Ransomware backup e outras medidas preventivas GTS 27 Uberlândia, Maio de 2016

Transcrição

1 Ransomware backup e outras medidas preventivas GTS 27 Uberlândia, Maio de 2016 Danton Nunes <danton.nunes@inexo.com.br> Internexo Ltda. São José dos Campos, SP

2 Do que se trata a encrenca? Um programa clandestino que cifra os arquivos a que tem acesso. Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

3 Do que se trata a encrenca? Um programa clandestino que cifra os arquivos a que tem acesso. Normalmente usa criptografia "pesada": AES, com selo cifrado por RSA com chave de bits. Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

4 Do que se trata a encrenca? Um programa clandestino que cifra os arquivos a que tem acesso. Normalmente usa criptografia "pesada": AES, com selo cifrado por RSA com chave de bits. Exige um resgate, normalmente pago em Bitcoins, pela dark web, para decifrar os arquivos. Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

5 Do que se trata a encrenca? Um programa clandestino que cifra os arquivos a que tem acesso. Normalmente usa criptografia "pesada": AES, com selo cifrado por RSA com chave de bits. Exige um resgate, normalmente pago em Bitcoins, pela dark web, para decifrar os arquivos. Há ataques contra praticamente todos os sistemas operacionais. Você acha que está seguro porque roda Linux, FreeBSD, ou MacOS X? Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

6 Do que se trata a encrenca? Um programa clandestino que cifra os arquivos a que tem acesso. Normalmente usa criptografia "pesada": AES, com selo cifrado por RSA com chave de bits. Exige um resgate, normalmente pago em Bitcoins, pela dark web, para decifrar os arquivos. Há ataques contra praticamente todos os sistemas operacionais. Você acha que está seguro porque roda Linux, FreeBSD, ou MacOS X? You know nothing, Jon Snow! Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

7 Do que se trata a encrenca? Processo de infecção: por , links deceptivos, redes sociais (um pouco do de sempre, com a ajuda do usuário!). Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

8 Do que se trata a encrenca? Processo de infecção: por , links deceptivos, redes sociais (um pouco do de sempre, com a ajuda do usuário!). Alguns aplicativos de sequestro de dados são altamente sofisticados na arte de enganar detectores de vírus. Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

9 Do que se trata a encrenca? Processo de infecção: por , links deceptivos, redes sociais (um pouco do de sempre, com a ajuda do usuário!). Alguns aplicativos de sequestro de dados são altamente sofisticados na arte de enganar detectores de vírus. Normalmente não se preocupam em escalar privilégios, sequestrar os arquivos a que o usuário tem acesso já faz estrago suficiente. Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

10 Do que se trata a encrenca? Processo de infecção: por , links deceptivos, redes sociais (um pouco do de sempre, com a ajuda do usuário!). Alguns aplicativos de sequestro de dados são altamente sofisticados na arte de enganar detectores de vírus. Normalmente não se preocupam em escalar privilégios, sequestrar os arquivos a que o usuário tem acesso já faz estrago suficiente. Costumam cifrar tanto arquivos locais quanto em rede, bem como danificar ou remover os backups locais (sombra) Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

11 Do que se trata a encrenca? Processo de infecção: por , links deceptivos, redes sociais (um pouco do de sempre, com a ajuda do usuário!). Alguns aplicativos de sequestro de dados são altamente sofisticados na arte de enganar detectores de vírus. Normalmente não se preocupam em escalar privilégios, sequestrar os arquivos a que o usuário tem acesso já faz estrago suficiente. Costumam cifrar tanto arquivos locais quanto em rede, bem como danificar ou remover os backups locais (sombra) Mais famosos: CryptoLocker, CryptoWall, KeRanger (OS X), Linux.Encoder.1 (para Linux e alguns sabores de BSD!) Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

12 Do que se trata a encrenca? Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

13 Do que se trata a encrenca? Aviso do CryptoWall sobre o estrago feito aos seus dados. Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

14 Do que se trata a encrenca? Aviso do CryptoWall sobre o estrago feito aos seus dados. A lingua gem é até muito bem educada para um bandido! Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

15 Do que se trata a encrenca? Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

16 Do que se trata a encrenca? típico pedido de resgate do CryptoWall, com detalhadas instruções sobre como fazer pagamentos com Bitcoin a um sequestrador desconhecido! Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

