blog.dennyroger.com.br

São Paulo - Phishing promete imagens íntimas de atriz para abrir computador da vítima para novas pragas e roubar dados de clientes do banco Itaú.

Puxado pela curiosidade dos internautas motivada pelo polêmico vídeo da apresentadora Daniela Cicarelli em uma praia espanhola, um novo ataque digital promete mostrar supostas imagens íntimas da atriz Juliana Paes para infectar o micro da vítima.

Em circulação a partir desta terça-feira (31/10), a mensagem afirma que a atriz da TV Globo foi flagrada “entre beijos e abraços com seu namorado” nas gravações do especial de 20 anos da apresentadora Xuxa, promovido em outubro pela emissora carioca.

Ironicamente, um phishing anterior também alegava um flagra íntimo de Xuxa nos bastidores do seu especial para infectar o computador do usuário com o cavalo-de-tróia Banker.ccc.

A detecção do mesmo malware na mensagem sobre Juliana Paes dá indícios de que o primeiro phishing foi apenas reciclado por um novo cracker.

“O cavalo-de-tróia, no entanto, teve seu código alterado para roubar dados bancários apenas de correntistas do banco Itaú”, alerta Denny Roger, diretor de novos negócios da Batori Software & Security.

Segundo Roger, o download indicado como visualizador de filmes de um site de fofocas leva a um documento, chamado de “videojulianapaes.avi”, que, após a infecção, baixa o código malicioso para o PC da vítima.

Fonte: http://idgnow.uol.com.br/seguranca/2006/10/31/idgnoticia.2006-10-31.2942435625/IDGNoticia_view

Sem comentários »

É comum ouvirmos o seguinte comentário: “O administrador da rede consegue acessar qualquer informação da empresa”. Fato ou mito? Não, não responda ainda!

Você já ouviu o seguinte comentário: “O analista de segurança consegue ler qualquer e-mail que está trafegando em nossa rede”. Fato ou mito? Espere um pouco mais antes de responder.

Outro comentário comum: “O pessoal do suporte técnico consegue ler todas as mensagens do nosso sistema de troca de mensagens (Messenger)”. Fato ou mito?

O FATO mais comum em qualquer empresa, nos dias atuais, é o próprio dono da empresa solicitar uma reunião sobre segurança da informação. Antigamente era o pessoal de Tecnologia que tratava este assunto. Depois foram criados os departamentos de segurança da informação. Agora, a preocupação é tanta que o dono da empresa está assumindo os assuntos relacionados a segurança da informação.

O FATO é que o dono da empresa está monitorando os e-mails dos funcionários, visualizando as mensagens trocadas no Messenger, bloqueando o acesso a determinadas informações que estão armazenadas nos servidores da empresa, etc.

Ficou espantado!!! É isso mesmo, quem está monitorando o dia a dia dos funcionários é o próprio dono da empresa.

As ferramentas disponíveis para o monitoramento das informações são de fácil administração e instalação. Toda essa praticidade permite que até mesmo o executivo com mais de 60 anos que trabalha pouco com o computador, consiga realizar o grampo virtual na sua empresa.

“Ah! Mas os funcionários sabem que estão sendo monitorados”. Fato ou mito?

O empresário transformou-se no maior de todos os Hackers, corporativamente falando.

Já ouvi o seguinte comentário: “O dono da nossa empresa e até mesmo os usuários conhecem apenas o básico de informática”. Fato ou mito?

Não existe mais o usuário chamado carinhosamente de “excluido digital”. O usuário sabe mais que o próprio pessoal de suporte técnico, em alguns casos.

Cuidado com o “Hacker Empresário”! Até mesmo o pessoal do departamento de segurança da informação está sendo espionado sem conhecimento. Imagine os demais funcionários da empresa.

Abraços,

Denny Roger
denny@dennyroger.com.br

Sem comentários »

Política de segurança incorreta pode gerar terrorismo na empresa. Por Denny Roger

Não é necessário o ataque de um hacker ou de um vírus de computador para provocar grandes prejuízos financeiros numa empresa. Basta apenas um funcionário ter acesso, de forma indevida, às informações confidenciais restritas e confidenciais para começar o terrorismo.

