quarta-feira, 28 de outubro de 2009

[ Urgente ] > Caso de fraude a correntista do Itaú alerta internautas; confira as dicas de segurança

Decisão de tribunal do Rio Grande do Sul, que isentou banco de ressarcir cliente, relembra necessidade de adoção de cuidados contra crimes pela web.


O caso da 15º Câmara Cível do Tribunal de Justiça do Estado do Rio Grande do Sul (TJRS), que mudou uma sentença já dada e isentou o banco Itaú da responsabilidade de ressarcir um correntista que teve 4.487,53 reais retirados de sua conta pela web, é um sinal para os internautas redobrarem seus cuidados com a segurança.

Independentemente das visões jurídicas em torno do episódio, chama atenção o argumento utilizado pelo relator, o desembargador Otávio Augusto de Freitas Barcellos, para isentar o Itaú de indenizar o cliente que foi vítima do crime virtual.

Segundo a determinação da Justiça, não houve falha na prestação do serviço nem mesmo negligência no que diz respeito à segurança do site do banco. Tratou-se, portanto, de um caso de descuido dos procedimentos de segurança por parte do correntista. Diante dessa situação, cabe relembrar alguns procedimentos de segurança e atentar para as novas modalidades de crimes virtuais.

O perito em crimes pela internet e diretor da E-net Security, Wanderson Castilho, afirma que o ponto de partida é manter antivírus e firewall sempre atualizados. "É uma regra  conhecida, mas ainda assim muitas pessoas se esquecem desse cuidado".

Um dos principais pontos que devem ser atentados hoje, no entanto, refere-se à navegação, alerta Castilho. Ele observa que cresce a passos largos a clonagem de sites de empresas ou infecção de espaços virtuais de companhias conhecidas.

"O crime virtual está mudando sua forma de agir. Em vez de investirem só no envio de e-mails infectados, os crackers passaram a contaminar sites de empresas", diz. "Por isso, vale ficar atento a qualquer mudança do visual do site do banco ou de empresas que o usuário costuma visitar. Se notar algo diferente, é melhor telefonar para a companhia e se certificar de que aquele site é de fato da organização e de que ele está seguro", recomenda. 

Para auxiliar você, preparamos umas dicas de segurança para que os criminosos virtuais fiquem distantes de máquina.

Confira.

Atualizar programas de segurança
É fundamental checar com regularidade se seu antivírus e firewall estão atualizados. Trata-se de uma regra básica e fundamental, mas nem sempre seguida.

E-mails com links
Sinal de alerta quando receber mensagens eletrônicas que pedem para clicar em links. Essa é uma das formas mais tradicionais utilizadas por criminosos virtuais. Os códigos maliciosos podem ser enviados por meio de spams e também pelo e-mails de seus amigos, que podem não saber que estão contaminados.

Navegação
Muito cuidado com os sites que você acessa. É muito comum chegarmos a canais desconhecidos por meio de mecanismos de busca. Tome cuidado: tem crescido o número de sites falsos criados para infectar usuários desavisados. Sites de sexo estão entre os mais perigosos.

Sites de bancos
Como os mecanismos de segurança das instituições financeiras costumam ser bem protegidos, os crackers passaram a investir na clonagem desses espaços virtuais. Em outras palavras, eles criam uma página muito parecida com a dos bancos, para que o usuário a visite e informe sua senha bancária. Portanto, a dica é para ficar atento a qualquer mudança, por mais sutil que seja, ao lay out do site (logotipo, cores usadas, seções). Se ficar em dúvida, telefone para o banco e se certifique de que aquele site é mesmo da instituição.

Informações confidenciais
Não vá passando qualquer informação que lhe pedirem. É comum em sites clonados a solicitação de dados confidenciais, como RG, CPF e endereço de sua residência - além da senha. Mas, como seu banco já possui seus dados pessoais, dificilmente eles lhe pediria novamente pela internet. Se isso acontecer, telefone para a instituição e relate o ocorrido.

Sites de empresas
Uma modalidade de crime virtual em moda atualmente é a infecção de sites de companhias conhecidas. Por isso, a recomendação para ficar atento a mudanças de visual nas páginas também vale para este caso. Outro cuidado também é importante: se aparecer alguma janela diferente da que você se acostumou a ver no site, com mensagens do tipo ""warming
security" ou com solicitação de dados confidenciais, desconfie.  



segunda-feira, 26 de outubro de 2009

* 26/10/2009 - Alertas.

[ALERTA] >  Site Flashplayer1001236.com está distribuindo vírus trojan como falsa atualização do plugin flash [no ar].

[por e-mail] > "Oii!! voce ja viu essa?" - Falso email com 3 supostas fotos, com link malicioso.



 [por e-mail] > "Email do Cliente:X - Recadastre sua conta Bradesco.." - Falso email em nome do #Bradesco.