17 O pior aconteceu, e agora? Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

18 O pior aconteceu, e agora? 1. Mantenha a calma. Banana opcional. Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

19 O pior aconteceu, e agora? 1. Mantenha a calma. Banana opcional. 2. Identifique a fonte do ataque, o que pode ser complicado em rede com muitas estações de trabalho. O MRTG/Nagios/... pode ser útil nesse ponto porque durante o ataque o perfil de tráfego é atípico. Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

20 O pior aconteceu, e agora? 1. Mantenha a calma. Banana opcional. 2. Identifique a fonte do ataque, o que pode ser complicado em rede com muitas estações de trabalho. O MRTG/Nagios/... pode ser útil nesse ponto porque durante o ataque o perfil de tráfego é atípico. possível início do ataque, marcado por súbito aumento do tráfego na rede local. Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

21 O pior aconteceu, e agora? 1. Mantenha a calma. Banana opcional. 2. Identifique a fonte do ataque, o que pode ser complicado em rede com muitas estações de trabalho. O MRTG/Nagios/... pode ser útil nesse ponto porque durante o ataque o perfil de tráfego é atípico. possível início do ataque, marcado por súbito aumento do tráfego na rede local. Mas quanta gente monitora TODAS as portas de TODOS os comutadores do tecido de chaveamento? Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

22 O pior aconteceu, e agora? 3. Se você tem como recuperar os arquivos de um backup? Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

23 O pior aconteceu, e agora? 3. Se você tem como recuperar os arquivos de um backup? sim: prossiga; Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

24 O pior aconteceu, e agora? 3. Se você tem como recuperar os arquivos de um backup? sim: prossiga; não: ainda há alguma esperança, mas pode pensar em comprar Bitcoins para pagar o resgate. Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

25 O pior aconteceu, e agora? 3. Se você tem como recuperar os arquivos de um backup? sim: prossiga; não: ainda há alguma esperança, mas pode pensar em comprar Bitcoins para pagar o resgate. A polícia holandesa possui um conjunto de chaves privadas recuperadas de criminosos que estão presos. Se uma dessas chaves servir, Aleluia! Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

26 O pior aconteceu, e agora? 3. Se você tem como recuperar os arquivos de um backup? sim: prossiga; não: ainda há alguma esperança, mas pode pensar em comprar Bitcoins para pagar o resgate. A polícia holandesa possui um conjunto de chaves privadas recuperadas de criminosos que estão presos. Se uma dessas chaves servir, Aleluia! 4. Certifique se de que o programa sequestrador foi realmente terminado ou a estação contaminada removida da rede. Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

27 O pior aconteceu, e agora? 3. Se você tem como recuperar os arquivos de um backup? sim: prossiga; não: ainda há alguma esperança, mas pode pensar em comprar Bitcoins para pagar o resgate. A polícia holandesa possui um conjunto de chaves privadas recuperadas de criminosos que estão presos. Se uma dessas chaves servir, Aleluia! 4. Certifique se de que o programa sequestrador foi realmente terminado ou a estação contaminada removida da rede. 5. Recupere os arquivos do backup. Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

28 O pior aconteceu, e agora? 3. Se você tem como recuperar os arquivos de um backup? sim: prossiga; não: ainda há alguma esperança, mas pode pensar em comprar Bitcoins para pagar o resgate. A polícia holandesa possui um conjunto de chaves privadas recuperadas de criminosos que estão presos. Se uma dessas chaves servir, Aleluia! 4. Certifique se de que o programa sequestrador foi realmente terminado ou a estação contaminada removida da rede. 5. Recupere os arquivos do backup. Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

29 Existe vida além do backup! Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

30 Existe vida além do backup! Backup é aquela coisa que todo o mundo sabe que tem que fazer, mas... Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

31 Existe vida além do backup! Backup é aquela coisa que todo o mundo sabe que tem que fazer, mas... Há outras formas de proteger os dados contra sequestro, mais automáticas e que permitem recuperação mais rápida e mais recente que os esquemas tradicionais de backup: Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

