Kroll detecta aumento na venda de credenciais de acesso na dark web
Salvador, 03/11/2021 – Os ataques de ransomware vêm se intensificando nos últimos meses. Esse tipo de criminoso também é conhecido como “intermediador de acesso inicial” (initial access broker, em inglês) e opera no início do ciclo de invasão fazendo o reconhecimento de redes vulneráveis, como dispositivos de Rede Privada Virtual (VPN), servidores com vulnerabilidades de software expostas ou Protocolo RDP aberto.
Uma vez alcançado o acesso, os intermediadores de acesso inicial anunciam seus feitos em fóruns na dark web, buscando vender as credenciais validadas a operadores de ransomware ou outros criminosos que aproveitam o acesso inicial para realizar vários ataques cibernéticos diferentes, como roubo ou criptografia de dados deixando-os indisponíveis.
Para Walmir Freitas, diretor da área de Cyber Security da Kroll no Brasil, o aumento nesse tipo de venda de dados é preocupante. “Esse movimento evidencia a pulverização de operadores de RAAS, que criam cada vez mais camadas de intermediários, diminuindo o risco de exposição às autoridades”, comenta.
Várias vezes no ano passado, a Kroll observou atores de ameaças em fóruns da dark web compartilhando grandes conjuntos de dados relacionados a credenciais confirmadas para vários aplicativos VPN. Em agosto de 2020, uma empresa de tecnologia sofreu um ataque de ransomware. Nesse mesmo mês, um grande conjunto de dados de credenciais VPN foi postado brevemente em um fórum da dark web.
A identificação e revisão da Kroll desse conjunto de dados identificou várias credenciais de conta disponíveis dos funcionários da organização, correspondendo a quase 100% com as contas que os atores da ameaça acessaram durante o ataque. Isso ilustrou a probabilidade de que os atores que conduzem ataques de ransomware tenham acesso a listas iniciais de credenciais legítimas, destacando como as postagens na dark web ajudam grupos de atores de ameaças de ransomware e afiliados do crime organizado a repetir seus ciclos de vida de intrusão contra as vítimas.
Com essa intensificação, alguns processos devem ser considerados pelas empresas na tentativa de reverter ou ao menos reduzir os potenciais prejuízos desse tipo de crime. Freitas lista algumas dessas dicas:
Treinamento de conscientização
Treinar funcionários para identificar e denunciar e-mails de phishing continua sendo um componente crítico das defesas de segurança de cada organização. Uma organização deve desenvolver o treinamento dos funcionários com procedimentos técnicos de resposta que orientem as equipes de TI ou Segurança da Informação na investigação e resposta a tentativas de phishing .
Autenticação multifatorial (MFA)
A autenticação multifatorial emparelha um nome de usuário e senha com um segundo fator de autenticação exclusivo, que pode incluir um PIN ou acesso biométrico, para impedir que um invasor que venha a obter credenciais de usuário faça login como funcionário legítimo. A MFA deve ser utilizado para todas as contas de acesso remoto, serviços em nuvem e acesso privilegiado e continua sendo uma das principais recomendações para qualquer organização.
Gerenciamento de vulnerabilidades
Os cibercriminosos nem sempre utilizam de phishing para obter acesso. Na verdade, muitos exploram vazamentos de bancos de dados públicos para extrair nomes de usuário e senhas de sistemas internos que
foram comprometidos. Um bom programa de gerenciamento de vulnerabilidades deve incluir a varredura rotineira de todos os sistemas, dispositivos e aplicativos externos e internos em busca de softwares vulneráveis e a instalação de patches dos fornecedores originais para corrigi-los.
Senhas
Quando se trata de melhores práticas de senha, alguns conceitos não mudam: exigir o uso de autenticação multifatorial; quanto mais longa a senha, melhor; utilizar gerenciadores de senhas; impedir o cache de senhas em sistemas de usuários e navegadores; e não compartilhar credenciais com outras pessoas.
Monitoramento Contínuo
O monitoramento proativo de fóruns na dark web pode ajudar a detectar quando as credenciais corporativas são expostas em um vazamento ou se os cibercriminosos estão utilizando seus domínios para campanhas de phishing. Considere incorporar o Monitoramento Contínuo em seu programa de segurança.