 [por e-mail] > "Você recebeu um Vivo Foto Torpedo" - Falso email em nome da #Vivo .


[por e-mail] > "Cobranca referente mes 09/2009" - Falso email em nome da Hircon.


[por e-mail] > "Você foi convidado para a \"Festa so ano!\"." - Falso email em nome da Bridgestone.


[por e-mail] > "Você acaba de receber uma FLECHADA DO AMOR" - Falso email em nome da #Microsoft (MSN).


 [por e-mail] > "Módulo de Proteção." - Falso email enviado em nome do Bradesco.


[por e-mail] >  "Alexandre Nardoni é morto na prisão" - Email falso em nome do G1.



 [ALERTA] > Dominio PendenciasBrasil.com sendo usado em falsas mensagens com o nome do Serasa [no ar].

quinta-feira, 22 de outubro de 2009

* Panda IS 2010 – 1 ano grátis [Só Hoje] *

O novo Panda Internet Security 2010 é um pacote de segurança completo que lhe permite utilizar a Internet em completa tranquilidade. Protege-o contra vírus, spyware, rootkits, hackers, fraudes online, roubo de identidade e de todas as outras ameaças da Internet. O motor anti-spam mantém a sua caixa de correio livre de e-mail indesejados ao passo que o Controlo Parental assegura que as crianças utilizam a Web de forma segura. E graças à nova tecnologia Inteligência Colectiva, a solução é agora muito mais rápida do que as anteriores.



Para celebrar a cobertura agora também ao novo Windows 7 a Panda está a promover uma oferta, só hoje, da sua mais recente suite se segurança.

Principais Benefícios:
Protecção Anti-Malware
Protecção contra Roubo de Identidade
Navegação Segura na Internet


Como obter a licença:

1º Registe- se neste site, e depois de preecher os capos assinalados carregue em Submit


2º Faça o download aqui, e espere de 1 a 3 dias para obter a sua licença no seu email



Pronto a ser usado por 1 ano grátis!


Homepage: Panda Labs

quarta-feira, 21 de outubro de 2009

* Lançado AVG Free 9 *

Antivírus gratuito afirma ter verificação de vírus 50% mais rápido que versão anterior


A nova versão do antivírus gratuito da AVG está disponível para download. Segundo a empresa, o AVG Free 9 é 50% mais rápido na verificação de vírus em relação à versão anterior.
Além da proteção antivírus, o AVG Free 9 oferece, através do LinkScanner (software desenvolvido separadamente e comprado pela AVG em 2007), proteção antimalware. O LinkScanner atua checando códigos suspeitos durante a navegação na internet e na verificação de emails.
O software traz ainda um novo recurso de recuperação de identidade, apenas para usuários nos Estados Unidos. O recurso, chamado ITRU (identity theft recovery unit, ou, em tradução livre, unidade de recuperação de identidade furtada), é, segundo a empresa, “uma unidade exclusiva para recuperação de identidades roubadas, com especialistas em tais crimes”.
O AVG Free 9 pode ser baixado gratuitamente em português aqui.

* Ultimas - 21 de outubro de 2009 *

[por e-mail] > "Reenvio Orçamento - Pedimos Urgência." - Falso email, com falso orçamento.

[por e-nmail] > "Promoção Nestlé Nós torcemos por você - Email falso em nome da Nestlé.

[por e-mail] > "latinfinance.com.br Comprovante de Deposito em Conta Corrente."

[por WWW] >  [ALERTA] Falso domínio GolVoeFacil.net está sendo usado em mensagens de phishing para distribuir vírus trojan [no ar]



 

terça-feira, 20 de outubro de 2009

* Saiba como funcionam os programas antivírus *

Uma “assinatura” é:
Uma informação usada para detectar pragas. Assim como a assinatura do nome identifica a identidade da pessoa, a assinatura de um vírus é o que o antivírus usa para identificar que uma praga digital está presente em um arquivo. A assinatura é geralmente um trecho único do código do vírus. Procurando por esse trecho, o antivírus pode detectar o vírus sem precisar analisar o arquivo inteiro.

O que é a quarentena?
É o local onde o antivírus armazena arquivos identificados como vírus. As assinaturas nem sempre são 100% confiáveis e podem detectar vírus em arquivos inofensivos. Ao deixar os arquivos suspeitos em um local isolado e seguro, o antivírus permite que os mesmos sejam recuperados mais tarde, se isso for necessário, e impede que as pragas realizem qualquer atividade maliciosa. Idealmente, os arquivos na quarentena são criptografados ou alterados de alguma forma para que outros antivírus não os identifiquem como vírus. Isso nem sempre acontece, e a quarentena acaba gerando conflitos caso dois softwares antivírus estejam em um mesmo PC – o que não é recomendado.

