Defenda-se de ataques de phishing scam

18/07/2006 Written by Marcelo Almeida (Vympel)

Diari­a­mente usuários são engana­dos ao redor do mundo por ataques con­heci­dos como phish­ing scam.
Estes tipos de ataques levam o usuário a crer que uma pes­soa ou insti­tu­ição está enviando algo para ele, como um cartão vir­tual ou uma solic­i­tação e/​ou ver­i­fi­cação de dados.
Estes ataques acon­te­cem geral­mente por: ataque de URL Spoof, e-​mails solic­i­tando que entre em con­tato com o banco por meio de um for­mulário on-​line ou por tele­fone ou infor­mando que o usuário rece­beu um cartão vir­tual.

Para o ataque de url spoof, o usuário quando recebe um e-​mail e coloca o mouse sobre o link, na barra de sta­tus aparece o nome real que o cracker quer que usuário acred­ite ser.
Na imagem 1 podemos obser­var um ataque de url spoof.
Quando cli­camos neste link o endereço que abre é do site www​.google​.com​.br, mas quando pas­samos o mouse sobre o link mostra a url do site do Banco do Brasil…

Este ataque pode ser uti­lizado pelo phish­ing scam­mer fazer o usuário preencher um for­mulário on-​line, onde seus dados serão cap­tura­dos e envi­a­dos por e-​mail para o este­lion­atário. De posse destes dados ele poderá efe­t­uar alguns tipos de transações eletrôni­cas como se fosse o usuário real da conta.
Para evi­tar este tipo de ataque basta clicar com o botão dire­ito do mouse sobre o link, como mostra na figura 2, assim o link real que está oculto aparece.

Estes ataques usam fal­has nos soft­wares de leitura de e-​mails que não tem uma pro­teção para este tipo de ataque e/​ou não foi lançada alguma cor­reção. Deixando os usuários serem víti­mas destes tipos de ataques.

Outra forma muito comum que os crack­ers uti­lizam é enviar um Cartão Vir­tual ou um e-​mail de alguma forma de cobrança de dívi­das, SPC Serasa ou Conta Tele­fônica etc, para os usuários. Com esta téc­nica eles levam o usuário a clicar no link da página, que geral­mente está com a téc­nica de url spoof para visu­alizar o cartão ou ver as dívi­das pen­dentes deste usuário per­ante alguma empresa.

Para os cartões vir­tu­ais geral­mente o usuário é induzido a fazer o down­load de um arquivo que con­tém um soft­ware con­hecido como key­log­ger.

Este soft­ware irá cap­turar todas as teclas dig­i­tadas e url vis­i­tadas e enviará para o cracker como mostra na figura 3, assim que o vírus é insta­l­ado ele noti­fica o cri­ador colando infor­mações como url’s vis­i­tadas e sen­has armazenadas de e-​mails ou sites e a listagem de soft­wares insta­l­a­dos.

Para remover o soft­ware de pish­ing scam não é uma tarefa muito sim­ples e muitos antivírus não o recon­hecem, pois podem ter sido desen­volvi­dos por algum pro­gra­mador brasileiro e até as com­pan­hias de antivírus perce­beram que máquinas estão infec­tadas com deter­mi­nado soft­ware espião pode ser tarde de mais.
Na figura 4, podemos obser­var o vírus em exe­cução pelo soft­ware Process Explorer da Sys­In­ter­nals.
Cli­cando com o botão dire­ito sobre o processo do vírus podemos man­dar matar o processo (kill process) e podemos obser­var o cam­inho de onde o vírus está escon­dido e poder­e­mos ir até esta pasta e man­dar dele­tar o vírus.

Antes de fazer qual­quer mod­i­fi­cação no reg­istro o usuário deve fazer um backup com­pleto do reg­istro para poder recu­perar alguma entrada impor­tante que possa ser dele­tada por aci­dente (não recomen­damos ninguém fazer alter­ações no reg­istro se não sou­ber o que está fazendo).
Para efe­t­uar o backup do reg­istro, den­tro do regedit (ini­ciar /​exe­cu­tar /​regedit) click sobre a opção Meu Computador/​Arquivo/​Exportar e escolha um nome para sal­var a cópia do reg­istro.

Após estes pas­sos dev­er­e­mos entrar no reg­istro (ini­ciar /​exe­cu­tar /​regedit) e man­dar procu­rar pelo nome_do_vírus.extensão e todas as entradas do reg­istro que con­tiverem esta refer­ên­cia no painel da dire­ita, dev­erão ser dele­tadas como mostra a imagem 5.

Os usuários além de exe­cu­tar estes tipos de vírus se acham pro­te­gi­dos con­tra estes tipos de ataques pois usam o “teclado vir­tual” do banco para dig­i­tar os dados.
Este tipo de fer­ra­menta é usado para ser uma pro­teção a mais para o usuário, mas não a única, e são facil­mente iden­ti­fi­cadas por um pish­ing scam­mer con­forme mostra a imagem 6.

Criei este vírus para cap­turar teclas do teclado vir­tual do meu banco, para demon­strar como os dados são facil­mente cap­tura­dos e ape­sar do número cli­cado não estar nítido,pois o banco usa uma pro­teção do cur­sor do mouse, podemos obser­var pela seqüên­cia de cap­tura quais os dígi­tos o usuário estava cli­cando.

Em alguns tipos de ataques o phish­ing scamer usa algum tipo de vírus para insta­lar uma cópia da pag­ina den­tro da máquina do usuário e quando o nome do banco é dig­i­tado a página falsa é exe­cu­tada.
Este tipo de ataque é mais fácil de se iden­ti­ficar pois o cracker usa uma cópia real do site mas a URL (endereço do site) é total­mente difer­ente da orig­i­nal do banco. Esta ver­são de golpe é facil­mente evi­tada dig­i­tando o nome do seu_banco.com.br (observe quan­tas janelas do browser abrem fazendo alt+tab e por garan­tia dig­ite a primeira senha errada) e nunca usando endereços envi­a­dos por QUAL­QUER pes­soa.

Outro passo impor­tante é um usuário jamais abrir um link de nen­huma empresa con­hecida como, a Receita Fed­eral, Serasa/​SPC ou empre­sas tele­fôni­cas, pois eles não irão usar o e-​mail para comu­nicar seus clientes de algo.
Para cartões vir­tu­ais ape­nas não os abra. Se enviarem um cartão ou fotos de uma pes­soa famosa ou cenas inédi­tas de tal coisa sim­ples­mente ignore estes e-​mails.
Para nave­gar e rece­ber e-​mails com mais segu­rança exper­i­mente o soft­ware San­boxIE, que impede a exe­cução destes vírus e o browser como o Fire­fox que blo­queia estes ataques de URL Spoof.
Assim seu micro e sua conta bancária estarão um pouco mais seguros.

Figura1


















Figura 2
















Figura 3






















































Figura 4






















Figura 5






















Figura 6

Share this content: