente por chat ao vivo.
Os desenvolvedores até usam distribuidores para vender seus produtos. O mercado é robusto.
Isso não é um bom presságio para quem executa o golpe. Os especialistas em segurança cibernética concordam com uma solução: faça backup dos seus dados. Sem backups, pagar o resgate pode ser a única maneira de recuperar seus arquivos.
Mesmo assim, você pode não recuperar seus dados. Um estudo da Trend Micro descobriu que 20% das empresas do Reino Unido que pagaram resgates em 2016 nunca receberam uma chave de descriptografia.
SFMTA não pagou. Um porta-voz disse à Fortune que a agência nunca considerou isso. Os sistemas foram restaurados a partir de backups. A maioria voltou a ficar online em dois dias. Os franciscanos usavam metrô leve de graça naquela época.
Dois dias depois, hackers invadiram a conta de e-mail do hacker light-rail. Isso revelou cerca de US$ 100.000 em pagamentos de ransomware desde agosto.
Agora isso é conveniente
Alguns hackers de ransomware aceitam cartões-presente da Amazon.