Às vezes, antivírus cometem o erro de detectar infecção em programas legítimos, sem vírus. A isso se dá o nome de...
Falso positivo. Quando um antivírus examina um arquivo, ele responde uma pergunta implícita – “esse arquivo é um vírus?” A resposta pode ser positiva (“sim, é”) ou negativa (“não, não é”). Quando um antivírus dá uma resposta positiva incorretamente, diz-se que ocorreu um “falso positivo”. Quando o antivírus deixa escapar um vírus, o termo é “falso negativo”.

O correto a se fazer com um vírus que o antivírus não detecta é...
Enviar o arquivo para a empresa antivírus. Se você sabe que o arquivo é um vírus e o antivírus não o está detectando, enviá-lo para análise é a atitude mais correta a se tomar. Muitos programas possuem opções em seus menus para realizar esse procedimento. Em outros casos, os sites das empresas disponibilizam um e-mail. Enviar os arquivos ao VirusTotal também funciona, porque ele redistribui a amostra para mais de 40 empresas antivírus.


Heurística é...
Um conjunto de técnicas para identificar vírus desconhecidos. Muitos programas inclusive possuem nomes de vírus específicos para o que é detectado pela heurística. Um usuário que conhece bem o seu antivírus pode saber quando a heurística está agindo para enviar os arquivos suspeitos à companhia antivírus. O Norton AntiVirus, por exemplo, chama de “Bloodhound” o que é detectado com essa tecnologia; o NOD32, “NewHeur”. Uma detecção heurística, por ser genérica, também tem mais chance de ser um falso positivo.

Não é um uso válido da quarentena...
Isolar arquivos importantes contra infecção. A quarentena apenas serve para isolar as pragas digitais e não tem a finalidade de proteger arquivos legítimos contra infecção.

Em antivírus, chama-se HIPS (Host Intrusion Prevention System) a tecnologia que...
Analisa o comportamento dos programas em execução. É às vezes também chamada de “behavior blocking”. Usando essa tecnologia, os antivírus verificam se um programa realiza atividades suspeitas, como por exemplo envio de e-mails em massa, download de muitos arquivos, entre outros comportamentos que indicam a possibilidade de ser uma praga digital. É diferente da heurística porque só funciona com programas em execução, enquanto a heurística analise o próprio arquivo.

Atualmente, não se considera tarefa do antivírus a detecção de...
Nada. O antivírus tem o dever de detectar qualquer programa malicioso ou mesmo apenas indesejado. Até alguns anos atrás, os usuários precisavam instalar softwares separados para cada função. Ao antivírus era reservada a função de detectar apenas pragas digitais; antispywares e antitrojans se encarregavam de remover ou detectar softwares suspeitos ou de comportamento duvidoso. Hoje, tudo isso foi integrado ao antivírus. Aplicativos anti-spywares dedicados estão sumindo por não serem mais necessários.

Seu computador está infectado. O antivírus remove algumas pragas, mas não resolve o problema. Você instala outro programa, ou usa um antivírus on-line. Ele detecta mais pragas e o problema é resolvido. É correto afirmar...
Nada pode ser afirmado. Nenhum antivírus detecta 100% das pragas. No momento que um computador está infectado, é evidente que o antivírus falhou. No entanto, quantas outras pragas digitais foram detectadas, barradas ou eliminadas pelo antivírus que estava no computador até então? É muito comum esse cenário: o computador é infectado, o usuário instala outro programa, ele remove as pragas e conclui-se que o segundo software era melhor que o primeiro. É uma conclusão equivocada, no entanto, e é importante evitá-la.

segunda-feira, 19 de outubro de 2009

* Rapidas *

[por página web] Domínio falso TVDigitalGlobo.com está sendo usado em mensagens de phishing para disseminar vírus.

[por e-mail] > "Parabéns você foi convidado para experimentar a TV DIGITAL", e-mail oferecendo suposto player traz virus.

[por e-mail] > "InfoEmail: Confirmaç de cheque." - Falso email enviado em nome do Bradesco.

[por e-mail] > "Chegou um torpedo Vivo para você - Falso email enviado em nome da Vivo.

[por e-mail] > "DDA - Gerenciador Financeiro" - Falso email enviado em nome do Banco do Brasil.

[por email] > "xxx,AVISO! Atualizacao importante para cliente Caixa."- Email falso enviado em nome da Caixa.

[por email] > "Seu perfil foi denunciado", falsa mensagem apontando para o dominio SegurancaWebOrkut.com.br

[por email] > [Departamento Financeiro] - Email falso enviado em nome da Americanas.com. Confira a imagem.

[por email] > "Atualizaç E-Banking Bradesco " - Email falso enviado em nome do Bradesco.