Exemplo: Um funcionário coloca documentos relacionados a um processo jurídico em um envelope. No lado de fora do envelope está descrita a seguinte observação: “INFORMAÇÃO CONFIDENCIAL RESTRITA (Departamento Jurídico)”. A partir deste momento, qualquer funcionário da empresa que estiver com este envelope em mãos, do mais simples funcionário ao mais graduado executivo, estará tentado a abrir o envelope para ler seu conteúdo.

Caso estivesse escrito no lado de fora do envelope a seguinte observação: “Lista de lubrificantes de motores elétricos”. O risco de alguém querer abrir o envelope para ter acesso ao seu conteúdo seria minimizado. Isso ocorre porque a maioria das pessoas não tem interesse no assunto “lubrificantes de motores elétricos”.

Um dos objetivos da política de segurança deve ser ampliar a conscientização sobre segurança e privacidade das informações. Durante a divulgação da política de segurança, os colaboradores, os contratados e usuários das informações da empresa recebem um treinamento sobre Classificação da Informação: confidencial restrita, confidencial, uso interno ou informação pública.

A forma de divulgação da política de segurança deve ser estudada pelo Comitê de Segurança da empresa para que seja evitado o terrorismo interno. Ou seja, a abordagem durante a implementação pode disseminar o pânico entre os gestores.

Se, por exemplo, todos os funcionários do departamento jurídico sabem que as informações de processos jurídicos estratégicos são confidenciais restritas. Porém, essa classificação da informação não está descrita nos envelopes ou processos. Quando a empresa divulga para todos os funcionários que as informações serão classificadas, sempre irá existir o funcionário interno (’terrorista’) que irá procurar por informações confidencias restritas e confidencias.

As empresas devem tratar a implementação da política de segurança como a “criação de normas” sobre o que a empresa já vem fazendo. A abordagem relacionada à implementação de “mudanças” pode trazer conseqüências negativas à empresa. Os gestores ou até mesmo os funcionários de um departamento, sabem que informações são confidenciais restritas ou confidenciais. Porém, as pessoas não praticam o exercício de classificar a informação de forma adequada.

Cuidado com os programas de implementação da política de segurança, pois sem os devidos cuidados, sua empresa poderá estar criando uma debilidade que pode despertar este novo tipo de terrorista – o funcionário interno.

Denny Roger é um dos fundadores da Batori Software & Security, já atuou como Security Officer de instituições financeiras e é autor dos cursos Segurança da Informação em Ambientes de Rede e Sistema de Gestão da Segurança da Informação – ISO 17799. E-mail: denny@batori.com.br .

Fonte: http://idgnow.uol.com.br/seguranca/mente_hacker/idgcoluna.2006-10-23.4807622129/IDGColuna_view

Sem comentários »

São Paulo - E-mail alega flagrante íntimo de apresentadora durante gravação para infectar PC da vítima com praga que rouba dados bancários.

Nos dois principais motes usados por phishings para infectar (sexo e violência), exista espaço até para quem sempre teve sua imagem relacionada a atividades infantis.

Uma nova mensagem maliciosa em circulação na internet alega trazer vídeos íntimos da apresentadora Xuxa, assim como o filme envolvendo a também apresentadora Daniela Cicarelli, para instalar pragas que roubam dados bancários no PC da vítima.

“Xuxa Meneguel,(sic) foi pega desprevenida nos bastidores do Xuxa 20 anos por um parazzi (sic) muito oportunista”, afirma a mensagem, que carrega uma imagem da apresentadora e pede que o usuário baixe um aplicativo para que o vídeo seja reproduzido.

Segundo o diretor de novos negócios da Batori Software & Security, Denny Roger, após a instalação, o arquivo malicioso no formato “EXE” reproduz uma imagem de Xuxa, enquanto instala o cavalo-de-tróia Banker.ccc no sistema, que, segundo a Kaspersky Labs, registra e divulga dados confidenciais para crackers.

Roger afirma ainda que uma boa maneira do usuário se prevenir de tais ataques é habilitar a visualização das extensões de arquivos que chegam em e-mails.

Para fazer isto Windows Explorer, o usuário escolhe o menu “Opções de pasta” em “Ferramentas”, clica em “Modo de exibição” e desmarca a opção “Ocultar as extensões dos tipos de arquivo conhecidos”.

Fonte: http://idgnow.uol.com.br/seguranca/2006/10/19/idgnoticia.2006-10-19.1119276600/IDGNoticia_view

Sem comentários »

A Microsoft anunciou que deixará de dar suporte às versões do Windows XP SP1 e SP1a. “O SP (Service Pack) é o pacote de correções do Windows desenvolvido pela Microsoft para atualizações relativas tanto à segurança, quanto a bugs no sistema”, explica Denny Roger, da Batori Security.

