Os Trojans de acesso remoto no setor bancário

(1)

Os Trojans de acesso remoto

no setor bancário

(2)

01

Cada vez que os bancos e outras entidades ﬁnanceiras implantam novas medidas de segurança para dar resposta às ameaças cibernéticas, os delinquentes encontram formas inéditas de atacar e conseguir seus objetivos.

Quando os bancos adotaram métodos de autenticação de dois fatores como

complemento às medidas de segurança já

existentes, os criminosos criaram uma ferramenta remota especiﬁcamente destinada a solicitar as informações necessárias para processar as operações bancárias pela Internet.

Este novo software malicioso, conhecido como trojan de acesso ou de administração remota (RAT, por sua sigla em inglês), costuma ser baixado para o equipamento ou

smartphone de um usuário sem que este perceba, junto com o download de algum programa que ele mesmo solicitou. Também pode ser transmitido com o download de arquivos anexos a e-mails.

Os RAT podem ser executados nas plataformas Windows, Mac OS, Linux e Android, o que faz com que sejam

amplamente úteis do ponto de vista do atacante.

Superando a autenticação de

dois fatores: Trojans de acesso

remoto (RAT)

(3)

02 Como

funcionam

os RAT

$$$

1

2

3

4

Os criminosos monitoram o

browser da vítima, esperando

que acesse o banco ao qual seu

ataque será dirigido.

_{Quando a vítima se conecta com seu}

internet banking, o RAT informa o

C&C sobre a nova infecção através

de sequências de comandos com sua

própria criptografia.

Os criminosos cibernéticos

realizam um ataque massivo a

diversos usuários ao mesmo

tempo para otimizar o processo.

Uma vez que o usuário entra no

seu internet banking, começa o

ataque.

Uma vez que os delinquentes entram no

sistema do usuário,

estabelecem uma

conexão com o centro de comando e

controle (C&C) que lhes permite controlar

o sistema do usuário, recompilar dados,

extrair informações de forma furtiva e se

autenticar na rede do banco para expandir

seu movimento lateral

1

.

1 _{Capacidade que o malware tem de explorar outros recursos da rede}

à qual se conectou, assim como de recompilar informações sensíveis que se encontrem na mesma.

(4)

03

Quando um RAT se ativa, o criminoso

pode ver a tela do usuário e fazer o que lhe for mais conveniente em cada

momento:

Um RAT também pode se atualizar de forma autônoma, converter-se em um proxy reverso, executar comandos e se desinstalar.

Alguns RAT chegam a simular uma tela bancária que induz a vítima a acreditar que o banco está instalando um

complemento, e enquanto se realiza o

download, o atacante acessa a conta. O delinquente pode inclusive solicitar ao usuário informações especíﬁcas "para conﬁrmar a operação" que lhe ajudem a se apropriar da conta. Estes dados podem incluir tokens bancários, códigos de

cartões de acesso, datas de nascimento de usuários ou senhas de contas.

Por último, nos ataques

"RAT-in-the-Browser” (RitB), o criminoso

acessa o site da entidade bancária através de um browser padrão para enviar

operações fraudulentas.

Em um equipamento

comprometido,

os

RAT operam de

maneira

imperceptível para

o usuário.

• Saltar os processos de comprovação de identidade mais comuns.

• Monitorizar o comportamento do usuário. • Recompilar informações da vítima, incluindo seus números de cartões de crédito e CPF. • Subtrair e acrescentar arquivos.

• Ativar webcams e gravar vídeos, assim como realizar capturas de tela.

• Formatar unidades ou baixar, eliminar ou alterar sistemas de arquivo.

• Distribuir software malicioso. • Apagar os cookies de um browser.

(5)

04 Os RAT são uma forma altamente

eﬁcaz para realizar atividades

fraudulentas online, e é muito difícil

detectá-los através das medidas de

segurança tradicionais.

Para os bancos, a parte mais

complicada de proteger seus

usuários e ativos dos RAT é o fato

de que os ataques se originam

nos dispositivos de seus clientes.

Os terminais dos clientes não estão

cobertos pela infraestrutura de

segurança bancária e, como o

banco não possui nem mantém

estes dispositivos, não pode

protegê-los.

Além disso, a entidade não pode

exigir que seus clientes instalem

agentes de software em seus

dispositivos.

Uma melhor

proteção é

necessária

Os RATs aparentam ser legítimos

Um dos maiores perigos dos RAT é o fato de que utilizam ferramentas comuns de acesso remoto, que são as mesmas usadas pelos administradores de sistemas ou equipes de suporte para oferecer assistência técnica. Estas ferramentas lhes permitem driblar

facilmente os antivírus e os programas tradicionais contra software malicioso.

