Escrito por João Fernandes a 12 Fev. 2014
A
equipa de investigação de segurança da Kaspersky Lab anunciou a
descoberta de "A Máscara" (também conhecido como Careto), uma nova e
avançada ciberameaça de fala hispânica que tem estado envolvida em
operações globais de ciberespionagem pelo menos desde o ano 2007. O que
torna especial a Máscara é a complexidade do conjunto de ferramentas
utilizadas pelos atacantes. Inclui um programa malicioso extremadamente
sofisticado, um rootkit, um bootkit e versões para Mac OS X e Linux e,
possivelmente, para Android e iOS (iPad / iPhone).
Os alvos principais foram instituições
governamentais, representantes diplomáticos e embaixadas, além de
companhias de energia, petróleo e gás, organizações de investigação e
ativistas. As vítimas de este ataque dirigido foram detetadas em 31
países de todo o mundo - desde o Médio Oriente e Europa a África e às
Américas.
Os ciberatacantes tinham como desafio
principal recolher dados sensíveis dos sistemas infetados, incluindo
diversas chaves de encriptação, configurações VPN, chaves SSH (que serve
como meio de identificação de um utilizador a um servidor SSH) e
ficheiros RDP (utilizados para abrir automaticamente uma ligação a um
computador reservado).
"Existem várias razões que nos fazem
acreditar que esta pode ser uma campanha patrocinada por um Estado. Em
primeiro lugar, observámos um elevado grau de profissionalismo nos
procedimentos operativos do grupo que está por detrás deste ataque:
desde a gestão da infraestrutura, ao fecho da operação, evitando a
deteção através de regras de acesso e da limpeza em vez da eliminação
dos ficheiros de registo. Esta combinação coloca A Máscara à frente da
APT do Duqu em termos de sofisticação, pelo que é uma de as ameaças mais
avançadas neste momento”, afirma Costin Raiu, director da Equipa de Investigação e Análise Global da Kaspersky Lab. "Este nível de segurança operacional não é normal em grupos de cibercriminosos”.
Os investigadores da Kaspersky Lab
detetaram A Máscara pela primeira vez no ano passado, quando observaram
tentativas de explorar uma vulnerabilidade nos produtos da companhia. O
exploit dava ao malware a capacidade de evitar a deteção. Como é
evidente, esta situação gerou muito interesse e foi assim que se iniciou
a investigação.
Para as vítimas, uma infeção pela
Máscara pode ser desastrosa já que intercepta todos os canais de
comunicação e recolhe a informação mais vital do equipamento da vítima. A
deteção é extremamente difícil devido às capacidades sigilosas do
rootkit, às funcionalidades integradas e aos módulos de ciberespionagem
adicionais.
Principais conclusões
Os autores parecem ser de origem hispânica, um facto que só muito raramente se observa em ataques APT.
A campanha esteve ativa durante pelo
menos cinco anos Janeiro de 2014 (algumas amostras da Máscara foram
recolhidas em 2007). Durante o decurso das investigações da Kaspersky
Lab, os servidores de comando e controlo (C&C ) foram encerrados.
Foram contabilizadas mais de 380 vítimas
únicas entre más de 1000 IPs. As infeções foram observadas em: África
do Sul, Alemanha, Argélia, Argentina, Bélgica, Bolívia, Brasil, China,
Colômbia, Costa Rica, Cuba, Espanha, Egipto, Estados Unidos, França,
Gibraltar, Guatemala, Irão, Iraque, Líbia, Malásia, Marrocos, México,
Noruega, Paquistão, Polónia, Reino Unido, Suíça, Tunísia, Turquia e
Venezuela.
A complexidade e universalidade do
conjunto de ferramentas utilizadas pelos atacantes fazem com que esta
operação de ciberespionagem seja muito especial. Aproveitam exploits de
alta gama, uma peça muito sofisticada de software malicioso, um rootkit,
um bootkit, versões para Mac OS X e Linux e possivelmente versões para
Android e para iPad/iPhone (iOS). A Máscara também utilizou um ataque
personalizado contra os produtos da Kaspersky Lab.
Entre os vetores de ataque, foi usado
pelo menos um exploit do Adobe Flash Player (CVE-2012 - 0773). Foi
concebido para as versões do Flash Player anteriores às 10.3 e 11.2.
Este exploit foi descoberto originalmente pela VUPEN e utilizado em 2012
para escapar da sandbox do Google Chrome para ganhar o concurso Pwn2Own
CanSecWest.