[por email] > Email falso enviado em nome do Tribunal Superior Eleitoral.

[por email] > [ALERTA] Domínio bradescoinvestimentos.com está hospedando página falsa do banco Bradesco

[por email] > "Segue Nota Fiscal Eletronica conforme solicitada", falsa mensagem traz link para virus trojan.

[por email] > "Escandalo da prova do ENEM, estou te mandando a prova e o resultado do ENEM".

[por página web] > [ALERTA] Falso dominio youtube-watch.com está sendo usado para disseminar vírus através de mensagens de phishing.

[por email] >  "Video mostra paciente morto pelo vrus H1N1". Falso video em email redireciona usuário a cavalo de tróia. Golpe ainda está no ar.

[por email] >  "InfoEmail: Confirmação de cheque." Falso email em nome do Banco Bradesco S.A. contém link para cavalo de tróia.

[por email] > [ALERTA] Falso domínio ConsorcioNacionalYamaha.com está sendo usado para distribuir trojan em mensagens de phishing [no ar]

[por email] > [ALERTA] Download do discador no site do iG foi trocado por um trojan banker.


* Windows Malicious Software Removal Tool v3.0 *

A Ferramenta de Remoção de Softwares Mal-intencionados do Windows verifica computadores com o Windows Vista, Windows XP, Windows 2000 e Windows Server 2003 e ajuda a remover infecções causadas por malwares específicos. Quando o processo de detecção e remoção estiver concluído, a ferramenta exibirá um relatório descrevendo o resultado.

Essa ferramenta não substitui um produto antivírus. Para ajudar a proteger seu computador, use um software antivírus e mantenha-o sempre atualizado.



Requisitos de Sistema:
Sistemas Operacionais Suportados: Windows 2000; Windows Server 2003 (x86 e x64); Windows Vista (x86 e x64); Windows XP (x86 e x64)

* avast! AntiVirus Free v5.0.167 Beta *

A Alwil Software lançou um novo beta público do avast! AntiVirus Free v5.0. O avast! AntiVirus Free v5.0.167 Beta, que é o sucessor do avast! 4.8 Home Edition, teve sua interface totalmente redesenhada e ganhou diversas melhorias na performance e em seu mecanismo de detecção de malwares.

Download: avast! AntiVirus Free v5.0.167 Beta 

* AVG AntiVirus Free v9.0.686a1719 *

Depois de ter lançado a versão 9.0 do AVG Internet Security e do AVG AntiVirus 9.0 na semana passada, a AVG Technologies lançou hoje a versão 9.0 do AVG AntiVirus Free.

O programa é compatível com Windows 2000, XP (32 e 64 bits), Vista (32 e 64 bits), 7 (32 e 64 bits) e oferece proteção básica contra vírus, spywares, phishing e outras ameaças.

Download: AVG AntiVirus Free v9.0.686a1719 (Português | Brasil)

Download: AVG AntiVirus Free v9.0.686a1719 (Inglês | EUA)

* Atualização falsa do Outlook Web Access instala Trojan *

Analistas no Websense Security Labs detectaram uma onda de ataques direcionada aos usuários do Microsoft Outlook Web Access. De acordo com a empresa de segurança, seus analistas detectaram cerca de 30 mil e-mails enviados por hora na última quarta-feira que continham um link para uma suposta "atualização de segurança" para o Outlook Web Access.

Ao clicar no link contido no e-mail, o usuário é levado para um site falso que acaba instalando o Trojan Zbot no computador. O site também exibe o nome do usuário e seu endereço de e-mail para parecer que é mesmo um site legítimo.

sexta-feira, 9 de outubro de 2009

Alerta! 09/10/2009

1- "Teste gratis por 30 dias nosso enviador de torpedos para todas operadoras", falsa mensagem com susposto programa traz link p/ trojan.

2-  "Alexandre Nardoni é morto na prisão!", falso e-mail traz link para cavalo de tróia ladrão de senhas de banco.

3-  ALERTA] Falso domínio wwwwbradesco.com.br sendo usado em mensagens falsas para distribuir virus trojan [no ar].

Microsoft: 13 atualizações de segurança na próxima terça

A Microsoft está planejando lançar 13 atualizações de segurança na próxima terça-feira como parte de seu ciclo mensal (o conhecido Patch Day). Destas 13 atualizações, oito foram classificadas como críticas e cinco foram classificadas como importantes.

As atualizações afetam o Windows, Internet Explorer, Office, Silverlight, Forefront, Visual Studio e SQL Server. Além das atualizações de segurança, a Microsoft também lançará uma nova versão de sua ferramenta para remoção de malwares e atualizações para os filtros de lixo eletrônico do Outlook 2003, Outlook 2007 e Windows Mail.

