Spear Phishing e Ameaças Direcionadas: novo cenário de ataques via e- mail. Felipe Guitel Marke.ng Manager Trend Micro Brasil

Transcrição

1 Spear Phishing e Ameaças Direcionadas: novo cenário de ataques via e- mail Felipe Guitel Marke.ng Manager Trend Micro Brasil

2 Fortalecer o negócio

3 e garan?r a segurança da informação!

4 Ciber Ameaças Atacantes Consumerização Cloud & Virtualização Usuários TI

5 91% dos ataques direcionados começam com o spearphishing

6 Copyright 2015 Trend Micro Inc. 6

7 Quão complexo é o atual cenário? % dos % dos Malware Atuais Infectam < Malware Atuais Infectam = 10Empresas 1Empresa

8 Cenário de Ameaças Sofis>cação Employee Data Leaks Malware Tradicional Exploração de Vulnerabilidades Ameaças Avançadas Ataques Direcionados Tempo

9 Advanced Persistent Threats Nem sempre os componentes são maliciosos; O foco é ser evasivo, não detectável; Controlado por um humano; Múl?plos vetores de ataque; Ataque conbnuo, repe??vo; Atacantes são pacientes; Exploram brechas do sistema; Exploram brechas de segurança; Com recursos suficientes para ter êxito no ataque.

10 Perfil das Ameaças Ameaças dirigidas Bot Malware Distribuição Com planejamento Distribuição em massa Distribuição em massa Interrompe Serviços? Não Não Sim Padrão do Ataque Direcionado (pequenos grupos e organizações) Não direcionado (abrangência global) Não direcionado (abrangência global) Alvo Organizações/Empresas Individual, informação bancária on line Randômico Frequência do Ataque Muitas vezes Única Única Armas - Exploit Zero- day - Baixa RAT integrado - Dropper ou Backdoor Múl?plos Exploits, tudo em um Dependentes do desenvolvimento do Malware Taxa de detecção Menos que 10%, se a amostra for descoberta em menos de 1 mês Aproximadamente 86%, se a amostra for descoberta em menos de 1 mês Aproximadamente 99%, se a amostra for descoberta em menos de 1 mês

11 2014 Annual Trend Micro Security Roundup 11

12

13 THE INVISIBLE BECOMES VISIBLE Previsões da Trend Micro para 2015

14 Previsões Os ciber criminosos utilizarão darknets/ deepweeb e foruns exclusivos para compartilhar e vender crimeware O aumento de ciber atividades produzirá mais e melhores ferramentas e métodos de ataque com sucesso. Graças às vulnerabilidades mobile que deixam brechas para a infecção dos dispositivos móveis, os kits de exploração possuem como alvo o Android. Ataques direcionados se tornarão tão comuns como o cyber crime Novos métodos de pagamento através de dispositivos móveis, vão introduzir novas ameaças. Nós veremos mais tentativas de exploração de vulnerabilidades em aplicativos de código aberto. A diversidade tecnológica dos dispositivos IoE/IoT, vai suavizar os ataques em massa, mas o mesmo não será verdade para os dados processados. Mais ameaças bancárias e com motivação financeira, surgirão.

15 O aumento de ciber atividades maliciosas produzirá mais e melhores ferramentas e 2 métodos de ataque com mais sucesso.

16 Malware Conhecido 95,7% Botnets Ativas 87,2% Aplicações Disruptivas 82,9% Malware Bancário 77% Documentos Maliciosos 82,9% Malware Desconhecido 61,7% Ataques na Rede 76,6% Malware Android 31,9% Malware Mac OS 10,6% Serviços Cloud Storage 72,3% Atividades de Fuga de Dados 36,1% Fonte: Úl?mas 100 análises realizadas com o Deep Discovery no Brasil entre 2013 e 2014

17 Trend Micro 26 anos de exper?se, + 1,2 Bilhão de US$, Pure- play de segurança; Headquarter no Japão Tokyo Exchange Nikkei Index (4704) Maior empresa de segurança no mundo com foco em segurança Mais de 5200 funcionários, 38 unidades de negócio 48 das top 50 corporações globais 8 anos consecu?vos à +500,000 clientes enterprise +155 Milhões de estações de trabalho Global Threat Intelligence +1,200 especialistas no mundo RTL FTR

18 Regional TrendLabs Forward- Looking Threats Research

19 O Submundo do Crime Digital Brasileiro 19

20 Ataques Direcionados e Ameaças Desconhecidas Como você pode proteger se não detecta? Por que Breach Detec?on System? Para descobrir se você está sendo atacado ou já foi comprome?do Para entender o nível do ataque Para definir quão sofis?cado foi o ataque Ataque oportunista ou direcionado O ataque foi criado para evadir a detecção? Ganhe visibilidade para corrigir Quem está atacando? Quão profundo é o ataque? Que informação eles ob?veram? Quanto tempo o ataque está ocorrendo? Sou o único sofrendo esse ataque? Como impeço que aconteça novamente?