32 Existe vida além do backup! Backup é aquela coisa que todo o mundo sabe que tem que fazer, mas... Há outras formas de proteger os dados contra sequestro, mais automáticas e que permitem recuperação mais rápida e mais recente que os esquemas tradicionais de backup: Armazenamento em servidores em rede tipo "write once", de modo que qualquer dado no passado possa ser recuperado. Exemplo: Venti, do Plan9 from Bell Labs Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

33 Existe vida além do backup! Backup é aquela coisa que todo o mundo sabe que tem que fazer, mas... Há outras formas de proteger os dados contra sequestro, mais automáticas e que permitem recuperação mais rápida e mais recente que os esquemas tradicionais de backup: Armazenamento em servidores em rede tipo "write once", de modo que qualquer dado no passado possa ser recuperado. Exemplo: Venti, do Plan9 from Bell Labs Sistemas de arquivos com pontos de controle (checkpoint) A estrutura de arquivos e pastas em cada ponto de controle pode ser recuperada facilmente. Exemplos: Fossil, do Plan9, e nilfs, da NTT. Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

34 Sistemas de arquivos com pontos de controle Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

35 Sistemas de arquivos com pontos de controle Operação super simples: qualquer ponto de controle no passado pode ser montado como um sistema de arquivos comum. Normalmente monta se com a opção "ro". Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

36 Sistemas de arquivos com pontos de controle Operação super simples: qualquer ponto de controle no passado pode ser montado como um sistema de arquivos comum. Normalmente monta se com a opção "ro". No caso do Fossil, não há necessidade de ser "root" para montar os pontos de controle do passado. Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

37 Sistemas de arquivos com pontos de controle Operação super simples: qualquer ponto de controle no passado pode ser montado como um sistema de arquivos comum. Normalmente monta se com a opção "ro". No caso do Fossil, não há necessidade de ser "root" para montar os pontos de controle do passado. Uma vez que tenha sido identificado o instante em que o ataque foi iniciado, basta montar o ponto de controle imediatamente anterior para recuperar uma imagem exata do estado dos dados ainda não cifrados. Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

38 Sistemas de arquivos com pontos de controle Operação super simples: qualquer ponto de controle no passado pode ser montado como um sistema de arquivos comum. Normalmente monta se com a opção "ro". No caso do Fossil, não há necessidade de ser "root" para montar os pontos de controle do passado. Uma vez que tenha sido identificado o instante em que o ataque foi iniciado, basta montar o ponto de controle imediatamente anterior para recuperar uma imagem exata do estado dos dados ainda não cifrados. Resultado: tempo de recuperação mínimo e perda de dados entre mínima e nula! Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

39 Sistemas de arquivos com pontos de controle Por outro lado... Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

40 Sistemas de arquivos com pontos de controle Por outro lado... Sistemas de arquivos com pontos de controle devoram discos, apesar de contarem com algoritmos para evitar duplicidade de blocos e alguma mágica de compressão de dados. Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

41 Sistemas de arquivos com pontos de controle Por outro lado... Sistemas de arquivos com pontos de controle devoram discos, apesar de contarem com algoritmos para evitar duplicidade de blocos e alguma mágica de compressão de dados. Por exemplo, um sistema baseado no nilfs da NTT pode precisar de mais que o dobro do espaço útil para manter poucos meses de pontos de controle no passado. Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

42 Sistemas de arquivos com pontos de controle Por outro lado... Sistemas de arquivos com pontos de controle devoram discos, apesar de contarem com algoritmos para evitar duplicidade de blocos e alguma mágica de compressão de dados. Por exemplo, um sistema baseado no nilfs da NTT pode precisar de mais que o dobro do espaço útil para manter poucos meses de pontos de controle no passado. O lado bom é que o preço dos discos vem caindo nos últimos anos, tornando tais sistemas cada vez mais viáveis economicamente. Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

43 Resumo da novela Arquivos sequestrados! Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

44 Resumo da novela Arquivos sequestrados! conte com a ajuda de ferramentas isole a origem de gerenciamento de redes Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

45 Resumo da novela Arquivos sequestrados! conte com a ajuda de ferramentas isole a origem de gerenciamento de redes Tem a chave? Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

46 Resumo da novela Arquivos sequestrados! conte com a ajuda de ferramentas isole a origem de gerenciamento de redes Tem a chave? sim decifre os. fim Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

