Impeça o phishing e bloqueie a exfiltração e a comunicação criptografadas

Jay KelleyGerente Sênior de Marketing de Produto | F5

Antigamente, os ataques de phishing e spear phishing só aumentavam em determinadas épocas do ano, como em grandes feriados, a exemplo do Natal ou do Ano-Novo Chinês; em datas comemorativas voltadas ao consumo, como o Dia dos Namorados ou o Festival das Lanternas na China; ou durante eventos de compras, como a Black Friday ou a Cyber Monday nos Estados Unidos, o Boxing Day (26 de dezembro^th) no Reino Unido e na Comunidade das Nações, ou o Dia dos Solteiros (11 de novembro^th) na Ásia.

Os invasores então perceberam que poderiam explorar o FUD — medo, incerteza e dúvida — provocado por desastres naturais e causados pelo homem, guerras, doenças, eleições ou qualquer evento que domine o noticiário atual para disseminar suas ameaças.

No Reino Unido, o Information Commissioner’s Office (ICO) indicou que o phishing foi a principal causa de violações relacionadas à segurança cibernética entre abril de 2019 e março de 2020. O Office of the Australian Information Commissioner (OAIC) mostrou que o phishing representou 36% de todos os casos notificados ao órgão, ocupando o primeiro lugar na lista.

Nesse contexto, os ataques de phishing e spear phishing aumentaram drasticamente ao longo de 2020, impulsionados pela ameaça de uma pandemia mundial, por países em quarentena ou lockdown, por trabalhadores obrigados a trabalhar de casa e até mesmo por eleições acirradas nos EUA e em outros países. Até mesmo o anúncio de que as vacinas contra a COVID-19 estavam prontas vem sendo explorado para induzir até as pessoas mais cautelosas a abrir e-mails de fontes desconhecidas — ou mesmo de fontes conhecidas cujas contas possam ter sido violadas e sequestradas —, disseminando malware e outros vetores de ataque mal-intencionados, roubando informações de usuários e empresas ou permitindo acesso ilícito a redes, nuvens, aplicativos e dados confidenciais.

Um dos motivos mais citados para o recente aumento vertiginoso dos ataques de phishing foram as determinações de trabalho em casa decorrentes da pandemia de COVID-19. Muitos funcionários, prestadores de serviços e outros membros das equipes foram obrigados a trabalhar de casa ou remotamente, o que rapidamente atraiu a atenção indesejada dos invasores. Eles perceberam que havia uma grande probabilidade de que as pessoas trabalhando remotamente estivessem sob maior pressão, baixassem a guarda e começassem a clicar em links de praticamente qualquer e-mail, mesmo daqueles que normalmente levantariam suspeitas. Eles também sabem que quem trabalha em casa pode estar usando dispositivos pessoais (BYOD) sem as ferramentas normalmente utilizadas pelas organizações para protegê-los de ataques como phishing. Invasores e hackers também acreditam que os trabalhadores em regime de home office talvez não tenham largura de banda suficiente para manter os softwares de segurança em execução ou atualizados e podem desativá-los ou deixar de instalar suas atualizações. Muitas vezes, eles estão certos.

Phishing e criptografia

À medida que os ataques de phishing aumentaram rapidamente, o número de sites de phishing que usam criptografia cresceu no mesmo ritmo. De acordo com o recente Relatório de Phishing e Fraude de 2020 da F5 Labs, quase 72% dos links de phishing direcionam as vítimas para sites criptografados com HTTPS. Isso significa que a grande maioria dos sites maliciosos de phishing agora parece ser composta por sites legítimos e confiáveis, capazes de enganar facilmente até mesmo os funcionários mais experientes. Esses dados também foram corroborados por pesquisas de outros relatórios, incluindo um relatório da Venafi que identificou domínios suspeitos semelhantes aos de sites de varejo, os quais usam certificados válidos para fazer com que sites de phishing pareçam legítimos, levando ao roubo de dados confidenciais de contas e pagamentos.

E não são apenas os sites maliciosos que usam a criptografia TLS para parecer convincentes e legítimos. Há também os destinos para os quais o malware, distribuído por meio de ataques de phishing, envia os dados que rouba das vítimas e de suas organizações; esses destinos são chamados de drop zones. De acordo com o relatório Phishing and Fraud Report 2020 da F5 Labs, todos — 100% — os incidentes envolvendo drop zones investigados pelo Centro de Operações de Segurança (SOC) da F5 em 2020 usaram criptografia TLS.

