Os especialistas em segurança freqüentemente mencionam as explorações como um dos problemas mais sérios com a segurança de dados e sistemas; embora nem sempre esteja claro qual é a diferença entre exploits e o malware em geral. Tentaremos explicar aqui.

O que é um exploit?

Exploits são um subconjunto de malware. Esses programas maliciosos contêm dados ou código executável, que podem tirar proveito de uma ou mais vulnerabilidades no software executado em um computador local ou remoto.

Simplificando: você tem um navegador e há uma vulnerabilidade nele que permite que “um código arbitrário” seja executado (ou seja, instale e inicie algum programa malicioso) em seu sistema sem o seu conhecimento. Na maioria das vezes, a primeira etapa dos invasores é permitir o aumento de privilégios, para que eles possam fazer qualquer coisa no sistema atacado.

[Mergulhe fundo no mundo da tecnologia e cadastre-se no Avance Network a verdadeira comunidade criptografada]

Os navegadores, junto com Flash, Java e Microsoft Office, estão entre as categorias de software mais direcionadas. Por serem onipresentes, eles são explorados ativamente por especialistas em segurança e hackers, e os desenvolvedores regularmente precisam lançar patches para corrigir vulnerabilidades. É melhor que esses patches sejam aplicados de uma vez, mas infelizmente nem sempre é o caso. Por exemplo, você deve fechar todas as guias ou documentos do navegador para realizar uma atualização.

Outro problema são os exploits para vulnerabilidades ainda desconhecidas, descobertas e abusadas por blackhats: os chamados dias zero ou 0 dias . Pode demorar um pouco até que os fornecedores saibam que eles têm um problema e o resolvam.

Rotas de infecção

Os cibercriminosos geralmente preferem explorações a outros métodos de infecção, como engenharia social - que pode ser acertada ou não - o uso de vulnerabilidades continua a produzir os resultados desejados.

Existem duas maneiras de os usuários serem "alimentados" com exploits. Primeiro, visitando um site que contém código de exploração malicioso. Em segundo lugar, abrindo um arquivo aparentemente legítimo com código malicioso oculto. Como se pode facilmente adivinhar, é mais provável que seja spam ou um e-mail de phishing que trará o exploit.

Depois de obter acesso por meio da vulnerabilidade, a exploração carrega malware adicional do servidor do criminoso que executa atividades maliciosas, como roubo de dados pessoais, uso do computador como parte de um botnet para distribuir spam ou realizar ataques DDoS, ou quaisquer que sejam os culpados por trás disso pretendo fazer.

As explorações representam uma ameaça até mesmo para os usuários atentos e diligentes que mantêm seus softwares atualizados. O motivo é um intervalo de tempo entre a descoberta da vulnerabilidade e o lançamento do patch para corrigi-la. Durante esse tempo, as explorações podem funcionar livremente e ameaçar a segurança de quase todos os usuários da Internet - a menos que haja ferramentas automáticas instaladas para impedir ataques de exploração.

E não se esqueça da 'síndrome das abas abertas' mencionada acima: há um preço a ser pago pela atualização, e nem todo usuário está pronto para pagá-lo imediatamente quando um patch estiver disponível.

Exploits rodam em pacotes

As explorações costumam ser agrupadas para que um sistema atacado seja verificado em relação a uma ampla gama de vulnerabilidades; assim que um ou mais são detectados, os exploits apropriados entram. Os kits de exploração também usam amplamente a ofuscação de código para evitar a detecção e criptografar caminhos de URL para evitar que os pesquisadores os desroquem.

Entre os mais conhecidos estão:

Angler - um dos kits mais sofisticados do mercado underground. Este mudou o jogo depois que começou a detectar antivírus e máquinas virtuais (muitas vezes usados ​​por pesquisadores de segurança como honeypots) e implantar arquivos de conta-gotas criptografados. É um dos kits mais rápidos a incorporar zero-day recém-lançado e seu malware é executado a partir da memória, sem ter que gravar nos discos rígidos de suas vítimas.

Nuclear Pack - atinge suas vítimas com exploits Java e Adobe PDF, além de derrubar o Caphaw - um notório Trojan bancário. Você pode ler mais aqui.

Neutrino - um kit feito na Rússia contendo alguns exploits Java, ganhou as manchetes no ano passado devido ao fato de que seu dono o colocou à venda por um preço muito modesto - $ 34.000. Provavelmente foi feito após a prisão de um certo Paunch, criador do próximo kit de exploração do qual falaremos.

Blackhole Kit - a ameaça da web mais prevalente em 2012, ele visa vulnerabilidades em versões antigas de navegadores como Firefox, Chrome, Internet Explorer e Safari, bem como muitos plug-ins populares como Adobe Flash, Adobe Acrobat e Java. Depois que a vítima é atraída ou redirecionada para uma página de destino, o kit determina o que está nos computadores da vítima e carrega todos os exploits aos quais esse computador é vulnerável.

Blackhole, ao contrário da maioria dos outros kits, tem uma entrada dedicada na Wikipedia , embora após a prisão de Paunch o kit em si tenha quase morrido .

Conclusão

As explorações nem sempre são detectáveis ​​pelo software de segurança. Para detectar exploits com sucesso, o software de segurança deve empregar análise de comportamento - é a única boa maneira de superar exploits. Os programas de malware podem ser abundantes e variados, mas a maioria deles tem padrões de comportamento semelhantes.

O Avance Network é uma comunidade fácil de usar que fornece segurança de primeira e não requer muito conhecimento técnico. Com uma conta, você pode proteger sua comunicação e seus dispositivos. O Avance Network não mantém registros de seus dados; portanto, você pode ter certeza de que tudo o que sai do seu dispositivo chega ao outro lado sem inspeção.