Por outro lado, realizam funções desempenhadas por aplicativos legítimos e raramente consomem suﬁcientes recursos do sistema para criar uma redução do rendimento que seja suspeita. Também não aparecem nas listas de programas em execução.

Concluindo, os RAT podem se fazer passar por funcionalidades legítimas enquanto se escondem em segundo plano.

(6)

05 Os programas tradicionais não conseguem

detectar RATs

Muitos dos programas de detecção de fraude atuais não foram projetados para detectar RATs. E os delinquentes

cibernéticos se aproveitam disso.

Para os sistemas de reconhecimento do banco, os dispositivos conhecidos de usuários são conﬁáveis e são veriﬁcados através da impressão digital e da

autenticação robusta de identidades. O problema é que os criminosos realizam os ataques através de RAT e RitB,

manipulando o dispositivo conhecido e conﬁável do usuário.

Desta forma, os programas de detecção de malware, concebidos para identiﬁcar

ameaças cibernéticas emergentes e

avançadas, não classiﬁcam como maliciosas as conexões procedentes de um

equipamento conﬁável.

Os bancos precisam de uma proteção

dinâmica em tempo real

Os delinquentes modiﬁcam

continuamente suas táticas e códigos de software malicioso; por este motivo, os bancos precisam detectar possíveis fraudes procedentes de diversos vetores em tempo real para detê-las antes que possam causar estragos.

Ao mesmo tempo, requerem uma proteção que evolua rapidamente

conforme muda o contexto das ameaças cibernéticas.

(7)

Deep Learning para

prevenir a fraude

06 Conforme os casos estudados em

Global Trends in Online

Banking Fraud , a única função de segurança cibernética

que demonstrou sistematicamente a capacidade de frear os

ataques por RAT foi a análise do comportamento

biométrico. Graças à possibilidade de conhecer os padrões

de uso de seus clientes, os bancos podem melhorar

signiﬁcativamente sua capacidade de detectar fraudes.

Evita o roubo de identidade de clientes

O bugFraud traça perﬁs de cada usuário utilizando algoritmos de aprendizagem

neuronal avançada para identiﬁcar características biométricas. Uma vez que o bugFraud

conhece os padrões de comportamento dos usuários, ele detecta anomalias na

aceleração do mouse, identiﬁca usos suspeitos do teclado, alerta sobre curvas elípticas criptográﬁcas anômalas do usuário e marca dispositivos ou geolocalizações pouco

habituais de usuários que indiquem um possível RAT ou uma tentativa de apropriação de conta (Account take over – ATO por suas iniciais em inglês).

O bugFraudé um programa de prevenção de fraude de última geração, que identiﬁca o comportamento e a análise cognitiva dos usuários para traçar perﬁs únicos de cada

ser humano que está por trás de um dispositivo.

O bugFraud também veriﬁca as informações que um usuário visualiza para detectar se este está sendo manipulado por um delinquente através de um ataque por RAT.

(8)

07 Permite la detección en tiempo real

Para prevenir a fraude online em cada uma das fases da interação do usuário com o internet banking, os dados são recompilados a partir do momento em que o cliente se conecta e durante toda sua sessão.

Quando o bugFraud detecta atividades anômalas, adota as medidas adequadas para proteger o usuário.

Os bancos podem ver como, quando e onde se produzem as tentativas de fraude e quais clientes foram vítimas. Um sistema de classiﬁcação integral elimina os falsos positivos e previne os falsos negativos, de modo que as equipes de segurança e de TI do banco não precisam estar reagindo

continuamente.

Previne as injeções de conteúdo

malicioso durante a navegação dos

usuários

Os enfoques tradicionais de caixa preta não conseguem acompanhar o ritmo das constantes mudanças nas práticas fraudulentas.

Por este motivo, o bugFraud inclui um motor de detecção baseado em “caixas cinza”, que identiﬁca qualquer tentativa de download de software malicioso e de manipulação de conteúdo no browser do usuário, inclusive quando estas tentativas não são detectadas com as medidas de segurança tradicionais.

(9)

08 Proteção invisível e sem atrito para os clientes

Os bancos não precisam instalar ou manter agentes ou outro tipo de software nos dispositivos dos usuários. Para os clientes, o bugFraud é completamente transparente e lhes protege

independentemente do dispositivo que utilizem para suas operações bancárias, seja um computador, um laptop, um tablet ou um smartphone.

Com bugFraud os bancos podem impedir que os RAT consigam consumar a fraude no internet banking e, ao mesmo tempo, aumentar a