Os três jogadores neste cenário são a vítima, o aplicativo que a vítima está tentando acessar e o intermediário titular que intercepta suas comunicações. Objetivo deles? Roubo de dados pessoais, como detalhes de login, detalhes da conta e detalhes do cartão de crédito, que os criminosos podem usar para roubar fundos, cometer roubo de identidade ou vender para quem der o lance mais alto na dark web. Para as empresas, também é importante notar que ele pode ser usado para obter acesso a um perímetro seguro durante o estágio de infiltração de um ataque de APT ainda mais sério.

Os ataques cibernéticos se tornaram uma preocupação comum nos últimos anos, tanto para empresas quanto para pessoas comuns, e os ataques MITM são um dos ataques cibernéticos mais sinistros e potencialmente devastadores que existem. Um MITM se posicionará em uma conversa entre usuários e um aplicativo , escondendo-se nas asas para evitar ser visto ou deixando o usuário desconfiado. É o equivalente virtual de fazer o carteiro abrir seus extratos bancários, registrar seus dados e lacrar novamente o envelope antes de entregá-lo em sua porta.

Portanto, é do interesse de todos que têm pelo menos uma conta online (o que provavelmente significa você) saber o que são esses ataques e como evitá-los.

O que é um ataque man-in-the-middle?

A definição de ataque man-in-the-middle é simples: é qualquer ataque em que o criminoso cibernético se interpõe entre o usuário e o que quer que ele esteja tentando fazer online . Um ataque MITM geralmente envolve a interceptação de dados pessoais por um criminoso cibernético ao injetar software malicioso no dispositivo da vítima. 

Provavelmente, você já foi alvo de um ataque MITM. Na verdade, uma leitura rápida de sua pasta de lixo eletrônico sem dúvida revelará dezenas de exemplos. Todos nós vimos os e-mails enviados do Paypal, Netflix e Amazon nos informando que há um problema com nossa conta e nos fornecendo um link que pede nossos detalhes de login. O problema é que é tudo um estratagema. O e-mail que você recebeu é, na verdade, do intermediário que enviou um e-mail falso, mas de aparência legítima, que está essencialmente tentando interceptar suas credenciais. Esse é um tipo de golpe geralmente conhecido como golpe de 'phishing' e é um mercado negro que conseguiu desviar quase US $ 1,8 milhão em fundos de pessoas só em 2019.

Os ataques MITM são uma das formas mais antigas de ataque cibernético, a ponto de as pessoas buscarem maneiras de se proteger contra esse tipo de criminoso cibernético desde o início dos anos 80 ! Houve uma época em que esse tipo de ataque era fácil de detectar. Na verdade, os clientes de e-mail fizeram um bom trabalho ao procurá-los para nós e confiná-los automaticamente à lixeira. O problema, entretanto, é que esses tipos de ataques estão se tornando cada vez mais sofisticados e difíceis de detectar.

Como funcionam os ataques MITM?

Existem duas formas de ataque MITM : a detalhada acima, que envolve software malicioso (ou malware) e costuma ser conhecida como ataque man-in-the-browser . É o mais comum dos dois. O outro é conhecido como ataque de ponto de acesso não autorizado e envolve a proximidade física do alvo. Esse tipo de ataque MITM exige que os invasores configurem pontos de acesso sem fio e enganem os usuários para que se juntem a eles para que o tráfego possa ser manipulado. Essas conexões são geralmente encontradas em espaços públicos onde hotspots Wi-Fi gratuitos são abundantes, mas alguns invasores podem até usar roteadores vulneráveis ​​nas casas das pessoas como redes de ataque malicioso, se eles não estiverem devidamente protegidos.

Essencialmente, no entanto, todos os ataques MITM funcionam explorando processos de transação em tempo real . Isso permite que os invasores interceptem, enviem e recebam dados sem serem detectados até que a transação seja concluída e eles tenham levado seus dados valiosos. Um ataque típico será dividido em duas fases distintas - interceptação e descriptografia.

