0 
0 Em 2021, o cibercrime tornou-se mais sofisticado, generalizado e implacável. Os criminosos têm como alvo infraestruturas críticas – saúde, 1 tecnologia da informação, 2 serviços financeiros, 3 setores de energia 4 – com ataques que paralisaram empresas e prejudicaram consumidores. Mas há tendências positivas – as vítimas estão se manifestando, humanizando o número de ataques cibernéticos e aumentando o envolvimento das autoridades. Os governos também estão aprovando novas leis e alocando mais recursos, pois reconhecem o crime cibernético como uma ameaça à segurança nacional.
No início deste mês, a Microsoft publicou o 2021 Microsoft Digital Defense Report (MDDR). Com base em mais de 24 trilhões de sinais de segurança diários na nuvem da Microsoft, endpoints e borda inteligente, o MDDR 2021 expande o relatório inaugural do ano passado e contém informações de mais de 8.500 especialistas em segurança em 77 países, incluindo insights sobre o estado em evolução do ransomware , e-mail malicioso, malware e muito mais.
Ransomware vai para o varejo
O ransomware oferece um modelo de negócios de baixo investimento e alto lucro que é irresistível para os criminosos. O que começou com ataques de um único PC agora inclui ataques incapacitantes em toda a rede usando vários métodos de extorsão para atingir seus dados e sua reputação, todos habilitados pela inteligência humana. Por meio dessa combinação de inteligência em tempo real e táticas criminosas mais amplas, os operadores de ransomware elevaram seus lucros a níveis sem precedentes.
Esse ransomware operado por humanos , também conhecido como “ransomware de grandes jogos”, envolve criminosos que caçam grandes alvos que fornecerão um pagamento substancial por meio de sindicatos e afiliados. Ransomware está se tornando um sistema modular como qualquer outro grande negócio, incluindo ransomware como serviço (RaaS). Com o RaaS, não há um único indivíduo por trás de um ataque de ransomware; em vez disso, existem vários grupos. Por exemplo, um agente de ameaças pode desenvolver e implantar malware que dá a um invasor acesso a uma determinada categoria de vítimas; ao passo que um ator diferente pode simplesmente implantar malware. É efetivamente um sindicato do crime onde cada membro é pago por uma especialização específica.
Uma vez que um agente criminoso compromete uma rede, ele pode roubar informações confidenciais, documentos financeiros e apólices de seguro. Depois de analisar essa inteligência, eles exigirão um resgate “apropriado” não apenas para desbloquear os sistemas de suas vítimas, mas também para impedir a divulgação pública de dados exfiltrados. Isso é conhecido como o modelo de extorsão dupla: uma vítima é extorquida por resgate de dados roubados e propriedade intelectual (IP) e, novamente, para impedir que o invasor os publique.
Normalmente, os agentes de ameaças exigem pagamento por meio de carteiras de criptomoedas . A tecnologia blockchain subjacente permite que os proprietários de carteiras de criptomoedas permaneçam com pseudônimos. Mas o ator criminoso precisa encontrar uma maneira de sacar, que é onde os intermediários do ecossistema de criptomoedas intervêm para facilitar transações e pagamentos relacionados a resgates. Tanto o setor privado quanto as agências governamentais – por meio de litígios civis, processos judiciais, fiscalização regulatória e colaboração internacional – podem tomar ações coordenadas contra intermediários de ransomware para interromper o processo de pagamento. Dados da Equipe de Detecção e Resposta da Microsoft (DART) mostram queos três setores mais visados pelo ransomware foram consumidor, financeiro e manufatura .
Figura 1: engajamentos de ransomware DART por setor (julho de 2020 a junho de 2021).
A melhor maneira de estar preparado contra o ransomware é dificultar o acesso dos invasores aos sistemas e facilitar a recuperação das vítimas, sem pagar resgate. Incentivar as organizações a se prepararem para o pior é, na verdade, uma estratégia proativa, projetada para minimizar os incentivos monetários para os invasores. Para saber mais sobre como se defender contra ransomware, leia o MDDR 2021 . A Microsoft também oferece suporte às orientações apresentadas no Ransomware Playbook pelo Cyber Readiness Institute.
