A Internet das Coisas (Cada Vez Mais Assustadoras)

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

Há muito FUD (medo, incerteza e dúvida) associado a qualquer tendência tecnológica emergente, especialmente quando ela envolve enormes contingentes de consumidores ansiosos para participar. E, embora seja relativamente fácil descartar a paranoia de que bots e outras coisas tecnologicamente “inteligentes” possam estar agindo por conta própria para prejudicar você (pelo menos até agora), não é tão fácil ignorar o fato de que elas podem ser usadas tanto para o mal quanto para o bem.

Considere, por um momento, o enorme ataque DDoS ocorrido entre 30 de novembro e 1º de dezembro, que teve como alvo treze servidores raiz de nomes da Internet. Juntos, esses servidores dão suporte a quase toda a Internet. É verdade que eles foram projetados para funcionar de forma distribuída e, caso viessem a falhar, outros servidores ao redor do mundo assumiriam sua função e continuariam fornecendo endereços IP em troca de nomes de domínio. Assim, o que realmente assusta nessa história não é o impacto, mas os mecanismos por trás do ataque.

“No auge do ataque DDoS, os servidores receberam mais de cinco milhões de consultas por segundo e mais de 50 bilhões de consultas no total durante o período de dois dias.” (http://www.ibtimes.co.uk/john-mcafee-massive-ddos-attack-internet-was-smartphone-botnet-popular-app-1532993).

Segundo diversos especialistas em segurança, a origem dessas consultas eram, quase certamente, celulares. Talvez o seu. Talvez o meu. É difícil ter certeza, pois a quantidade de variáveis envolvidas — Wi-Fi, rede móvel, operadora etc. — dificulta determinar de onde vinha a faixa uniformemente distribuída de endereços IP.

Especialistas apontam para celulares com um aplicativo comprometido instalado, afirmando que seria fácil obter um volume tão grande de bots de ataque com um número relativamente pequeno de aplicativos maliciosos ativados. Por que alguém instalaria um aplicativo malicioso? Porque, é claro, não sabe que ele é malicioso. A hipótese, neste momento, é que o aplicativo malicioso esteja se passando por algo inofensivo, como um aplicativo de lanterna ou algum outro utilitário simples, pequeno, útil e totalmente gratuito.

Isso não é, de forma alguma, um exagero ou algo tão inverossímil quanto poderia ter parecido no passado. O número de “coisas” que podem ser exploradas graças à sua conectividade e dependência de APIs está crescendo e, em breve, poderá ser grande o suficiente para representar uma ameaça equivalente à que os celulares representam hoje até mesmo para as maiores instituições.

Entre as instituições apontadas como os principais alvos estão, naturalmente, as financeiras, que conhecem bem o mundo dos bots, malwares e outros códigos maliciosos. Isso porque uma das formas mais comuns de os criminosos cometerem fraudes é por meio de malwares instalados em celulares graças a phishing ou outras técnicas de engenharia social. Uma vez no dispositivo, esses pequenos softwares maliciosos usam “diferentes técnicas para obter permissões de administrador no dispositivo das vítimas, roubar os TANs (números de autorização de transação) dos usuários, interceptar mensagens SMS contendo OTPs, capturar credenciais, exibir conteúdo fraudulento, realizar transferências automáticas de dinheiro e muito mais”, segundo Shaul Vilkomir-Preisman, analista sênior de malware em nosso SOC da F5.

Shaul publicou recentemente uma análise sobre uma ameaça emergente, o Tashua-Bot, que elevou ainda mais o nível do já arriscado jogo das fraudes ao aprimorar a técnica tradicional de sobrepor conteúdo a sites legítimos de instituições financeiras para induzir os consumidores a fornecer informações confidenciais. Essa é uma evolução perigosa, pois permite que seus controladores não apenas tenham como alvo um “número praticamente ilimitado de aplicativos legítimos”, mas também exibam neles conteúdo fraudulento personalizado sem alterar o próprio malware. Isso significa que, uma vez instalado, ele pode ser usado repetidamente, contornando quaisquer proteções que as instituições venham a implementar para proteger seus consumidores contra atividades fraudulentas.

A frase muitas vezes usada de forma casual para descrever a visão entusiasmada do mercado em geral sobre a economia dos aplicativos — “há um aplicativo para isso” — não vale apenas para os consumidores, mas, aparentemente, também para os criminosos. Sejam celulares, sua geladeira ou aquelas “coisas” que você conecta aos eletrodomésticos da sua casa e que fazem automaticamente novos pedidos de suprimentos à Amazon, os criminosos estão buscando avidamente novas maneiras de explorar os consumidores e o número cada vez maior de conexões que eles têm com a Internet. Como mostra nossa análise do Yasuo-Bot, eles também não estão parados; pelo contrário, estão em constante movimento, procurando novas formas de explorar nosso desejo por conveniência em benefício próprio.

Mantenha-se seguro por aí e aperte o cinto, pois a jornada será turbulenta.

Sobre o autor

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

Lori MacVittie é engenheira distinta e evangelista-chefe no Escritório do CTO da F5, com ampla experiência em entrega de aplicações, estratégia de automação e infraestrutura. Ela é conhecida por transformar complexidade em clareza, seja definindo diretrizes para agentes de IA, analisando arquiteturas multinuvem frágeis ou investigando os limites de sistemas escaláveis. Ela acumula mais de trinta anos de experiência no setor, abrangendo desenvolvimento de aplicações, arquitetura de TI e operações de redes e sistemas. Antes de ingressar na F5, atuou como editora de tecnologia e recebeu diversos prêmios. MacVittie tem mestrado em Ciência da Computação e é uma autora prolífica, com publicações que abrangem segurança, nuvem e arquitetura empresarial. Ela também é uma entusiasta de jogos de tabuleiro e videogames, além de ter opiniões assumidamente fortes sobre queijos.

Mais publicações de Lori Mac Vittie