Estágio 1: Interceptação

O primeiro passo para os invasores é implantar a tecnologia ou ferramentas para interceptar a conexão entre a vítima e a entidade online com a qual estão se comunicando antes de chegar ao destino pretendido. Isso pode ser alcançado usando o ataque de ponto de acesso desonesto mencionado acima, por meio do qual o MITM cria hotspots Wi-Fi públicos gratuitos . Depois que a vítima se conecta a ele, o invasor pode implantar software para roubar dados criptografados.

Etapa 2: descriptografia

Uma vez que a interceptação inicial da conexão tenha ocorrido, antes que seus dados roubados possam ser coletados, todo o tráfego SSL bidirecional precisará ser descriptografado ou decodificado sem alertar o usuário ou aplicativo . Mesmo quando os dados são criptografados, no entanto, pode ser que as informações pessoais possam ser obtidas de metadados e outras fontes. O MITM pode então usar os dados por conta própria ou vendê-los, geralmente pela dark web.

Tipos comuns de ataque man-in-the-middle

Os estágios de interceptação e descriptografia do ataque exigem o uso de um ou vários métodos diferentes, todos envolvendo o invasor se fazendo passar por ambos os lados da conversa para obter acesso às informações que procuram. Essas muitas formas de ataque MITM incluem:

1. IP Spoofing

Esta é uma das técnicas de interceptação mais comuns e envolve o MITM se disfarçando como um aplicativo, alterando seu endereço de protocolo da Internet (IP) para corresponder ao seu destino. Cada dispositivo que se conecta à Internet tem seu próprio endereço IP (pense nele como semelhante ao seu endereço residencial, apenas digital). A falsificação de um endereço IP permite que o invasor engane as vítimas fazendo-as pensar que estão interagindo com alguém que não são e redirecione o tráfego para seu site falso, onde as verdadeiras travessuras começam.

2. HTTPS spoofing

Quando você vê HTTPS no URL em vez de apenas HTTP, provavelmente está em um site seguro, pois é isso que o 's' significa. Mas os invasores podem enganar seu navegador, fazendo-o pensar que está se conectando a uma fonte confiável quando, na verdade, está sendo direcionado a um site não seguro. Uma vez que seu tráfego tenha sido redirecionado, é possível que o MITM monitore todas as suas interações com aquele site, o que certamente não é desejável.

3. spoofing de DNS

A falsificação de DNS (ou Servidor de Nomes de Domínio ) essencialmente desvia o tráfego de um site genuíno para um site falso de aparência surpreendentemente legítima de um invasor. Também conhecido como 'envenenamento de cache', esse golpe envolve a infiltração em um servidor e a alteração (ou falsificação) das configurações DNS de um domínio específico . Portanto, se você acha que está se conectando a um site específico, está, na verdade, sendo desviado para um endereço IP fraudulento, provavelmente do invasor.

4. SSL Hijacking

Um ataque SSL man-in-the-middle vê o invasor usando outro computador e um servidor seguro para sequestrar as informações que estão sendo passadas entre o servidor e o dispositivo do usuário. SSL (Secure Sockets Layer) é o protocolo usado para vincular a conexão entre um usuário e um servidor seguro, mas quando o hacker passa chaves de autenticação falsificadas para a vítima e o aplicativo , uma conexão segura é falsificada. Isso permite que o invasor sequestre a conexão, desviando a vítima para um servidor inseguro. 

5. Hijacking de e-mail

Isso se refere a invasores que falsificam endereços de e-mail e, em seguida, enviam suas próprias instruções nefastas aos clientes disfarçados de empresa confiável. Geralmente, trata-se de um banco ou outra instituição financeira, em que os invasores falsificam o e-mail de um banco e pedem a clientes involuntários que enviem dinheiro diretamente para eles . Esses tipos de golpes de phishing costumam ser fáceis de detectar, mas costumam ser direcionados a indivíduos mais velhos ou menos tecnologicamente seguros, que têm maior probabilidade de acreditar no que veem pelo valor de face.

