As ferramentas gratuitas que os hackers utilizam

A Agência Nacional de Cibersegurança do Reino Unido partilhou um relatório conjunto, realizado em parceria com a Austrália, Canadá, EUA e Nova Zelândia, onde explicita as cinco principais ferramentas gratuitas que os cibercriminosos estão a utilizar, que têm sido observadas separadamente e em combinação em algumas das maiores campanhas mundiais do cibercrime.

Apesar de a Agência Nacional de Cibersegurança do Reino Unido alertar para o facto de esta lista não ser exaustiva, realça que é importante para ajudar as organizações a protegerem-se melhor. Algumas das recomendações para este fim incluem autenticação multi-fator, segregação das redes, soluções de monitorização de segurança, e atualizações atempadas dos sistemas e software.

Trojans de Acesso Remoto

O que é: Um tipo de malware que é instalado secretamente num sistema infetado, constituindo uma backdoor para observar toda a atividade e permitir ao atacante executar comandos que levarão ao furto de dados. De longe a ferramenta com maior capacidade de causar danos nesta lista.

Exemplo: o relatório dá o exemplo do JBiFrost, um trojan particularmente perigoso por ser multiplataforma, podendo operar em Windows, Linux, MAC OS X, e Android. É normalmente disseminado via phishing, e permite aos atacantes moverem-se de rede em rede e instalar software adicional. O JBiFrost está disponível publicamente e tem sido observado em ataques direcionados contra operadores e proprietários de infraestruturas críticas de países específicos.

Web Shells

O que é:  Scripts maliciosos que o atacante insere no sistema-alvo de forma a conseguir acesso remoto a capacidades administrativas – ganhando controlo do sistema – bem como ganhar acesso a outras áreas da rede empresarial.

Exemplo: China Chopper, web shell utilizado frequentemente para ganhar acesso a servidores web. Uma vez instalado no sistema, o servidor pode ser acedido em qualquer momento pelo atacante, que poderá copiar, mudar o nome, apagar ou mesmo mudar o time-stamp de ficheiros.

Ferramentas de ofuscação C2

O que é: Ferramentas específicas para esconder a localização e atividade dos responsáveis de um ciberataque.

Exemplo: Htran, uma ferramenta de ofuscação disponível na internet desde 2009, permite aos atacantes evitar sistemas de deteção de intrusão e esconder a comunicação com a sua infraestrutura de comando e controlo. O Htran tem sido observado em ataques contra alvos governamentais e industriais.

Mimikatz

O que é:  ferramenta open-source usada para extrair credenciais em texto simples e password hashes da memória. Usada para aplicações legítimas desde a sua criação em 2007, é também popular como forma de obter acesso ilícito a credenciais e privilégios de administração.

Exemplo: Tem vindo a ser observada numa grande variedade de campanhas por vários grupos, incluindo os ataques NotPetya e BadRabbit, nos quais foi usada para obter credenciais de administradores de máquinas Windows de forma a facilitar a disseminação do ataque.

PowerShell Empire

O que é: Ferramenta criada para propósitos de teste de penetração e rapidamente apropriada por cibercriminosos para uso em atividade maliciosa – permite ao atacante obter credenciais, modificar privilégios, extrair informação e mover-se lateralmente numa rede.

Adicionalmente, tem o benefício de operar quase totalmente na memória, tornando-se difícil de detetar – e, visto ser tecnicamente uma operação legítima, a maior parte do software de segurança não a irá considerar uma ameaça.

Exemplo: Por ser tão difícil de detetar, a PowerShell Empire é vulgarmente utilizada tanto por agentes governamentais como por cibercriminosos comuns para conduzir campanhas discretamente.