Operação Aurora

Depois do Conficker (janeiro de 2009) que mudou muitos paradigmas do mundo da Segurança da Informação, em janeiro de 2010 (coincidência?) temos agora o Aurora.

Aurora é um ataque inteiramente direcionado a algumas das maiores empresas do cenário global (Google, Adobe, Intel...). O ataque explora uma vulnerabilidade do Internet Explorer da Microsoft que ficou pública no dia 15/01 e cujo patch de correção só foi sair no dia 21/01. O grande objetivo do Aurora é claro: roubar a informação mais valiosa de uma corporação, a propriedade intelectual.

O padrão de ação do Aurora é extremamente sofisticado e isso chamou a nossa atenção: Criptografia muito forte e um alto poder de disfarce, ou seja, desde o momento em que o código explora a vulnerabilidade até o momento em que o atacante tem acesso aos dados confidenciais tudo acontece de modo que, para o sistema operacional e para o usuário (transparentemente para este último), todos os arquivos e processos parecem ser legítimos, inclusive utilizando a porta 443, cujo tráfego de pacotes é criptografado utilizando SSL, só que a criptografia que o ataque usa nessa porta é customizado (olha só!), não é a criptografia nativa do protocolo.

Outra coisa que chamou a atenção e que mostra o quanto os cybercriminosos estão sofisticados e COORDENADOS é o fato de que a Operação Aurora teve início nos feriados de natal e ano novo, ou seja, num momento em que a possibilidade de detecção por parte das empresas seria fortemente minimizada.

O Google, grande alvo deste ataque, juntamente com outras muitas empresas que ainda não disseram publicamente que foram atacadas (muitas nem vão dizer), suspeita que o ataque veio da China e isto está dando pano pra manga no âmbito das relações internacionais entre EUA e China.

Outra vez vemos uma mudança de paradigma, onde, corporativamente, além da consolidação de processos e aplicações para proteção de dados financeiros (ou que tenham valor no mercado negro) internos e externos, é mister proteger a propriedade intelectual.

Vou colocar o link para o boletim de segurança da Microsoft, onde estão disponíveis para download os KBs de correção da vulnerabilidade. Testem o patch em pequena escala para análise de comportamento (operacionalidade e disponibilidade) para depois aplicar ao ambiente como um todo.


http://www.microsoft.com/technet/security/bulletin/ms10-jan.mspx


Be safe!

Diego Carvalho
McAfee Certified Security Expert