6. Escuta telefônica de Wi-Fi (também conhecidos como ataques de "gêmeos do mal")

Um ataque de gêmeo maligno reflete um ponto de acesso Wi-Fi legítimo e é frequentemente usado para fins de espionagem ou para ganho financeiro. Depois de estabelecer uma conexão com a Internet por meio desse ponto de acesso gêmeo do mal, o invasor será capaz de monitorar todas as suas atividades e interceptar todos os logins ou informações que você utilizar enquanto estiver na rede. Esse é um dos principais motivos pelos quais sempre não recomendamos o uso de Wi-Fi público , sempre que possível, pelo menos sem uma VPN para cobrir sua bunda, como está.

Quão comuns são os ataques MITM?

Embora não sejam tão comuns quanto os ataques de ransomware, os ataques MITM são uma das formas mais comuns de ataque cibernético porque podem ser executados remotamente, permitindo que os atacantes visem usuários em qualquer lugar do mundo com relativa facilidade. Estima-se que cerca de 35% da atividade de exploração online envolva alguma forma de ataque MITM , simplesmente porque é um dos ataques cibernéticos mais fáceis e flexíveis de realizar.

A maior adoção global do padrão HTTPS e um aumento de avisos no navegador de plataformas como Chrome e Firefox significam que as coisas estão certamente melhores hoje do que eram anos atrás, com mais da metade de todo o tráfego da Internet agora criptografado com segurança.

A ameaça ainda existe e, em alguns casos, tornou-se mais sofisticada do que antes. Por exemplo, um grupo de agentes GRU russos recentemente tentou usar um dispositivo de falsificação de Wi-Fi para ouvir uma reunião em Haia. A operação foi arruinada quando os espiões foram encontrados com uma grande antena no banco de trás do carro, habilmente escondida por um grande casaco. Tudo muito de alta tecnologia, claramente.

Setores de maior risco

Em essência, qualquer site que exija login e autenticação antes de fornecer acesso aos detalhes da conta está suscetível a um ataque MITM. Os setores mais comumente afetados, no entanto, são:

Sites financeiros - sites de banco online e tecnologia financeira (fintech) são hotspots MITM, pois obter acesso aqui permitiria ao invasor acesso direto à sua conta bancária e detalhes bancários. Os invasores geralmente enviam e-mails alegando ser do seu banco, muitas vezes alegando 'irregularidades' na sua conta.

E-commerce - sendo o site de e-commerce mais popular do planeta, a Amazon é um alvo comum para ataques MITM, embora qualquer site de e-commerce que armazene suas informações de cartão de crédito quando você faz uma transação seja um jogo justo para os invasores.

Mídia social - mantemos muitas informações privadas escondidas atrás de nossas contas de mídia social que os atacantes MITM adorariam colocar em suas mãos sujas.

Entretenimento - como sites como Netflix e Disney + armazenam informações valiosas de cartão de crédito, até mesmo esses logins são frequentemente direcionados, com logins frequentemente vendidos na dark web.

Como detectar um ataque man-in-the-middle

Existem vários sinais que você pode observar. Por exemplo, se o site está demorando mais para carregar do que o normal , pode ser porque você está sendo redirecionado por meio de falsificação de DNS para um site alternativo. Além disso, se você notar mudanças repentinas e inexplicáveis de sites HTTPS para HTTP , isso pode ser um sintoma de um ataque de spoof de HTTPS. Se você notar que os botões funcionais de um site não estão funcionando, ou um site simplesmente não está funcionando como deveria, isso também pode ser um sinal de um ataque MITM.

Mesmo que eles ainda possam ser vistos como um pouco 'velho chapéu' por certos indivíduos, os ataques MITM ainda são prevalentes e ainda são incrivelmente difíceis de diagnosticar. O pior é que os invasores estão cada vez mais avançados e estão melhores do que nunca em esconder seus rastros, tornando a detecção uma tarefa complicada.