47 Resumo da novela Arquivos sequestrados! conte com a ajuda de ferramentas isole a origem de gerenciamento de redes Tem a chave? sim decifre os. fim não pontos de controle? Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

48 Resumo da novela Arquivos sequestrados! conte com a ajuda de ferramentas isole a origem de gerenciamento de redes Tem a chave? sim decifre os. fim não pontos de controle? sim monte o últipo PC bom Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

49 Resumo da novela Arquivos sequestrados! conte com a ajuda de ferramentas isole a origem de gerenciamento de redes Tem a chave? sim decifre os. fim não backup? não pontos de controle? sim monte o últipo PC bom Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

50 Resumo da novela Arquivos sequestrados! conte com a ajuda de ferramentas isole a origem de gerenciamento de redes péssimo dia para ter saído da cama! Tem a chave? sim decifre os. fim não não backup? não pontos de controle? sim monte o últipo PC bom Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

51 Resumo da novela Arquivos sequestrados! conte com a ajuda de ferramentas isole a origem de gerenciamento de redes péssimo dia para ter saído da cama! Tem a chave? sim decifre os. fim não não backup? não pontos de controle? sim sim recupere o backup monte o últipo PC bom Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

52 Conclusões Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

53 Conclusões Sequestro de dados está na moda e causa muitos prejuízos. Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

54 Conclusões Sequestro de dados está na moda e causa muitos prejuízos. Infecção por métodos comuns, com a ajuda do usuário. Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

55 Conclusões Sequestro de dados está na moda e causa muitos prejuízos. Infecção por métodos comuns, com a ajuda do usuário. É fundamental isolar a máquina contaminada, pois o bicho pode atacar novamente! Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

56 Conclusões Sequestro de dados está na moda e causa muitos prejuízos. Infecção por métodos comuns, com a ajuda do usuário. É fundamental isolar a máquina contaminada, pois o bicho pode atacar novamente! Somente medidas preventivas funcionam efetivamente, a mais conhecida e que deve ser praticada é o BACKUP! Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

57 Conclusões Sequestro de dados está na moda e causa muitos prejuízos. Infecção por métodos comuns, com a ajuda do usuário. É fundamental isolar a máquina contaminada, pois o bicho pode atacar novamente! Somente medidas preventivas funcionam efetivamente, a mais conhecida e que deve ser praticada é o BACKUP! Há outros recursos menos conhecidos que o backup e que ajudam na recuperação do desastre: volumes indeléveis e sistemas de arquivos com pontos de controle. Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

58 Recursos Ferramenta da Kasperski usando as chaves recuperadas pela Polícia Holandesa: Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

59 Recursos Ferramenta da Kasperski usando as chaves recuperadas pela Polícia Holandesa: Artigo na Wikipedia (muito interessante): Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

60 Recursos Ferramenta da Kasperski usando as chaves recuperadas pela Polícia Holandesa: Artigo na Wikipedia (muito interessante): Recursos do Plan9 from Bell Labs: Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

61 Recursos Ferramenta da Kasperski usando as chaves recuperadas pela Polícia Holandesa: Artigo na Wikipedia (muito interessante): Recursos do Plan9 from Bell Labs: Sistema de arquivos com pontos de controle da NTT (Nippon Telephone and Telegraph): Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

62 Recursos Ferramenta da Kasperski usando as chaves recuperadas pela Polícia Holandesa: Artigo na Wikipedia (muito interessante): Recursos do Plan9 from Bell Labs: Sistema de arquivos com pontos de controle da NTT (Nippon Telephone and Telegraph): O site da IBM discute o nilfs, exofs, e menciona outras abordagens ao problema: nilfs exofs/ Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

63 Recursos Ferramenta da Kasperski usando as chaves recuperadas pela Polícia Holandesa: Artigo na Wikipedia (muito interessante): Recursos do Plan9 from Bell Labs: Sistema de arquivos com pontos de controle da NTT (Nippon Telephone and Telegraph): O site da IBM discute o nilfs, exofs, e menciona outras abordagens ao problema: nilfs exofs/ E, se você lê japonês, Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14

64 ? Ransomware: backup e outras medidas preventivas GTS 27, Uberlândia, Maio de /14