As atualizações estarão disponíveis através do Windows Update/Microsoft Update/WSUS (Windows Server Update Services) e através de sua Central de Downloads.

quinta-feira, 8 de outubro de 2009

Novo recorde para os hackers: 5 milhões de novas ameaças

Trojans (71%), adware (13%) e spyware (9%). Todos aumentaram, ao passo que os vírus tradicionais quase desapareceram, representando apenas 2% do total de ameaças.




Foi divulgado pelo PandaLabs o novo relatório trimestral com detalhes sobre a actividade criminosa online de Julho a Setembro. Poderá ver aqui o relatório detalhado.
O maior destaque vai para o novo recorde dos hackers no que diz respeito à criação de novas ameaças: apenas nos últimos três meses, o PandaLabs registou cinco mihões de novas espécies de malware. A maioria foram banker Trojans, apesar do adware e do spyware terem também aumentado.




“Actualmente recebemos cerca de 50.000 novos exemplares de malware diariamente, comparando com os 37.000 de apenas há uns meses atrás. Não há razões para crer que a situação melhore nos próximos meses” explica Luis Corrons, Director Técnico do PandaLabs.




Em termos do número de computadores infectados, houve um aumento de 15% comparativamente ao anterior trimestre. Mais de 37% dos casos foram causados por Trojans, ao passo que o adware foi responsável por 18,68% de todas as infecções. Esta categoria em particular tem vindo a expandir-se rapidamente devido à maior proliferação dos falsos programas antivírus ou rogueware.

Este relatório destaca ainda as tendências analisadas ao longo do último trimestre. O PandaLabs detectou um enorme crescimento na distribuição de malware através de spam, de redes sociais e de técnicas de optimização de resultados em motores de busca, que levam os utilizadores para falsas páginas Web onde o malware é transferido. Estes métodos de propagação de malware utilizam normalmente técnicas de engenharia social, explorando uma série de temas como a Gripe A, o Dia da Independência, discursos de Barack Obama, entre outros.

sexta-feira, 2 de outubro de 2009

Microsoft altera função do Windows para reduzir riscos de vírus em pen drives

Colunista comenta esta e outras notícias de segurança da semana.
Deixe sua dúvida sobre segurança da informação nos comentários.

Altieres Rohr*
Especial para o G1
“Espete” um pen drive no computador e você pode ser infectado por um vírus que está armazenado na mídia. Essa é a realidade em diversas versões do Windows, se você utiliza a configuração padrão do sistema. No Windows 7, esse não é mais o caso, porque o “AutoRun” – que faz o “favor” de executar os programas em mídias removíveis – só é ativado em CDs e DVDs. Para todos que ainda usam (ou continuarão usando) versões anteriores do Windows, a Microsoft disponibilizou uma atualização que altera o comportamento do sistema para ser o mesmo do Windows 7 – reduzindo, assim, o risco de infecção por pen drives.

Confira outras notícias da semana: criado código para explorar falha sem correção no Windows; vídeos de conferência de segurança brasileira são publicados na web.

Se você tem alguma dúvida sobre segurança da informação (antivírus, invasões, cibercrime, roubo de dados, etc), vá até o fim da reportagem e utilize a seção de comentários. A coluna responde perguntas deixadas por leitores todas as quartas-feiras.

>>> Atualização impede execução de vírus em pen drives




A Microsoft cumpriu sua promessa, feita há quatro meses, e lançou uma atualização para mudar o comportamento do AutoRun nos Windows XP, 2003, Vista e 2008. Uma vez instalada, ela elimina por completo a função de execução automática (AutoRun) para qualquer mídia que não seja um CD ou DVD. Com isso, a disseminação de vírus por meio de pen drives – usada pelo Conficker, entre outras centenas de pragas – é dificultada.

A atualização precisa ser instalada manualmente. O artigo na base de conhecimento da Microsoft ainda não está disponível em português – apenas uma tradução automática é oferecida. A atualização em si, no entanto, está disponível em português do Brasil no Centro de Downloads da Microsoft. Use também esses links diretos:

- Atualização para o Windows XP
- Atualização para o Windows Vista

Esse novo comportamento é o mesmo que o Windows 7 apresenta por padrão após sua instalação. A instalação da atualização é recomendada, já que o impacto no funcionamento normal do sistema será mínimo e o ganho em segurança visível.

Para que um vírus em um pen drive infecte um computador, o usuário terá de executar manualmente o programa armazenado na mídia. Antes, conectar o dispositivo ao PC era suficiente para que a praga fosse executada.

A coluna recomendou em várias ocasiões a desativação completa do AutoRun. A atualização, no entanto, é agora uma opção mais atraente.

Alertas!!!!

