Lapsus$ e senhas

No final de julho, o Conselho de Revisão de Segurança Cibernética (CSRB) dos EUA divulgou seu relatório sobre a série de violações de grande repercussão realizadas em 2021-2022 pelo grupo de agentes mal-intencionados conhecido como Lapsus$ e agentes mal-intencionados semelhantes. O relatório, Review of the Attacks Associated with Lapsus$ and Related Threat Groups, oferece uma análise aprofundada dos procedimentos, táticas e técnicas por trás de algumas das violações mais notáveis.  Talvez o aspecto mais preocupante desses ataques tenha sido o sucesso dos agentes mal-intencionados em atingir contas de usuários legítimos para obter e manter o acesso às redes das vítimas. Os golpistas usaram uma variedade de métodos para coletar credenciais dessas contas legítimas, alguns técnicos e outros mais básicos, e também eram proficientes em engenharia social e na realização do reconhecimento inicial contra seus alvos. Embora o relatório faça um excelente trabalho detalhando as táticas do grupo em toda a cadeia de destruição, gostaríamos de nos ater a três aspectos específicos nesta publicação, pois eles estão relacionados à segurança de suas senhas: engenharia social, o papel dos infostealers e dos access brokers nessas violações e a recomendação do relatório de que “todos devem progredir rumo a um mundo sem senhas”.

Engenharia social

O uso eficaz de táticas de engenharia social é uma das características dos ataques do Lapsus$. O relatório destaca diversas abordagens utilizadas pelos agentes mal-intencionados, incluindo o contato com o suporte técnico da organização afetada para coletar informações ou redefinir contas e o contato direto com colaboradores. Esses contatos diretos incluíram vishing, smishing e spearphishing por parte do agente mal-intencionado, na tentativa de coletar credenciais de contas legítimas ou outras informações confidenciais, e o uso de ataques de fadiga de MFA, nos quais o golpista enviava repetidas solicitações de autorização de MFA, muitas vezes fora do horário de expediente ou em outros momentos inconvenientes. Os agentes mal-intencionados também contataram os colaboradores fingindo ser do suporte técnico e pedindo que aceitassem as solicitações de MFA para que elas parassem. A seguir, nós discutiremos em mais detalhes as medidas que você pode tomar para proteger suas senhas contra essas tentativas, mas os temas recorrentes de phishing e solicitação de dados ou comportamento deixam bem clara a importância de um programa robusto de educação em cibersegurança.

Infostealers

O relatório chama a atenção para o uso de malwares que roubam informações, ou infostealers, na onda de ataques atribuídos ao Lapsus$ e a grupos semelhantes.  Observou-se que esses agentes mal-intencionados usam os próprios infostealers depois de estabelecerem contato inicial com um colaborador, conforme mencionado aqui, ou aproveitam credenciais possivelmente roubadas por meio de infostealers ou outros métodos e depois vendidas por Initial Access Brokers (IABs). Esses IABs são conhecidos por vender acesso a redes comprometidas a outros elementos do ecossistema cibercriminoso, que podem então tomar uma série de ações contra a organização-alvo, incluindo roubo, criptografia ou destruição de dados. O relatório do CSRB destaca os possíveis danos que os infostealers podem causar nas mãos certas — um grupo como o Lapsus$ (ou outros agentes mal-intencionados semelhantes) pode usar esses infostealers (ou os dados roubados por eles) em conjunto com táticas de engenharia social de forma muito eficaz para obter ganhos invasivos e acesso generalizado a redes que, normalmente, seriam bem protegidas.

Como eles atuam no roubo de senhas e informações pessoais confidenciais, os infostealers são uma ameaça crítica para muitas equipes de cibersegurança, e já falamos sobre eles aqui.  Além disso, segundo um estudo recente da Uptycs, os infostealers estão cada vez mais proeminentes e perigosos: de acordo com a pesquisa, os incidentes envolvendo infostealers mais do que duplicaram no primeiro trimestre de 2023 em comparação com 2022. Esse aumento reflete não apenas o crescimento nos números absolutos de uso de infostealers, mas também a evolução contínua dos próprios infostealers à medida que eles se tornam mais furtivos e ganham novas funcionalidades.

Recomendações do Conselho de Revisão de Segurança Cibernética

A gravidade das violações analisadas no relatório do CSRB destaca a ameaça em potencial representada por agentes mal-intencionados proficientes no uso de engenharia social e infostealers.  Essas são duas ameaças que muitas empresas também enfrentam todos os dias.  Nossa própria pesquisa indica que 49% dos tomadores de decisão de TI veem credenciais comprometidas e ataques de phishing e de engenharia social como os maiores riscos para suas empresas. Por isso esta recomendação feita pelo CSRB, de enfrentar essas ameaças, é importante: “As organizações devem priorizar os esforços para reduzir a eficácia da engenharia social”. A recomendação ainda afirma que “as organizações devem adotar soluções sem senha fáceis de usar e seguras por padrão, como métodos de MFA resistentes a phishing e compatíveis com FIDO2 (Fast IDentity Online)”. A LastPass faz coro a essa recomendação e incentiva os clientes a usar autenticadores compatíveis com FIDO2 que permitam login sem senha no cofre, como o LastPass Authenticator. Essa medida poderia ajudar a reduzir o risco de engenharia social e infostealers, eliminando a senha da equação.  Aliando isso à educação em cibersegurança e conscientização sobre táticas de engenharia social, os clientes podem ajudar a se proteger contra os tipos de ataques analisados no relatório do CSRB.

The post Lapsus$ e senhas appeared first on The LastPass Blog.