Home Notícias A Campanha de APT “O Gato de Botas”

A Campanha de APT “O Gato de Botas”

por Notícias TI Forense

Você já pensou qual seria sua resposta se seu filho precoce perguntasse: “O que é um ataque APT de motivação política?” Esse cenário é no mínimo curioso. Então, tire a poeira da sua cópia do clássico de Charles Perrault “O Gato de Botas” e leia atento aos aspectos de cibersegurança. Afinal, se ignorarmos as liberdades artísticas, como um gato falante e ogros, o conto representa um maravilhoso exemplo de um complexo ataque APT multivetorial contra um governo (fictício). Vamos desfazer esse cibercrime juntos.
O conto começa com um moleiro deixando tudo para seus filhos. A parte da herança do filho mais novo inclui os contatos detalhados de uma pessoa que usa o pseudônimo de Gato de Botas e é obviamente um hacker de aluguel – como você deve se lembrar, no Shrek 2, esse personagem não usa apenas suas botas como marca registrada, mas também um chapéu preto. Após uma breve troca de informações com o cliente, o cibercriminoso traça um plano covarde que visa tomar o poder no país.

Estabelecendo a cadeia de suprimentos

  1. O gato pega um coelho e o apresenta ao rei como um presente de seu mestre – o filho do moleiro, posando como o fictício marquês de Carabás.
  2. O gato pega duas perdizes e as entrega ao rei como presente do marquês.
  3. O gato continua apresentando caça selvagem ao rei por vários meses, todas supostamente do marquês.

Se no início da operação o marquês de Carabás não era ninguém, no final da fase preparatória, já era conhecido na corte como um fornecedor confiável de caça selvagem. O serviço real de segurança cometeu pelo menos dois erros gritantes. Primeiro, a segurança deveria ter se tornado cautelosa quando uma entidade desconhecida começou a enviar a caça para o castelo. Afinal, todo mundo sabe que não existe almoço grátis. Segundo, ao fazer um acordo com um novo fornecedor, a primeira coisa a fazer é verificar sua reputação.

Engenharia social para abrir a porta

  1. Em seguida, o gato leva seu “mestre” para o rio, onde o convence a tirar a roupa e entrar na água. Quando a carruagem do rei passa, o gato pede ajuda, dizendo que as roupas do marquês foram roubadas enquanto ele estava nadando.

O gato consegue duas coisas. Por um lado, alegando que o jovem molhado não é um estranho, mas um fornecedor confiável de caça selvagem, e que, tendo ajudado desinteressadamente, o gato agora precisa de ajuda. O falso marquês não pode se identificar (ou autenticar) sem suas roupas roubadas. O rei é pego nesse truque simples, confundindo uma identidade falsa com uma genuína. É um exemplo clássico de engenharia social.

Ataque watering hole via site do ogro

  1. O gato chega ao castelo do ogro, onde é recebido como convidado de honra e pede ao seu anfitrião que demonstre suas habilidades mágicas. Lisonjeado, o ogro se transforma em leão. Fingindo ter medo, o gato diz que qualquer um pode se transformar em um animal grande – que tal transformar um animal pequeno? O ingênuo ogro se transforma em um rato e as garras do gato encerram sua vida rapidamente.

Para concluir a estratégia, o marquês precisa de um site – que tipo de fornecedor não possui um? Criar um site a partir do zero seria imprudente: não teria histórico e sua data de criação pareceria suspeita. Portanto, ele decide sequestrar um site existente. Aqui, Perrault esboça vagamente uma vulnerabilidade que envolve permissões de acesso. O gato efetua login como uma prova de penetração e convence o administrador local a brincar com o sistema de controle de acesso. O administrador primeiro aumenta seus próprios privilégios para “root” (leão) e depois os reduz para “convidados” (rato). Assim que isso acontece, o gato exclui a conta com permissões de “rato”, tornando-se efetivamente o único administrador do site.

  1. O rei visita o castelo e fica tão satisfeito com a recepção que decide que o marquês é um bom marido para a princesa e, assim, propõe convidá-lo à corte e torná-lo herdeiro do trono.

É o que acontece quando a engenharia social funciona como previsto. A vítima visita o site (agora malicioso) e conclui um acordo, dando ao hacker acesso a ativos valiosos (neste caso, o trono). Não diretamente, é claro – aqui ele entrega sua filha em casamento ao falso marquês.

Ataque da cadeia de suprimentos

O texto de Perrault não menciona essa parte, mas se você estiver prestando atenção, provavelmente notou que, no final da história, o marquês de Carabás:

  1. É o fornecedor de confiança do rei – distribui caça selvagem para a mesa do monarca há vários meses, e
  2. é o marido da única filha do rei.

Tudo o que o separa do poder ilimitado é o velho no trono. Basicamente, para se tornar um herdeiro ao trono, tudo o que ele precisa fazer é injetar um vírus letal no código da próxima perdiz, depois sentar e esperar.

Fonte: https://www.kaspersky.com.br/blog/operation-puss-in-boots/12466/

Artigos Similares

Deixe seu comentário