Figura 2: Três etapas para limitar os danos do ransomware.
E-mail malicioso: isca e troque
Os relatórios de ataques de phishing dobraram em 2020 , com o phishing de credenciais usado em muitos dos ataques mais prejudiciais. A Unidade de Crimes Digitais da Microsoft (DCU) investigou redes de crime organizado online envolvidas no comprometimento de e-mail comercial (BEC), encontrando uma ampla diversificação de como as credenciais roubadas são obtidas, verificadas e usadas. Os atores de ameaças estão aumentando seu investimento em ferramentas de automação e compra, para que possam aumentar o valor de suas atividades criminosas.
No geral, o phishing é o tipo mais comum de e-mail malicioso observado em nossos sinais de ameaça. Todos os setores recebem e-mails de phishing, com alguns verticais mais fortemente direcionados, dependendo dos objetivos do invasor, disponibilidade de endereços de e-mail vazados ou eventos atuais relacionados a setores e setores específicos. O número de e-mails de phishing observados no fluxo global de e-mails do Microsoft Exchange aumentou de junho de 2020 a junho de 2021 , com um aumento pronunciado em novembro, potencialmente aproveitando o tráfego com tema de feriado.
“Em 2020, o setor viu um surto de campanhas de phishing que permaneceu estável ao longo de 2021. Internamente na Microsoft, vimos um aumento no número geral de e-mails de phishing, uma tendência de queda nos e-mails contendo malware e um aumento no phishing de voz (ou vishing).” — Relatório de Defesa Digital da Microsoft de 2021
Figura 3: Técnicas de e-mail malicioso.
Os sites de phishing frequentemente copiam páginas de login legítimas e conhecidas, como MicrosoftOffice 365, para induzir os usuários a inserir suas credenciais. Em um exemplo recente, os invasores combinaram links de redirecionadores abertos com iscas que personificam ferramentas e serviços de produtividade conhecidos. Os usuários que clicavam no link eram direcionados a uma série de redirecionamentos – incluindo uma página de verificação CAPTCHA que adiciona uma sensação de legitimidade – antes de chegar a uma página de login falsa e, finalmente, comprometer a credencial. Essas identidades roubadas podem ser transformadas em armas em ataques BEC ou por meio de sites de phishing. Mesmo após um ataque bem-sucedido, os agentes de ameaças podem revender contas se as credenciais permanecerem comprometidas.
O Microsoft Defender SmartScreen detectou mais de um milhão de domínios exclusivos usados em ataques de phishing baseados na Web no ano passado, dos quais os domínios comprometidos representaram pouco mais de cinco por cento . Esses domínios geralmente hospedam ataques de phishing em sites legítimos sem interromper nenhum tráfego legítimo, portanto, seu ataque permanece oculto o maior tempo possível.
Domínios criados especificamente para ataques tendem a ficar ativos por períodos mais curtos. Ao longo do ano passado, a Microsoft viu os ataques ocorrerem em rajadas curtas que começam e terminam em menos de uma a duas horas.
Como esses minutos são importantes, a Microsoft está novamente co-patrocinando o Terranova Gone Phishing Tournament™ anual , que usa simulações do mundo real para estabelecer estatísticas precisas de cliques. Usando um modelo de email de phishing real incluído no Microsoft Defender paraOffice 365, o Attack Simulator fornece simulações com reconhecimento de contexto e treinamento hiperdirecionado para educar os funcionários e medir as mudanças de comportamento.
Malware: a oportunidade bate à porta
Assim como o phishing cresceu em escala e complexidade no último ano, o malware também continuou a evoluir.Microsoft 365A Defender Threat Intelligence observou inovações recentes que podem levar a um maior sucesso entre os invasores. Mesmo com uma série de objetivos de ataque — resgate, exfiltração de dados, roubo de credenciais, espionagem — muitos tipos de malware dependem de estratégias testadas pelo tempo para se estabelecerem em uma rede.