  • Site da Ambev está sendo usado para distribuir virus banker através de JavaScript malicioso.
  • Site da dupla sertaneja Victor e Léo foi usado para distribuir malware através de um applet malicioso.
  • Prêmios falsos via SMS são isca para 'fraude nigeriana' no Brasil.
  • Site falso de conteúdo adulto videoscurtos.com está sendo usado para distribuir virus banker.
  • "Voce possui debitos pendentes nas Casas Bahia", mensagem falsa leva para trojan.
  • Dominio FotoVipsFlogao.net está sendo usado para distribuir vírus através de mensagens de phishing.













Botnet DlKhora oculta comandos em imagens JPEG

De acordo com um alerta da empresa de segurança SecureWorks, a botnet DlKhora é capaz de ocultar comandos específicos em imagens JPEG falsas!

De acordo com a empresa, o principal propósito da DlKhora é receber instruções para fazer o download e execução de outros malwares. Além disso o malware também tenta desativar os programas antivírus e firewalls instalados no computador infectado.

A SecureWorks informou que o servidor da botnet define o cabeçalho HTTP Content-Type como "image/jpeg" e mascara os comandos do bot com um cabeçalho JPEG falso de 32 bytes. O bot então verifica o cabeçalho definido pelo servidor e se estiver correto ele decodifica o resto da resposta para acessar seus comandos.

Os comandos são codificados usando um único byte XOR com 0x4. Um dos malwares instalados pela botnet é um BHO (Browser Helper Object) conhecido como ExeDot, que exibe anúncios.

quinta-feira, 1 de outubro de 2009

Saiba como funcionam os vírus que roubam senhas de banco

Colunista explica ‘bankers’, da infecção até roubo de dados bancários.
Seção de comentários está aberta para dúvidas sobre segurança.

Altieres Rohr*
Os códigos maliciosos mais comuns da internet brasileira são os “bankers” – pragas digitais que roubam principalmente as senhas de acesso aos serviços de internet banking. A palavra “banker” é uma variação dos termos “cracker” e “hacker”: assim como o “phreaker” é especializado no sistema telefônico e o “carder” em cartões de crédito, o “banker” se especializa em bancos. Como funciona o ataque de um “banker”, da infecção do sistema até o roubo das informações bancárias? Esse é o assunto da coluna Segurança para o PC de hoje.

Se você tem alguma dúvida sobre segurança da informação (antivírus, invasões, cibercrime, roubo de dados, etc), vá até o fim da reportagem e utilize a seção de comentários. A coluna responde perguntas deixadas por leitores todas as quartas-feiras.

Disseminação

A maioria dos bankers pode ser considerada um “cavalo de troia”, ou seja, eles não se espalham sozinhos. Quem dissemina a praga é o próprio criador do vírus e, uma vez instalado no sistema da vítima, o código malicioso tentará apenas roubar as credenciais de acesso e não irá se espalhar para outros sistemas. Existem exceções: alguns desses vírus conseguem se espalhar por Orkut e MSN, por exemplo.

Mesmo que o vírus consiga se espalhar sozinho, ele precisa começar em algum lugar. Tudo geralmente começa em um e-mail, como a coluna mostrou anteriormente.



Depois de abrir o e-mail infectado, internauta será convidado a baixar o vírus. (Foto: Reprodução )

O vírus acima será chamado de “banker telegrama” por causa da isca utilizada pelos fraudadores. Essa tela de confirmação de download aparece assim que o internauta tenta acessar o link oferecido no e-mail malicioso. Nesse caso, o e-mail diz ser um telegrama. É possível verificar que o endereço do site não tem nenhuma relação com “telegrama”, mas o nome do arquivo, sim.

Os criminosos também podem invadir algum site conhecido para infectar os visitantes. Isso já aconteceu com o site das operadoras Vivo e Oi e com o time de futebol São Paulo FC.

Neste final de semana, foi a vez do site da fabricante de bebidas AmBev sofrer um ataque. Quem visitou o site correu o risco de ver a mensagem na foto abaixo e, se clicasse em run, ser infectado. Essa praga será referida mais adiante como “banker applet” devido à técnica de contaminação usada – a janela intitulada “Security Warning” (“Aviso de Segurança”) pede a confirmação da execução de do que se chama de “applet”no jargão técnico, mas que é na verdade um programa quase normal. “Run” significa “rodar”ou “executar”. Ao dar um único clique em “run”, o internauta está efetivamente executando um software no PC que, nesse caso, é um vírus.

Procurada pelo G1, a empresa se pronunciou via assessoria de imprensa. “A AmBev informa que a segurança de seus sites e servidores é constantemente monitorada e reforçada. Tão logo detectamos a ocorrência tomamos as medidas necessárias para solucioná-la, sem quaisquer outros desdobramentos."




