Relatório Consolidado de Coleta e Análise de Ameaças Cibernéticas.
Agosto - 2021
49K
21k
266k
188K
Neste mês o OpenCTI.BR apresenta seu oitavo relatório mensal que traz um consolidado de coleta e análise de ameaças brasileiras identificadas em agosto de 2021. O objetivo deste report, é contribuir com a comunidade através de uma visão focada no cenário nacional, das principais ameaças e indicadores relacionados a ataques identificados pela honeyNET do projeto, que constitui sensores instalados apenas no Brasil, para que deste modo possamos mapear o comportamento do cenário de ameaças local.
As informações apresentadas neste relatório, tem como base, dados de Hashes, IPs, URLs e Domínios processados durante o período de 01 a 31 de agosto de 2021.
Volume de Dados Processados:
HASH
IP
URL
DOMAIN
Dentre os países identificados como as 5 principais origens de ataques no mês de agosto, podemos destacar:
Como de costume, na maioria dos ataques, a fase de reconhecimento é a responsável por mapear os vetores vulneráveis e para isso criamos mecanismos que detectaram um grande volume de atividades de Massive Scan tendo como principais alvos os seguintes serviços:
-
SOCKS - 1080
-
VNC - 5900
-
SQL Server - 1433
-
SSH - 22
-
SIP - 5060
Em nossa honeyNET, também utilizamos como parte do processo de detecção as assinaturas SNORT. Abaixo um comparativo das assinaturas mais acionadas entre julho e agosto.
Comparativo com base em assinaturas do tipo "exploit".
Comparativo com base em assinaturas do tipo "web server".
Destacamos os principais IP's de origem brasileira registrados na Blacklist Dshield que se comunicaram com nossos sensores. Temos observado muitos IP's provenientes de operadoras de telecom com comportamento de brute force SSH e reporte 100% de "abuso".
Outra técnica frequentemente utilizada é a tentativa de acesso não autorizado através de credenciais comprometidas e/ou comumente utilizada por usuários ou padronizadas pelos fabricante.
Abaixo destacamos as principais credenciais detectadas por nossos sensores através de ataques de força bruta via SSH.
Também é característico da nossa honeyNET a coleta de amostras dos ataques recebidos.
Essas amostras são primeiramente processadas em ambiente controlado e em seguida classificadas.
Neste mês de agosto observamos um aumento expressivo de eventos de malware das categorias stealer e backdoor, comparado ao percentual obtido no mês anterior.
Dos tipos de malware que atacaram a nossa honeyNET, cerca de 35% foram provenientes de trojan, seguidos de ransomware, stealer, backdoor, worm, azorult, emotet, exploit e banker além de outras famílias de malware (detectvm e trikbot) em volume de menor relevância.
Conforme citado anteriormente, na honeyNET do projeto temos um tipo de sensor que tem como objetivo principal capturar credenciais através do serviço SSH, entretanto observamos que ataques originados da botnet Miraí, após autenticar no serviço, executam uma série de comandos subsequentes, incluindo comunicações secundárias.
Na imagem abaixo listamos as principais URL's relacionadas a esse tipo de comportamento identificadas no mês de agosto:
Por fim, ao analisarmos o volume de ataques provenientes de IPs registrados no Brasil, listamos os ISPs mais envolvidos.
As operadoras Telefônica, Algar Telecom, Claro, G8 e Unifique Telecomunicações aparecem como destaque.
Observamos que neste mês tivemos ocorrências em operadoras que nos meses anteriores não apresentaram relevância.
Anexo
Informações Relevantes
O maior roubo de criptomoedas da história
No dia 10 de agosto a Poly Network, plataforma de finanças descentralizadas (DeFi), teve uma vulnerabilidade explorada e o atacante conseguiu transferir cerca de US$ 600 milhões em múltiplos tokens, provavelmente o maior incidente de segurança cibernética desse tipo na história. Segundo a Chainalysis, foi explorada uma vulnerabilidade nos contratos digitais que a Poly Network usa para movimentar os recursos entre diferentes blockchains.
O mais intrigante é que o atacante entrou em contato com a Poly Networks prometendo devolver todos os fundos, e de fato devolveu, e até mesmo recebeu um prêmio de US$ 500 mil em Ethereum e um cargo de de conselheiro-chefe da segurança, que a princípio foram recusados pelo invasor.
Mesmo que os tokens não fossem devolvidos, lavar tanto dinheiro sem deixar rastros seria muito difícil, uma vez que todas as transações são registradas na blockchain.
Até o momento a identidade do(s) atacante(s) não foi revelada e a Poly Networks reiterou que não tem intenção de fazer com que o(s) atacante(s) responda(m) legalmente pelo ataque.
A equipe do OpenCTI.BR espera aperfeiçoar e evoluir gradativamente, trazendo novas análises e indicadores de ameaças através deste formato consolidado e demais iniciativas. Para colaborar com sugestões ou criticas, por favor envie um e-mail para [email protected]. Se tem interesse em contribuir com o projeto, saiba como em: https://www.opencti.net.br/contribuicao