Encontrar ameaças em tráfego criptografado não é fácil

Atualmente, há diversas soluções disponíveis para combater o phishing sob diferentes perspectivas. Algumas delas treinam os funcionários para reconhecer e lidar com ataques de phishing, reduzindo a probabilidade de sucesso e a eficácia desses ataques. Essas soluções tratam da segurança de e-mail, oferecendo proteção contra spam, malware, anexos maliciosos, ataques de comprometimento de e-mail corporativo (BEC), entre outras ameaças. Também há serviços para gerenciar o e-mail de uma organização. Existem até soluções que atuam como proxy do tráfego web da organização, replicando-o ou simulando-o e enviando código aos dispositivos locais para renderização, ou que simulam a página web sem incluir nenhum dos códigos subjacentes suspeitos e possivelmente maliciosos.

Embora todas essas sejam ótimas soluções, ainda há o problema de lidar com o tráfego criptografado. Se o tráfego estiver criptografado, ele precisará ser descriptografado antes de poder ser verificado quanto à presença de malware e outros códigos perigosos. Isso se aplica tanto ao tráfego criptografado que entra na organização quando os usuários clicam em links maliciosos e propensos a malware em e-mails de phishing, baixam anexos repletos de código malicioso e acessam sites mal-intencionados que parecem legítimos e inofensivos por terem o certificado de criptografia “correto”, quanto ao tráfego criptografado que sai da organização levando dados roubados para uma área de armazenamento criptografada ou que se comunica com um servidor de comando e controle (C2) para obter mais instruções ou gatilhos capazes de desencadear ainda mais ataques.

Além disso, isso nem sequer leva em consideração que as regulamentações governamentais de privacidade, como o Regulamento Geral sobre a Proteção de Dados (GDPR) da União Europeia (UE), a Lei de Privacidade do Consumidor da Califórnia (CCPA) ou muitas outras regulamentações em debate em países do mundo todo, geralmente incluem disposições que impedem a descriptografia de informações pessoais dos usuários, como dados financeiros ou de saúde. Qualquer descriptografia de tráfego criptografado precisaria atender a esses requisitos de privacidade; caso contrário, qualquer organização que infringisse essas regulamentações poderia enfrentar processos judiciais e multas substanciais.

Mas espere, tem mais…

Dito isso, há ainda outros aspectos dos atuais ataques de phishing que usam criptografia aos quais as organizações precisam estar atentas. O Relatório de Phishing e Fraude de 2020 da F5 Labs também constatou que mais de 55% das zonas de recebimento usam uma porta SSL/TLS não padrão, enquanto mais de 98% dos sites de phishing usavam portas padrão, como a porta 80 para tráfego HTTP não criptografado e a porta 443 para tráfego criptografado. Isso significa que, especialmente no caso do tráfego criptografado de saída, não basta depender da inspeção das portas padrão. As soluções implantadas precisam inspecionar e descriptografar o tráfego de saída em portas não padrão. Isso é essencial para impedir a ocultação e a exfiltração de dados críticos.

Hoje, para impedir ameaças criptografadas propagadas por ataques de phishing, as organizações precisam inspecionar todo o tráfego SSL / TLS de entrada, a fim de garantir que qualquer tráfego da Web malicioso ou possivelmente iniciado por phishing seja bloqueado e eliminado. No entanto, essa inspeção deve incluir a capacidade de ignorar de forma inteligente a descriptografia do tráfego criptografado que contenha informações confidenciais dos usuários, como dados financeiros ou de saúde. Além disso, as organizações atuais precisam bloquear completamente ou, no mínimo, monitorar portas Web de saída não padrão para impedir que malwares estabeleçam comunicações criptografadas com servidores C2 e de drop zone, evitando assim a exfiltração de dados ou o acionamento de ataques. Há também outros aspectos importantes a considerar, como o tipo de criptografia compatível com os dispositivos da pilha de segurança. Por exemplo, se um invasor souber que determinado dispositivo de segurança não é compatível com o sigilo de encaminhamento (também conhecido como sigilo de encaminhamento perfeito, ou PFS), poderá explorar essa limitação para que o tráfego criptografado simplesmente passe pelo dispositivo de segurança sem ser inspecionado. Essa situação é especialmente prejudicial e perigosa em ambientes nos quais os dispositivos da pilha de segurança estão conectados em cadeia. Se o dispositivo que não é compatível com PFS deixar o tráfego passar, todos os demais dispositivos da cadeia também o deixarão passar.

Sem essas proteções, além de treinamentos de conscientização sobre segurança e da implementação de soluções de segurança de e-mail ou antiphishing, as organizações ficam vulneráveis a ataques e violações, bem como ao roubo de dados corporativos e de usuários considerados críticos.

Para obter informações sobre como o F5 SSL Orchestrator pode eliminar o ponto cego de segurança causado pelo tráfego criptografado e revelar dados críticos ocultos que estão sendo exfiltrados e roubados, clique aqui.

Sobre o autor

Jay KelleyGerente Sênior de Marketing de Produto | F5

Mais publicações de Jay Kelley