Para saber se sua versão do sistema está entre as que deixarão de receber suporte o usuário deve clicar com o botão direito do mouse em Meu Computador e depois em Propriedades. Lá ele verá se está usando o “Service Pack 1″ em Sistema executando o Windows XP SP1.

Caso o usuário do Windows ainda esteja com a versão SP1 ele deve atualizar o para o SP2. Basta abrir o Internet Explorer e clicar em “Ferramentas” e selecionar a opção Windows Update. O usuário será direcionado para a página de atualização da Microsoft que fará a atualização automática do sistema operacional. “Apesar de ser simples e gratuito, apenas 5% dos usuários de Windows fazem esta atualização o que aumenta muito os riscos de ataques e bugs”, revela Roger.

A partir desta terça-feira, 10/10, a Microsoft deixará de dar suporte ao Windows XP SP1 e SP1a. A empresa emitiu o comunicado em sua página de Ajuda e Suporte. Com a decisão, a MS não mais divulgará atualizações de segurança para estas versões do Windows XP e recomenda a seus usuários que instalem, assim que possível, o Windows XP Service Pack 2. O término do suporte a esses produtos faz parte da Política de suporte de Service Packs do Ciclo de Vida do Suporte da Microsoft.

Fonte: http://wnews.uol.com.br/site/noticias/materia.php?id_secao=4&id_conteudo=6184

Sem comentários »

Novidade mostra em seus resultados sites e bancos de dados com vulnerabilidades, diz empresa de segurança.

Uma ferramenta lançada na semana passada para programadores, o Google Code Search, foi apontado pela empresa de segurança brasileira Batori Software & Security como uma solução que facilita ações de piratas virtuais.

“O site permite identificar senhas na internet, páginas com vulnerabilidades de segurança e principalmente acessar os bancos de dados das empresas”, afirma um comunicado da empresa, que fez diversos testes com a novidade na última sexta-feira (06).

Segundo Denny Roger, diretor da companhia, pessoas mal-intencionadas tinham de fazer este teste manualmente, de site em site, para identificar brechas de segurança. “Agora é possível fazer esta checagem em milhões de páginas ao mesmo tempo”, afirmou o especialista ao G1.

Para descobrir as falhas, os funcionários da Batori digitaram na caixa de buscas códigos falhos utilizados com freqüência no desenvolvimento de sites e de bancos de dados. Os resultados trouxeram uma relação com as páginas vulneráveis. “O principal motivo para o problema é o fato de os desenvolvedores dessas soluções ignorarem medidas importantes de segurança”, continuou.

Fonte: http://g1.globo.com/Noticias/Tecnologia/0,,AA1304338-6174-429,00.html

Sem comentários »

O Google Code Search, uma ferramenta de buscas de códigos-fonte para programações dos mais diversos tipos, pode ser utilizado por crackers para fins fraudulentos, como identificação de senhas na Web, indicação de vulnerabilidades em sites ou acesso a bancos de dados das empresas. A informação é da empresa de segurança digital Batori Software.

Por meio do aplicativo do Google, os criminosos virtuais podem utilizar diversas modalidades de ataque. Entre eles, está o XSS ou Cross Site Scripting, que induz o navegador do usuário a executar um script malicioso (Javascript ou VBscript) dentro da estrutura de um site confiável; o Sql Injection, cuja técnica consiste em não validar as entradas de usuários permitindo que crackers executem comandos diretamente no banco de dados de uma aplicação. Caso obtenha êxito, o criminoso poderia ter acesso não-autorizado aos dados, manipular registros e comprometer a performance de um determinado servidor. Outro golpe que poderia ser implementado via Google Code Search é o chamado “Seqüestro de Sessão”. Por meio dele, um atacante consegue obter o id da sessão http de um usuário. Feito isso, ele grava esse id no seu próprio navegador enganando a aplicação, se passando indevidamente pelo usuário legítimo.

“É muito provável que um número superior a 80% das empresas no Brasil esteja vulnerável a ataques nas aplicações WEB. Isso ocorre porque elas não investem no treinamento dos seus desenvolvedores de sistema, principalmente quando o assunto é segurança da informação”, diz Denny Roger, diretor da Batori.