“Em todos os meses de agosto de 2020 a janeiro de 2021, registramos uma média de 140.000 ameaças de web shell em servidores, quase o dobro da média mensal de 77.000. Ao longo de 2021 vimos um aumento ainda maior, com uma média de 180.000 encontros por mês.” — Relatório de Defesa Digital da Microsoft de 2021
Simples e eficaz, o uso do web shell continua a crescer entre grupos de estados-nação e organizações criminosas, permitindo que invasores executem comandos e roubem dados de um servidor web ou usem o servidor como uma plataforma de lançamento para outros ataques. O PowerShell , usando sinalizadores suspeitos ou valores codificados, foi o comportamento mais comum que a Microsoft observou de malware este ano.
Também popular é o malware que tenta renomear ou injetar cargas para imitar os processos do sistema e coletar dados dos caches do navegador. Outras formas de malware em jogo foram: uso de sequências específicas de reconhecimento; processos adicionados às pastas de inicialização; Windows Antimalware Scan Interface (AMSI) e alterações de registro; e executáveis retirados da MicrosoftOffice 365arquivos acompanhados de outros alertas. Também observamos táticas de malware mais difíceis de mitigar, como:
- Malware sem arquivo e comportamento evasivo — isso inclui várias técnicas de malware sem arquivo empregadas por botnets, downloaders de commodities e campanhas avançadas de malware, todas projetadas para dificultar a remoção e a detecção.
- Abuso de serviço legítimo em comunicações de rede — Google Drive, Microsoft OneDrive , Adobe Spark, Dropbox e outros sites ainda são populares para entrega de malware, enquanto sites de “despejo de conteúdo” como Pastebin.com, Archive.org e Stikked.ch estão cada vez mais popular para download de componentes em malware de várias partes e sem arquivo.
Saber mais
Todas as pessoas e organizações têm o direito de esperar que a tecnologia que utilizam seja segura e entregue por uma empresa em que possam confiar. Como parte da abordagem diferenciada da Microsoft para segurança cibernética, a DCU representa uma equipe internacional de especialistas técnicos, jurídicos e de negócios que lutam contra o crime cibernético para proteger as vítimas desde 2008. Usamos nossa experiência e visão exclusiva das redes criminosas online para agir. Compartilhamos insights internamente que se traduzem em recursos de produtos de segurança, descobrimos evidências de encaminhamentos criminais para a aplicação da lei em todo o mundo e tomamos medidas legais para interromper atividades maliciosas.
Para obter uma visão abrangente do estado atual do crime cibernético, incluindo o aumento de domínios maliciosos e aprendizado de máquina adversário , baixe o Relatório de Defesa Digital da Microsoft de 2021 . Procure as próximas postagens do blog fornecendo informações detalhadas para cada semana temática do Mês de Conscientização sobre Segurança Cibernética 2021. Visite nossa página Mês de Conscientização sobre Segurança Cibernética para obter mais recursos e informações sobre como proteger sua organização durante todo o ano. Faça sua parte. #BeCyberSmart
Para saber mais sobre as soluções de segurança da Microsoft, visite nosso site . Marque o blog de segurança como favorito para acompanhar nossa cobertura especializada em questões de segurança. Além disso, siga-nos em @MSFTSecurity para obter as últimas notícias e atualizações sobre segurança cibernética.
1 Cibercriminosos aumentam os ataques à saúde, novamente , James Liu, Security Boulevard. 03 de junho de 2021.
2 Microsoft alerta para ataques contínuos do Nobelium Hacking Group , Nathaniel Mott, PCMag. 26 de junho de 2021.
3 Ataques a aplicativos financeiros aumentam 38% no primeiro semestre de 2021 , Natasha Chilingerian, Credit Union Times. 23 de agosto de 2021.
4 Uma senha permitiu que hackers interrompessem o Colonial Pipeline, disse o CEO aos senadoresStephanie Kelly, Jessica Resnick-ault, Reuters. 08 de junho de 2021.
FONTE: MICROSOFT