Criptosequestro

Criptosequestro: o golpe digital do momento

Em geral existem dois tipos de ataque de criptosequestro: baseados em servidor e baseados em navegador.

Oliver Sartori, Administradores.com, 

Criptosequestro

O nome dado para a nova técnica que secretamente usa seu aparelho ou computador para minerar criptomoedas ao visitar um site infectado é Criptosequestro. Mineradores maliciosos não são novidade, no entanto, uma nova alternativa tem chamado a atenção: a execução de scripts de mineração em javascript, rodando dentro de um site, que consomem processamento (e claro, eletricidade) de máquinas visitantes. Tudo isso sem que o usuário seja notificado do que está acontecendo.

O primeiro, ou um dos primeiros, caso de mineração por javascript no navegador da internet veio do site PirateBay, questionando seus usuários: “vocês preferem propagandas no site ou preferem dar alguns ciclos da CPU todas as vezes que entrarem no site?”. Em teoria é uma boa prática, mas rapidamente foi modificada e inserida de forma ilegal em diversos sites, grandes e pequenos, de todos os tipos.

Leia também: Criptomoedas para remunerar funcionários?

Em geral existem dois tipos de ataque de criptosequestro: baseados em servidor e baseados em navegador. No modelo baseado em navegador, o atacante insere um código de javascript na página web, que então passa a minerar criptomoedas quando os usuários acessam a página. O método baseado em servidor roda o código de mineração diretamente no servidor de infraestrutura.

Mas há formas de as empresas se protegerem. Compartilho algumas dicas abaixo:

- Realize o patch contra vulnerabilidades conhecidas

A gestão de paches é uma área essencial da TI e Segurança que muitas vezes é deixada de lado e se torna um vetor para diversos ataques, inclusive o criptosequestro. Para os hackers, realizar scans em busca de vulnerabilidades conhecidas é uma atividade trivial, então, não se deixe ser pego por isso e mantenha um programa consistente de gestão e aplicação de patches.

- Realize scans de sua rede

Mesmo com uma gestão eficiente de patches e controles rigorosos de acesso aos servidores, códigos de mineração de criptomoedas podem acabar entrando. Um usuário pode simplesmente aceitar instalar um aplicativo que tenha um malware de mineração escondido como download secundário e não é reconhecido por tecnologias de AV, por exemplo.

Contar com scans e ter visibilidade sobre o que está rodando nos servidores ao longo da rede é uma habilidade crítica para auxiliar na detecção de potenciais ataques de criptosequestro. A mineração de criptomoedas é intensiva no uso de recursos, de forma que qualquer CPU que esteja consumindo recursos além do esperado deve ser analisado.

A mineração de criptomoedas está sempre ligada a um pool de mineração. Isso significa que cada módulo individual de mineração vai se conectar a um recurso externo (o pool de mineração) para receber novos blocos e validar os blocos concluídos. A atualização de regras de firewall/IPS é uma boa prática para identificar e bloquear pools conhecidos, limitando o criptosequestro.

- Limite o risco de parceiros e terceirizados

Outra rota de ataque que pode ser tomada é inserir o código em um site por meio de extensões terceiras ou anúncios. Para prevenir que qualquer script não autorizado rode em um website, as empresas podem usar um protocolo conhecido como Content Security Policy. A ideia original por trás do CSP era limitar o risco de Cross Site Scripting, mas também possui aplicação contra qualquer forma potencial de injeção de código. O CSP é definido no host do webserver e pode ser futuramente reforçado com o uso de Sub-ResourceIntegrity, que identifica quando um script foi modificado.

Toda atenção e cuidado sempre! Quanto mais atentos você e seus colaboradores estiverem, mais chances terão de evitar um cibersequestro.

Oliver Sartori — Pesquisador em Segurança da Informação na Real Protect.

Os 9 momentos mais “azarados” da tecnologia

Aqueles pequenos instantes em que você se sente o ser mais “zicado” do planeta

Por Kaluan Bernardo

Na tecnologia há aqueles pequenos momentos em que nos sentimos as pessoas mais azaradas do mundo, quando nada que deveria estar funcionando realmente funciona, gerando frustração. Abaixo estão estes momentos incômodos para nós, mas você é livre para deixar outras nos comentários!

Sistema travando

Existe momento mais desesperador do que quando o seu sistema operacional trava do nada? Principalmente se você estava no meio de um jogo online ou no meio de um trabalho e esqueceu de salvá-lo… Ainda bem que os tempos de tela azul estão cada vez mais distantes. Mas, ainda hoje, enfrentamos esse inconveniente vez ou outra (e em qualquer sistema operacional).

Queda de internet

Só não é pior do que quando o computador trava, mas é absurdamente chato também. Isso sem falar quando sua operadora recomenda que você ligue e desligue o roteador (como se isso sempre funcionasse).