Métodos de infeção e funcionalidades
De acordo com o relatório de análise da
Kaspersky Lab, a campanha da Máscara baseia-se no envio de mensagens de
correio eletrónico de phishing com links para um website malicioso. O
website malicioso contém uma série de exploits concebidos para infetar
os visitantes em função da configuração do sistema. Depois da infeção, o
site malicioso redireciona o utilizador para a página web legítima de
referência no correio eletrónico, que pode ser um filme do YouTube ou um
portal de notícias.
É importante ter em conta que o
exploit em websites não infecta automaticamente os visitantes. Em vez
disso, os atacantes recebem os exploits em pastas específicas no
website, que não estão diretamente referenciadas em qualquer lugar,
exceto em mensagens de email maliciosas. Por vezes, os atacantes
utilizam subdomínios nos websites para que pareçam mais reais. Estes
subdomínios simulam as secções dos principais jornais de alguns países,
como de Espanha, além de outros de grande renome como o "The Guardian" e
o "The Washington Post".
A Máscara é um sistema altamente
modular, suporta plugins e ficheiros de configuração, que lhe permitem
realizar um grande número de funções. Além das funcionalidades
incorporadas, os operadores da Máscara podiam carregar módulos
adicionais que poderiam realizar qualquer tarefa maliciosa.
Os produtos da Kaspersky Lab detetam e eliminam todas as versões
conhecidas do malware a Máscara ou Careto. O relatório completo está
disponível no site
Securelist.
A
conhecida Viber foi esta semana adquirida pela empresa japonesa
Rakuten. De acordo com a informação divulgada, a aquisição, terá custado
cerca de 660 milhões de euros.
A informação foi avançada esta semana pelo “The Register”,
que indica a celebração de um acordo entre a Microsoft e o Serviço
Nacional de Saúde inglês para que seja alargado o suporte ao Windows XP a
partir do dia 8 de abril, data em que termina oficialmente o suporte a
este sistema operativo.
A
Sony está a negociar com a Apple um novo acordo de fornecimento de
componentes para a camara de um novo iPhone que, ao que tudo indica,
chegará dentro de um ano.
Pela
primeira vez, o Facebook permite que os utilizadores da rede social se
identifiquem com um género além de feminino e masculino.
A
Amazon lançou uma nova funcionalidade na sua app de compras para o
iPhone, denominada Flow, que permite aos consumidores encontrarem e
comprarem um produto simplesmente colocando a câmara do telefone em
frente ao que pretendem.
A
Worten continua a sua forte aposta nas redes sociais, estreando-se, a
partir desta quarta-feira, dia 19 de fevereiro, no Google+, em https://plus.google.com/+worten.
Depois do Facebook e do Twitter, chega a vez de a marca lançar a sua
página no Google +, com o objetivo de estar ainda mais próxima dos seus
clientes. Para assinalar a estreia nesta rede social, a Worten irá
lançar um divertido passatempo, de 19 a 28 de fevereiro.
A
ASUS passou a disponibilizar em Portugal a sua gama de produtos e
soluções dirigidas ao mercado empresarial, numa aposta que tem como
objetivo auxiliar as empresas a desenvolver soluções que vão ao encontro
das necessidades e requisitos dos empresários, garantindo ao mesmo
tempo um reforço da presença da ASUS no mercado português.
A
Acer arrecadou quatro prémios no If Product Design Awards 2014.
Organizado pelo International Forum Design of Germany e no seu 61º ano, o
logótipo de prémio da iF tornou-se sinónimo de design excecional em
todo o mundo.
A Check Point® Software Technologies Ltd.,
líder em soluções de segurança para Internet, alerta para as ameaças
mais frequentes que, usando como incentivo o próximo Dia de São
Valentim, procurarão infetar com malware os computadores de utilizadores
de todo o mundo.
O
inovador Nokia Lumia 1520 já está disponível no mercado português,
integrando funcionalidades avançadas de imagem e um ecrã Full HD de 6
polegadas.
![Infográfico - A evolução dos ícones ao longo do tempo [infográfico]](https://lh3.googleusercontent.com/blogger_img_proxy/AEn0k_v3SZ-MClfgq5bTGio1_pLbg_ipRYqOtb9tz8gMb8Bj0DKE7o3PLHOZmXg8HIZ5Rnz7p9oNY1WHpK_3YCp0TWb36RwwpYH2TPQ-4deRlVDqb46TL6F6nIjVBpWGsZgyPXMTx16b3-2F2JMB9eV0tMzAFMJ5YrzYTTOgoVKiNLDD=s0-d "Infográfico - A evolução dos ícones ao longo do tempo [infográfico]"){kind=small}