Sites legítimos, como o da Ambev, podem ser usados como meios de infecção. (Foto: Reprodução)

Em entrevista ao G1, um especialista da empresa antivírus Kaspersky informou que o conhecimento dos hackers brasileiros era de “nível técnico”. Os meios de infecção mostrados acima são realmente muito simples.

Um ataque avançado poderia ter contaminado o computador de teste usado pela coluna sem a necessidade de autorizar o download, porque o sistema estava desatualizado e com diversas brechas de segurança passíveis de exploração. Mais adiante será possível ver outros deslizes técnicos dos golpistas.

Infecção


 A grande maioria dos vírus brasileiros é muito simples: resumem-se a um ou dois arquivos no disco rígido, executados automaticamente quando o sistema é iniciado. Quem puder identificar os arquivos e apagá-los terá um sistema novamente limpo. Existem algumas pragas bem mais sofisticadas, mas não são muito comuns.

No caso do Banker Telegrama, o vírus se instala numa pasta chamada “Adobe” em “Arquivos de Programas” com o nome “AcroRd32.scr”, numa clara tentativa de se passar pelo Adobe Reader (que tem exatamente o mesmo nome, mas com extensão “.exe” e fica em outra pasta).

Mas os golpistas esqueceram de trocar o ícone. O ícone usado pelo vírus é padrão de aplicativos criados na linguagem de programação Delphi, muito utilizada pelos programadores brasileiros (tanto de softwares legítimos como vírus).


Já o Banker do Applet foi mais cuidadoso: o arquivo malicioso copiou-se para a pasta “system”, dentro da pasta Windows. O nome de arquivo utilizado foi “wuaucldt.exe” – um 'd' a mais do que o arquivo legítimo do Windows 'wuauclt.exe', responsável pelas atualizações automáticas. O ícone também foi trocado para ser idêntico ao do arquivo do sistema operacional.

Roubo de dados

Depois que o vírus está alojado no PC, ele precisa roubar os dados do internauta de alguma forma. As técnicas são várias. Algumas pragas mais antigas fechavam o navegador web no acesso ao banco e abriam outro navegador, falso, que iria roubar os dados.

Hoje, as técnicas mais comuns são o monitoramento da janela e o redirecionamento malicioso. Cada praga analisada pela coluna usou uma delas.

No caso do redirecionamento, o que ocorre é uma alteração no arquivo 'hosts' do Windows. A função desse arquivo já foi explicada pela coluna. Ele permite que o usuário defina um endereço que será acessado quando um site for solicitado. O que a praga faz é associar endereços falsos aos sites de instituições financeiras.

Quando um endereço de um banco é acessado, a vítima cai em uma página clonada. Esse acesso é visto e controlado pelos criminosos. Se o usuário realizar o login no serviço de internet banking pela página falsa, os dados da conta e a senha cairão nas mãos dos fraudadores.

Aqui é possível perceber outros descuidos técnicos dos golpistas: o site clonado apresenta erros, como por exemplo de “página não encontrada”. A reportagem usa como exemplo a página clone do Banco do Brasil, mas esse vírus redireciona vários outros bancos, e todas as páginas clonadas têm problemas semelhantes.




Endereços são diferentes no site falso, que também não possui certificado SSL (o “cadeado”). (Foto: Reprodução)

O site falso também não possui certificado SSL, portanto não apresentou o “cadeado de segurança” que tanto é divulgado nas campanhas de segurança das instituições financeiras. Os criminosos poderiam ter incluído um cadeado falso sem grande dificuldade – o fato que não o fizeram mostra ou que são incompetentes ou que os usuários que caem nesses golpes não tomam as mínimas precauções contra fraudes on-line.


Vírus brasileiro bloqueia site de segurança mantido por colunista do G1 para impedir que internauta obtenha ajuda. (Foto: Reprodução)


Por outro lado, o vírus bloqueia – também com o arquivo hosts – sites técnicos e úteis, como o “virustotal.com”, usado para realizar exames antivírus, e o Linha Defensiva – página mantida por este colunista do G1.

O banker do telegrama, por sua vez, silenciosamente monitora o acesso ao internet banking, capturando as informações e as enviando aos seus criadores. Em alguns casos, ele pode alterar as páginas dos bancos para solicitar informações que vão além do que normalmente é necessário para o acesso. Esse tipo de praga é mais complexo: o vírus tem 3,2 megabytes, contra apenas pouco mais de 400 KB do banker do Applet. Apesar do tamanho reduzido, o número de alvos é maior.

A simplicidade dos roubos por meio de redirecionamento é atraente para os golpistas, que tem utilizado a técnica com uma frequência cada vez maior. Alguns especialistas em segurança se referem a esse tipo de ataque como “banhost”. Os termos 'Qhost' e 'pharming' também são usados.