Ainda segundo Roger, como recomendações de segurança, as empresas devem treinar constantemente os programadores, abordando os aspectos de segurança da informação, avaliando suas aplicações de acordo com a ISO 15408, que trata apenas de segurança na aplicação.

Outro fator de suma importância em âmbito corporativo é a utilização de um aplicativo chamado WAF (Web Application Firewall). Trata-se de uma de solução de segurança para proteger as aplicações Web e que atuam na camada de aplicação, diferentemente dos firewalls de redes tradicionais. Possuem tecnologias e filtros específicos para HTTP, HTTPS, HTML, Web Service, Cookies, etc.

Em comunicado oficial, o Google recomenda que os desenvolvedores usem técnicas já amplamente utilizadas em suas comunidades, incluindo testes de segurança.

Fonte: http://wnews.uol.com.br/site/noticias/materia.php?id_secao=4&id_conteudo=6160

Sem comentários »

São Francisco - Nova ferramenta do Google, que ajuda a localizar código fonte na web, pode ser usada para achar falhas em programas.

O Google ofereceu aos hackers, inadvertidamente, uma nova ferramenta para seus ataques. O novo mecanismo de busca de códigos da companhia, lançado na quinta-feira (05/10) como uma ferramenta para simplificar a vida dos desenvolvedores, também se provou uma arma útil para procurar falhas em softwares, informações de senhas e até código proprietário, que não deveria sequer estar postado na internet, disseram especialistas em segurança na sexta-feira.

Ao contrário do buscador principal do Google, o Google Code Search pesquisa nas próprias linhas de código ao encontrar arquivos que contenham código fonte na web. Isto pode ajudar os desenvolvedores a encontrarem códigos diretamente e localizar programas de código aberto que sequer sabiam existir, mas também um lado negativo.

“O problema é que você pode usar esse tipo de busca para procurar pontos vulneráveis e depois imaginar quem usou aquele código e atacar”, disse Mike Armistead, vice-presidente de produtos da analista de código fonte Fortify Software.

Os criminosos também podem procurar por brechas nos sistemas de senha e encontrar softwares proprietários, que nem deveriam estar postados na internet. Os especialistas em segurança afirmam que tais implicações do Google Code Search são dignas de menção, pra não dizer alarmantes.

“Hackers habilidosos podem já estar fazendo esse tipo de busca no site tradicional do Google, mas o Code Search é “mais uma ferramenta que facilita a vida do criminosos”, disse Johnny Long, pesquisador de segurança da Computer Sciences, em uma entrevista por e-mail.

Por sua parte, o Google não tem muito a dizer sobre o mau uso da ferramenta. “O Google recomenda que os desenvolvedores utilizem as práticas comumente aceitas dos códigos, incluindo o entendimento do código que aplicam e testes apropriados”, disse a empresa, em um comunicado.

O Google nunca revelou quais são as medidas tomadas para coibir este tipo de mau uso da sua tecnologia, embora de tempos em tempos este tipo de questão venha à tona. Em julho, a Websense usou uma pouco conhecida capacidade de busca binária do Google para procurar por códigos maliciosos na web.

Embora provavelmente não tenha um grande impacto nos projetos de código aberto, que já são amplamente monitorados, a nova ferramenta do Google pode ajudar a localizar falhas em pedaços menos conhecidos de software, segundo Lev Toger, desenvolvedor de software da Beyond Security.

O diretor de novos negócios da Batori Software & Security, Denny Roger, aponta que uma simples busca por palavras-chave, como “Request.QueryString” ou “password”, pode listar resultados que dão conhecimento para que crackers programem ferramentas que quebrem senhas de acesso ou baixem o conteúdo inteiro de um site.

Segundo Roger, o ataque pode ser classificado como assustador por dar acesso a usuários ordinários para bancos de dados com informações sigilosas das empresas com uma simples busca, mesmo que as informações estejam protegidas por ferramentas de segurança, por meio de uma ação conhecida como “bugle”.

Por meio de sistemas comuns de procura, crackers podem combinar termos de busca até que a lista de resultado traga informações sobre potenciais falhas de segurança. A introdução do Code Search facilita os ataques por “bugle”, segundo Roger, já que é voltado especificamente para achar códigos online.

*com informações do IDG News Service.

Fonte: http://idgnow.uol.com.br/seguranca/2006/10/09/idgnoticia.2006-10-09.8730578889/IDGNoticia_view

Sem comentários »