De modo geral, porém, a prevenção é sempre a cura mais poderosa.

Como prevenir um ataque man-in-the-middle

Embora detectar um ataque MITM possa ser difícil (e cada vez mais à medida que os invasores se tornam mais proficientes e furtivos), existem maneiras de os usuários se defenderem contra ataques MITM e proteger sua segurança online.

Logout - Mesmo quando se trata de aplicativos e sites seguros, se você deseja ter certeza absoluta de que não será um alvo, deverá efetuar logout antes de fechar uma janela ou guia.

Preste atenção - se um aviso do navegador (ou do seu ISP ) aparecer informando que o site que você está prestes a acessar não é seguro, é melhor ouvi-lo! Isso é particularmente verdadeiro se você visita sites de torrent com frequência, pois esses sites são como catnip para atacantes MITM.

Vá em frente - Como muitos ataques MITB (man-in-the-browser) usam malware para sua interceptação, instale uma ferramenta anti-malware confiável em seus dispositivos.

Mantenha a privacidade - não confie em redes Wi-Fi públicas e compartilhadas quando estiver fora de casa. Se parece bom demais para ser verdade, provavelmente é. Siga o plano de dados 4G do seu telefone e redes Wi-Fi confiáveis ​​e protegidas por senha sempre que possível. Uma VPN criptografará seus dados em hotspots públicos e fornecerá uma boa quantidade de anonimato , o que limitará os danos causados ​​por ataques MITM. Embora signifique que você pode navegar com segurança e privacidade , ele não pode protegê-lo 100%, principalmente de ataques mais avançados.

Tenha cuidado - Não abra e-mails de fontes não reconhecidas. Seu cliente de e-mail deve fazer um bom trabalho separando o joio do trigo, por assim dizer, mas alguns ainda podem se esgueirar por baixo da cerca! Qualquer e-mail que solicite sua senha ou outras credenciais de login é provavelmente falso. Quanto aos links, geralmente você pode testar se eles são genuínos ou não, digitando-os manualmente em seu navegador em vez de clicar neles.

Começando em casa - há um bom motivo pelo qual a maioria das redes Wi-Fi domésticas são fornecidas com senhas incrivelmente longas e complicadas por padrão. Certifique-se de que sua rede doméstica esteja segura atualizando todos os nomes de usuário e senhas padrão quando necessário.

HTTPS - sempre certifique-se de que o “S” esteja presente nos primeiros cinco dígitos da barra do seu navegador. É um hábito que você aprenderá a adquirir depois de um tempo.

Não deve ser o caso de escolher algumas dessas dicas, é claro, mas de combiná-las e torná-las parte de sua rotina online geral. É a única maneira de navegar com segurança pela web sem sucumbir ao intermediário desonesto.

Torne seus dados anônimos e mantenha o intermediário na dúvida

Embora uma VPN como não o proteja necessariamente 100% de um ataque MITM, isso limitará severamente os tipos de dados que podem ser vazados. Não é uma solução que resolverá todos os seus problemas, mas pelo menos manterá seus dados mais vitais seguros, quando usado em conjunto com as medidas preventivas listadas acima. Portanto, não há razão para que você não se sinta perfeitamente seguro ao usar a Internet em casa ou em trânsito.

Claro, nosso mundo cada vez mais conectado está sempre mudando e evoluindo, mas os ataques MITM, em sua essência, permaneceram praticamente inalterados por 40 anos. Então, agora que você entende como eles funcionam, as ameaças em potencial que representam e como derrotá-los, contanto que você esteja armado com as medidas de segurança corretas , temos plena confiança de que o intermediário não o pegará com suas calças baixa.

O Avance Network é uma comunidade fácil de usar que fornece segurança de primeira e não requer muito conhecimento técnico. Com uma conta, você pode proteger sua comunicação e seus dispositivos. O Avance Network não mantém registros de seus dados; portanto, você pode ter certeza de que tudo o que sai do seu dispositivo chega ao outro lado sem inspeção.