Outros métodos

Os criminosos têm à sua disposição outras maneiras de roubar dados financeiros, como por exemplo a criação de páginas clonadas que apresentam formulários solicitando diretamente as informações do correntista. Esse tipo de golpe é muito comum no mundo todo, mas nem tanto no Brasil, onde muitas pragas digitais são desenvolvidas apenas para a realização de fraudes bancárias. A coluna de hoje buscou explicar apenas um tipo de golpe – o dos cavalos de troia.

E por hoje é isso. A coluna volta na quarta-feira (30) com o pacotão de segurança, trazendo respostas de dúvidas deixadas por leitores da coluna como você. Se você tem alguma dúvida ou sugestão de pauta, deixe-a na seção de comentários, logo abaixo. Até a próxima

* Altieres Rohr é especialista em segurança de computadores e, nesta coluna, vai responder dúvidas, explicar conceitos e dar dicas e esclarecimentos sobre antivírus, firewalls, crimes virtuais, proteção de dados e outros. Ele criou e edita o Linha Defensiva, site e fórum de segurança que oferece um serviço gratuito de remoção de pragas digitais, entre outras atividades.

Novo trojan rouba senhas - e seu dinheiro também

Pesquisadores da empresa de segurança Finjan descobriram um novo tipo de Trojan que não apenas rouba suas senhas bancárias mas também rouba o dinheiro diretamente da sua conta enquanto você está logado e ainda exibe um saldo falso!

O Trojan, chamado URLzone, tem recursos criados para enganar sistemas de detecção contra fraudes que são ativados quando transações incomuns são efetuadas. O Trojan é programado para calcular em tempo real quanto dinheiro ele precisa roubar de uma conta com base no saldo disponível.

O Trojan analisado pela Finjan visa especificamente clientes de bancos alemães. Ele estava conectado a um servidor localizado na Ucrânia que estava sendo usado para enviar as instruções para o Trojan nos PCs infectados. A Finjan já notificou as autoridades na Alemanha.

"Ele pode ser considerado como uma nova geração de Trojans", disse Yuval Ben-Itzhak, da Finjan. "Ele faz parte de uma nova geração de Trojans criados para burlar os sistemas antifraude", disse ele.

Os pesquisadores da empresa foram capazes de rastrear a comunicação entre um PC infectado e o servidor de controle do Trojan, de acordo com Ben-Itzhak. Neste servidor, eles viram o console de administração LuckySploit e foram capazes de ver exatamente quais tipos de regras foram escritas para o Trojan e também algumas estatísticas sobre as vítimas.

Cerca de 90 mil computadores visitaram sites que hospedavam o malware e mais de 6.400 deles foram infectados, uma taxa de sucesso de 7,5%. Dos PCs que foram infectados pelo Trojan, algumas centenas tiveram dinheiro roubado de suas contas bancárias.

No decorrer de 22 dias no mês de agosto, os criminosos por trás do malware roubaram em euros o equivalente a US$ 438.000, de acordo com a Finjan.

O código do Trojan inclui instruções detalhadas sobre como o malware
deve calcular a quantia a ser roubada da conta de suas vítimas.
As vítimas em potencial tem seus PCs infectados através de mensagens de e-mail, de sites criados especificamente para a distribuição do malware ou através de sites comprometidos pelos criminosos.

Neste caso, um kit de ferramentas chamado LuckySpoilt explora uma falha de segurança no navegador e instala o Trojan no computador. Quando o Trojan percebe que o usuário do PC infectado está visitando o site de um banco, o malware entra em ação.

Enquanto o usuário faz o que precisa fazer logado em sua conta no site do banco, o Trojan procura pelo saldo disponível e determina a quantia a ser roubada. O Trojan tem um valor mínimo e máximo que fica logo abaixo da quantia necessária para ativar o sistema antifraude.

Depois de determinar a quantia a ser roubada, o Trojan efetua a transação sem o conhecimento do usuário! "O Trojan se comunica com o banco e recebe o retorno sem você saber", disse Ben-Itzhak. "Você está olhando para sua conta e não vê o que está acontecendo na verdade".

O Trojan então envia o dinheiro para a conta de um "laranja", alguém que cria a conta apenas para receber o dinheiro roubado. Estes "laranjas" são recrutados pela internet como "gerentes financeiros" cujo único propósito é transferir o dinheiro roubado de sua conta para outra, quase sempre localizada fora do país, em troca de uma comissão.

Enquanto isso, o Trojan esconde o roubo removendo o registro da transação e exibindo um saldo falso. A vítima só perceberá que há algo errado quando outro PC não infectado tentar acessar a conta, quando um caixa eletrônico for usado ou se uma transação for negada por causa do saldo insuficiente.

De acordo com um relatório da Finjan, o Trojan também mantém um registro sobre a conta da vítima, tira screenshots e rouba senhas de contas de outros serviços como PayPal, Facebook e Gmail.