Celular sem bateria

Para quem é viciado em smartphones, este é um daqueles momentos mais desesperadores da vida. Parece que, enquanto você estiver sem bateria, todo mundo precisará te ligar para falar sobre um assunto urgente, o email mais importante do universo chegará na sua caixa e alguém vai te falar algo muito legal no Facebook. Então, depois de muitas horas de agonia, você recarrega o celular e vê que nada disso aconteceu.

YouTube subestima sua internet

Nada é mais ofensivo do que o YouTube te humilhando ao mudar a qualidade de um vídeo para 144p. Tudo bem que a internet está horrível, mas, ninguém merece assistir aquele monte de quadrado gigante que teoricamente forma uma imagem.

Vídeo bloqueado para o seu país

Outra sacanagem sem tamanho. Quando você vê que um vídeo não roda no seu país, a única pergunta que vem à cabeça é: “por quê?”. E enquanto você se questiona, é obrigado a se contentar com a realidade de que nunca saberá o que rolou naqueles minutos.

Pop-ups indesejados

Tudo bem que isso está rareando cada vez mais, no entanto, vez ou outra ainda aparece um. E o pior é quando eles começam a tocar música automaticamente ou trazem imagens constrangedoras.

Spam

Este sim ainda existe aos montes e chega por todas as vias possíveis e com todos os tipos de mensagens dispensáveis. Infelizmente.

Erro 404

Ele sempre aparece naquele momento em que você está tentando procurar algo muito importante e… pronto! A página em branco e o aviso de “Not Found” te deixam frustrado.

Trolls

É muito chato quando pessoas aleatórias, que não se conhecem, aproveitam do anonimato da internet para revelar o seu pior lado. Elas tornam-se sarcásticas, agressivas, ofensivas… em troco de quê? De nada.

Fonte: Olhar Digital

Briga whatsapp

Cofundador do WhatsApp conta história por trás da venda ao Facebook

Brian Acton, cofundador do aplicativo, falou na primeira entrevista após sua saída sobre divergências com a empresa de Mark Zuckerberg

Brian Acton é um dos cofundadores do WhatsApp, junto a Jan Koum. Fora da empresa, Acton concedeu uma entrevista para a revista Forbes na qual conta a história por trás da venda para o Facebook. Em 2014, a companhia de Mark Zuckerberg pagou 22 bilhões de dólares pelo aplicativo, que, desde aquela época, mantinha o foco na qualidade do serviço de troca de mensagens e desejava oferecer comunicação segura, criptografada, aos usuários.

Durante a negociação com Zuckerberg, Acton conta que o CEO do Facebook prometeu não cobrar monetização por cinco anos e apoiou a ideia da troca de mensagens segura ao ponto de não ser possível a interceptação nem por terceiros, nem pela própria empresa–apenas destinatário e remetente têm acesso às conversas em seus respectivos smartphones.

Acton, porém, deixou a companhia no final do ano passado por divergências sobre o modelo de negócio. Ele propôs a monetização por meio da cobrança de uma pequena taxa de usuários que enviam muitas mensagens, oferecendo um alto número de mensagens, enquanto o Facebook buscava formas de analisar dados de mensagens sem quebrar a criptografia do aplicativo para oferecer publicidade personalizada, como faz no Facebook. A ideia seria oferecer ferramentas corporativas para que empresas pudessem falar com usuários do WhatsApp–e ferramentas de análise de dados seriam oferecidas também como um serviço. Anúncios seriam mostrados no Status, o campo de imagens que desaparecem em 24h do WhatsApp, bem parecido com o que acontece no Instagram Stories atualmente.

Tanto Acton quanto Koum tinham uma cláusula contratual que lhes permitia sair da empresa com suas ações se o Facebook começasse a implementar iniciativas de monetização sem seus respectivos consentimentos. Ambos sempre foram contra a exibição de anúncios no WhatsApp e a escolha pareceu clara para Acton. Quando houve a divergência sobre a monetização do app, o cofundador procurou Zuckerberg para deixar a empresa e receber sua parte. No entanto, o argumento para negar as ações a Acton foi de que as ferramentas de monetização não tinham sido implementadas. Acton não comprou briga e deixou a empresa mesmo assim.A decisão de deixar a companhia lhe custou 850 milhões de dólares.

Em uma das decisões que o desagradou, o Facebook relacionou o número de celular das contas do WhatsApp com contas dos usuários da rede social Facebook.

Com um aporte de 50 milhões de dólares ao aplicativo Signal, que foca na privacidade dos usuários, Acton tenta recriar o WhatsApp na sua forma mais pura, sem ter a influência de uma empresa como o Facebook que deseja monetizar o produto com anúncios. O modelo de negócios da fundação de Acton com o Signal ainda está em construção, mas ele pode ser parecido com o da Wikipedia, que vive de doações.

Koum deixou o WhatsApp meses depois da saída de Acton. Nesta semana, os dois cofundadores do Instagram também saíram da companhia, comprada pelo Facebook em 2012, por 1 bilhão de dólares. Com isso, nenhum dos fundadores dos aplicativos comprados pela rede social fazem mais parte do Facebook.

↓
× Como posso te ajudar?