Trend Micro revela como funciona o comércio no submundo da Web

A Trend Micro, provedora global em soluções de cibersegurança, divulgou novo estudo detalhando a cadeia obscura de suprimentos do cibercrime que está por trás da onda recente de ataques de ransomware. A demanda aumentou tanto nos últimos dois anos que muitos mercados cibercriminosos têm agora suas próprias seções “Access-as-a-Service”.

O relatório da Trend Micro tem como base a análise de mais de 900 listas de credenciais vazadas em diferentes fóruns de crimes cibernéticos de língua inglesa e russa, de janeiro a agosto deste ano. O setor de educação foi o que teve maior frequência, respondendo por 36% dos anúncios – mais do que o triplo do segundo e terceiro setores mais visados, manufatura e serviços, que respondem por 11% cada.

“A imprensa e os especialistas em segurança cibernética têm focado apenas nos ataques de ransomware, quando precisam se preocupar em reduzir a atividade de venda de dados de acesso às redes das empresas”, disse David Sancho, pesquisador sênior de Ameaças da Trend Micro. “Os respondentes de incidentes cibernéticos geralmente precisam investigar duas ou mais cadeias de ataque sobrepostas para identificar a origem de um ataque ransomware, o que muitas vezes complica o processo geral de resposta. As equipes deveriam se antecipar a esse problema, monitorando a ação dos ‘corretores de acesso inicial’, que roubam e vendem acessos às redes corporativas – e cortando o fornecimento para os agentes de ransomware”, observou.

O levantamento da Trend Micro revela três tipos principais de corretores de acesso. O primeiro perfil é o vendedor oportunista, que busca lucro rápido e não gasta muito tempo na atividade. Há os corretores dedicados, que são hackers sofisticados e qualificados, com oferta de acesso a uma gama variada de empresas. Seus serviços são frequentemente usados por grupos menores de ransomware. Por fim existem as lojas online, que oferecem credenciais RDP (Remote Desktop Protocol ou Área de Trabalho Remota) e VPN, garantindo acesso apenas a uma única máquina, em vez de toda uma rede ou organização. No entanto, oferecem uma maneira simples e automatizada para cibercriminosos com poucas habilidades. Eles podem até pesquisar pela localização, ISP (provedores regionais), sistema operacional, número da porta, direitos administrativos ou nome da empresa.

A maioria das ofertas de corretores de acesso envolve um simples conjunto de credenciais que podem ter sido originárias de: violações anteriores e quebra de senha; computadores comprometidos por bots; equipamentos de VPN e gateway vulneráveis, servidores web ou ataques oportunistas pontuais.

Os preços variam dependendo do tipo de acesso (máquina única ou rede/empresa inteira), da receita anual da empresa e do trabalho extra que o comprador vai precisar fazer. Embora o acesso RDP possa ser obtido por apenas US$ 10, o preço médio para credenciais de administrador em uma empresa é de cerca de US$ 8,5 mil. No entanto, os preços podem chegar a US$ 100 mil.

A Trend Micro recomenda que os técnicos adotem as seguintes estratégias:
• Analisem as violações públicas;
• Solicitem redefinição de senha a todos os usuários, caso suspeitem de violação de credenciais corporativas;
• Configurem autenticação multifatorial (MFA);
• Monitorem o comportamento dos usuários;
• Observem a rede DMZ e entendam que serviços voltados para a internet como VPN, webmail e servidores web estão sob ataque constante;
• Estabeleçam segmentação de rede e micro segmentação;
• Desenvolvam políticas de senha forte;
• Implementem alguma forma de arquitetura Zero Trust.

Serviço
www.trendmicro.com