21 Defesa Customizada DETECTA ANALISA ADAPTA RESPONDE Tecnologia avançada para analisar pequenos sinals Perfil da ameaça Origem? Risco? Canal? Proteção Instantânea com assinatura dinâmica Threat infec?on containement Completa visibilidade com as tecnologias Deep Discovery Monitoramento avançado com sensores na Rede, Canais e Host Proteção contra ameaças customizadas & ataques direcionados Sandbox Inspeção Protocolos Reputação de rede Análise arquivo Análise de Comportamento Iden?ficação de C&C Monitoramento Sistema

22 Sandbox Customizada Poder da Sandbox Customizada Imagem SO customizada Acelera a execução Detecção An?- Análise 32 & 64 bits Executa binários, documentos, URL Isolated Network LoadLibraryA Win7 WinXP ARGs: SP3 ( NETAPI32.dll Win7 ) Return value: 73e50000 Base Hardened LoadLibraryA ARGs: ( OLEAUT32.dll ) Return value: 75de0000 LoadLibraryA ARGs: ( WININET.dll ) Return value: 777a0000 key: HKEY_CURRENT_USER\Local Se ngs\muicache\48\52c64b7e\languagelist Modifies file with infec.ble type : eqawoc.exe value: key: Inject HKEY_CURRENT_USER\So ware\microso \Onheem\20bi1d4f processus : 2604 taskhost.exe Write: Access path: suspicious %APPDATA%\Ewada\eqawoc.exe host : mmlzntponzkfuik.biz type: VSDT_EXE_W32 Injec?ng process API ID: 2604 Inject Fake API: CreateRemoteThread Fake Target process ID: Fake AV 1540 Target Hooks image path: taskhost.exe Explorer Server socket ARGs: ( 2, 2, 0 ) Return value: 28bfe! socket ARGs: ( 23, 1, 6 ) Return value: 28c02 window API Name: CreateWindowExW Core Threat ARGs: Simulator ( 200, 4b2f7c,, , 0, 0, 250, fe, 301b8, f, 4b0000, 0 ) Return value: 401b2 internet_helper API Name: InternetConnectA ARGs: ( cc0004, mmlzntponzkfuik.biz, 10050,,, 3, 0, 0 ) Return value: cc0008 Filesystem Registry Process Rootkit Network... monitor monitor monitor scanner driver

23 Poder da Sandbox Customizada vs. Técnicas An?- Security O exemplo abaixo demonstra a análise de um artefato em 3 perfis de sandbox Na primeira sandbox (1) o artefato malicioso não apresentou nenhum risco pois para que sua ro?na de execução exis?sse, a máquina deveria possuir sistema operacional em português; Nas outras sandbox (2 e 3) o artefato foi executado pois as sandbox possuiam Windows em português, caracterís?ca presente no ambiente corpora?vo do cliente deste exemplo

24 Deep Discovery Inspector Proteção contra Ataques Direcionados por Um appliance de dedicado que detecta e bloqueia s contendo conteúdo malicioso ou referências a URLs Sandbox personalizada e engines de detecção analizam os anexos dos s Analisa completamente o des?no das URLs embu?das no Deriva senhas de arquivos protegidos Co- existe com outros produtos de segurança de Ø Bloqueia s direcionados que causam fuga de dados

25 Deep Discovery Inspector GW Deep Discovery Server X Anexos: Analisados com detecção de engines & sandboxes Senhas: Derivadas inteligentemente usando listas e heurís?ca URLs: Reputação, rastreamento & sandbox para malware & exploits Sandbox Personalizada: Configurada para reproduzir seus sistemas Controles de Polí?cas: Torna fácil personalizar polí?cas de segurança Análise de Ameaças: Ferramentas & inteligência para analisar a natureza do ataque Proteção de Ameaças Avançadas bloqueia ataques direcionados de

26 Defesa Customizada e Integrada Deep Discovery Analyzer! Web IWSva proxy Blacklist dinâmica Storage OfficeScan Deep Security ScanMail Server App Server SMTP IMSva relay Analyzer af12e45b49cd : :80 d4.mydns.cc b1.mydns.cc... Infec?on & payload! Endpoint! C&C callback 3c4çba176915c3ee3df87b9 c127ca1a1bcçba17 Custom Signature

27 NSS Labs Breach Detec?on Tests Melhor detecção & 360 proteção

28 Convite: Trend Micro Security Assessment Copyright 2015 Trend Micro Inc.

29 hšp://blog.trendmicro.com.br

30 Obrigado! Confidential Copyright 2014 Trend Micro Inc.