DÓDOODOOD
6. Some concluding remarks
Talvez seja a variante de malware que mais popularidade tem ganho nos ´ultimos anos e tamb´em aquela que, pelas suas caracter´ısticas, maiores dificuldades tem causado `as equipas de ciberseguranc¸a. Esta variante cifra ficheiros de um computador, exigindo pos- teriormente um resgate por forma a ceder uma chave que decifre os ficheiros.
A TrendMicro [13] descreve o ransomware como sendo “um tipo de malware que impede ou limita a capacidade dos utilizadores em aceder ao seu computador ou sistema, bloqueando o ecr˜a do mesmo ou o acesso aos seus ficheiros”. As fam´ılias de ransomware mais recentes, denominadas de crypto-ransomware, cifram certo tipo de ficheiros nos sistemas afetados e forc¸am os utilizadores a pagar um resgate, atrav´es de um m´etodo de pagamento online, por forma a obter a chave necess´aria para a decifra.
Os primeiros prot´otipos de ransomware foram desenvolvidos nos anos 90, atrav´es da ideia de utilizac¸˜ao de chaves p´ublicas criptogr´aficas para ataques inform´aticos. No seu artigo de 1996, Young and Yung [24] referem que o prot´otipo desenvolvido serve o prop´osito de demonstrar que a criptografia pode ser utilizada como forma de extors˜ao, causando a perda de acesso a dados.
A utilizac¸˜ao de m´ultiplas chaves na cifra assim´etrica permite que os dados sejam ci- frados com a chave p´ublica sem que nunca seja exposta a chave privada. No caso do ransomwareesta ´e uma caracter´ıstica essencial, garantindo que os dados e a informac¸˜ao
se mantˆem do lado do atacante. Ainda assim, estes prot´otipos continuavam com um pro- blema de log´ıstica por resolver: como garantir que o resgate ´e pago sem que a identidade do atacante seja exposta?
O anonimato oferecido pelas cryptocurrencies4, levou a que os resgates fossem co-
brados atrav´es do pagamento em Bitcoins 5. No entanto, o pagamento do resgate nem sempre ´e garantia de que os dados ser˜ao decifrados posteriormente, ficando o utilizador dependente das intenc¸˜oes do atacante.
A invenc¸˜ao do Bitcoin veio reacender o interesse de agentes maliciosos no ransomware. Entre outras caracter´ısticas [10], a utilizac¸˜ao desta moeda digital garante a potenciais ata- cantes que:
• N˜ao existe um banco central ou uma autoridade para a moeda, eliminando a possi- bilidade do valor da moeda ser manipulado por essas entidades;
• Transac¸˜oes pseudo-an´onimas, significando que, embora a transac¸˜ao da moeda seja anunciada na rede, n˜ao existe uma maneira simples de corresponder contas Bit- coin a identidades no mundo real, garantido desta forma uma significativa dose de privacidade;
• As transac¸˜oes b´asicas s˜ao irrevers´ıveis, uma vez feita a transferˆencia n˜ao existe forma de terceiros forc¸arem o reembolso.
A disseminac¸˜ao de ransomware pode assumir v´arias formas, sendo que as variantes mais conhecidas propagam-se atrav´es de anexos em emails de spam, transferˆencia de ficheiros contidos em p´aginas maliciosas ou exploit kits que exploram vulnerabilidades dos sistemas operativos. Olhando para o seu modelo de operac¸˜ao (ver figura 2.2), podem identificar-se seis fases de ataque , conforme refere a McAfee [10]:
• A primeira fase ´e a distribuic¸˜ao: O ransomware utiliza m´etodos relativamente simples e comuns para a sua propagac¸˜ao. Normalmente dissemina-se atrav´es de campanhas de phishing envolvendo anexos em emails ou a transferˆencia para um computador que visita p´aginas web comprometidas;
• A segunda fase ´e a infec¸˜ao: O bin´ario chega ao computador do utilizador e inicia os processos necess´arios para a sua ac¸˜ao maliciosa;
• A terceira fase ´e a comunicac¸˜ao: O ransomware pede aos seus servidores a chave p´ublica necess´aria para cifrar os dados;
4Moeda digital utilizada como meio de troca que utiliza criptografia por forma
a garantir transac¸˜oes seguras - http://www.forbes.com/forbes/2011/0509/
technology-psilocybin-bitcoins-gavin-andresen-crypto-currency.html 5Moeda digital e sistema de pagamento criado por Satoshi Nakamoto [15] e distribu´ıdo sob licenc¸a open-sourceem 2009.
• A quarta fase ´e a pesquisa dos ficheiros: O ransomware inicia o processo de pes- quisa de ficheiros no sistema. Procura por ficheiros que podem ser relevantes para o utilizador e que n˜ao podem ser facilmente replicados, tais como: .jpg , .docx, .xlsx, .pptx e .pdfs;
• A quinta fase ´e a cifra: esta ´e tipicamente realizada atrav´es da movimentac¸˜ao e alterac¸˜ao do nome dos ficheiros alvo, cifrando-os e alterando o nome dos ficheiros ap´os a conclus˜ao do processo de cifra;
• A sexta e ´ultima fase ´e o resgate: normalmente exigido atrav´es do ecr˜a do compu- tador afetado, referindo o valor a pagar em Bitcoins ou noutra cryptocurrency.
Uma das variantes de ransomware mais noticiadas em todo o mundo ´e a fam´ılia Cryp- toLocker. Esta variante foi lanc¸ada em 2013 e combinava, na altura, novas potencialidades como o m´etodo de cifra assim´etrica e a nova moeda digital, o Bitcoin, para o pagamento dos resgates. Foi esta a primeira fam´ılia de ransomware a utilizar Bitcoins nos seus pa- gamentos, estimando-se que rendeu aos seus criadores cerca de 27 milh˜oes de d´olares em Bitcoins [10].
Nos dias de hoje ´e poss´ıvel constatar-se, nos diferentes meios de comunicac¸˜ao 6 e
de investigac¸˜ao da ´area da ciberseguranc¸a [8, 21, 7], que o ransomware continua em ex- pans˜ao, surgindo cada vez mais casos de empresas e individuais afetados por esta ameac¸a.
Figura 2.2: Seis fases de ataque do ransomware
6
https://newsroom.cisco.com/press-release-content?type=webcontent&
articleId=1780586 http://www.bbc.com/news/technology-38731011 http: