Proteger contra hackers usando microfones de pc para roubar dados

Hackers em grande escala com táticas, técnicas e procedimentos sofisticados estão na ordem do dia - como também foi testemunhado em reportagens sobre o suposto hackear russo durante as eleições nos EUA - e agora hackers estão usando microfones de PC embutidos para invadir empresas e arquivos de dados pessoais.

Batizados como "Operação BugDrop", os hackers por trás do ataque garantiram dezenas de gigabytes de dados confidenciais de cerca de 70 organizações e indivíduos na Ucrânia.

Entre eles estão editores de vários jornais ucranianos, um instituto de pesquisa científica, organizações associadas à monitoração dos direitos humanos, contra-terrorismo, ataques cibernéticos, petróleo, gás e abastecimento de água - na Rússia, Arábia Saudita, Ucrânia e Áustria.

De acordo com um relatório da empresa de segurança cibernética CyberX, "a operação busca capturar uma gama de informações confidenciais de seus alvos, incluindo gravações de áudio de conversas, capturas de tela, documentos e senhas".

Os hackers começaram a usar microfones como forma de acessar dados de destino porque, embora seja fácil bloquear gravações de vídeo simplesmente colocando uma fita na webcam, desabilitar o microfone do seu sistema exige que você desconecte o hardware fisicamente.

Muitos desses hacks foram realizados em estados separatistas autodeclarados de Donetsk e Luhansk - indicando uma influência do governo nesses ataques, especialmente porque esses dois estados foram classificados como grupos terroristas pelo governo ucraniano.

Os hackers usam o Dropbox para roubo de dados, pois o tráfego do serviço de nuvem normalmente permanece desbloqueado por firewalls corporativos e o tráfego que passa por ele também não é monitorado.

“A Operação BugDrop infecta suas vítimas usando ataques de phishing de e-mail direcionados e macros maliciosas incorporadas em anexos do Microsoft Office. Ele também usa engenharia social inteligente para induzir os usuários a ativar as macros, caso ainda não estejam ativadas ”, afirma CyberX.

Um exemplo de como funciona o ataque de vírus de macro

Levando em consideração o caso, o CyberX descobriu esse documento malicioso do Word, carregado com o vírus Macro, que normalmente não é detectado por mais de 90% do software antivírus existente no mercado.

Até que macros - brevemente: pedaços de códigos de computador - estejam habilitados em seu PC, o programa executa automaticamente e substitui códigos em seu PC por códigos maliciosos.

No caso, as macros são desabilitadas no PC de destino, - um recurso de segurança da Microsoft que, por padrão, desativa todos os códigos de macro em um documento do Word - o documento malicioso do Word abre uma caixa de diálogo conforme ilustrado na imagem acima.

O texto na imagem acima diz: “Atenção! O arquivo foi criado em uma versão mais recente dos programas do Microsoft Office. Você deve ativar as macros para exibir corretamente o conteúdo de um documento. ”

Assim que um usuário ativa o comando, os códigos de macro mal-intencionados substituem os códigos no seu PC, infectam outros arquivos no sistema e fornecem acesso remoto ao invasor - como visto no caso em questão.

Como e quais informações foram coletadas por hackers

Os hackers, nesse caso, usavam uma variedade de plugins para roubar dados depois de obter acesso remoto aos dispositivos de destino.

Os plugins incluíam o coletor de arquivos, que procura por inúmeras extensões de arquivo e as envia para o Dropbox; Coletor de arquivos USB, que localiza e armazena arquivos de uma unidade USB conectada ao dispositivo infectado.

Além desses coletores de arquivos, plugins de coleta de dados do navegador que roubam credenciais de login e outros dados confidenciais armazenados no navegador, um plug-in para coletar dados do computador, incluindo endereço IP, nome e endereço do proprietário e mais foram usados ​​no ataque.

Além de tudo isso, o malware também deu aos hackers acesso ao microfone do dispositivo de destino, que permite gravações de áudio - salvas para leitura no armazenamento do atacante do Dropbox.

Embora nenhum dano tenha sido feito aos alvos na Operação BugDrop, a CyberX ressalta que “identificar, localizar e executar o reconhecimento de alvos geralmente é a primeira fase das operações com objetivos mais amplos”.

Depois que esses detalhes são reunidos e carregados na conta do Dropbox do atacante, ele é baixado do outro lado e excluído da nuvem - não deixando rastros das informações de transação.

Obtenha uma visão aprofundada sobre o hack no relatório da CyberX aqui.

Como se proteger contra tais ataques?

Embora a maneira mais simples de protegê-lo contra ataques de vírus de macro não seja desativar a configuração padrão do Microsoft Office para comandos Macro e não ceder a solicitações por prompts (como discutido acima).

Se houver uma necessidade urgente de ativar as configurações de macro, verifique se o documento do Word vem de uma fonte confiável - uma pessoa ou uma organização.

Em um nível organizacional, para se defender contra esses ataques, sistemas devem ser colocados em uso, o que pode detectar anomalias em suas redes de TI e OT em um estágio inicial. As empresas também podem sugerir algoritmos analíticos comportamentais que ajudam a detectar atividades não autorizadas na rede.

Um plano de ação para se defender contra esse vírus também deve estar em vigor - a fim de evitar o perigo e evitar a perda de dados confidenciais se um ataque for executado.

O relatório concluiu que, embora não haja provas concretas de que os hackers foram contratados por uma agência governamental.

Mas, dada a sofisticação do ataque, não há dúvida de que os hackers precisavam de uma equipe significativa para analisar os dados roubados, bem como espaço de armazenamento para todos os dados coletados - indicando que eram muito ricos ou receberam apoio financeiro de um governo ou instituição não governamental.

Embora a maioria desses ataques tenha sido realizada na Ucrânia, é seguro dizer que esses ataques podem ser realizados em qualquer país, dependendo dos interesses dos hackers ou das pessoas que os contratam para obter acesso a dados confidenciais.