América Latina representa 37% de todo tráfego malicioso do mundo

Brasil e Venezuela são as principais fontes de ataques; experts da F5 detalham tanto a origem – por meio da análise de endereços IP – como o alvo de ataques disparados no final de 2019

Compartilhar:

A F5 anuncia os resultados da pesquisa “Regional Threat Perspectives, Fall 2019: Latin America”, levantamento realizado pelo F5 Labs a partir de eventos mapeados durante os últimos meses de 2019. O levantamento Regional Threat Perspectives, Fall 2019: Latin America foi realizado com o apoio dos profissionais da Baffin Bay Networks e mostra que a presença da América Latina no mapa mundial de ataques é bastante expressiva: 37% de todo o tráfego malicioso do mundo é gerado por países desta região.

 

O Brasil sai na frente como ponto de origem de ataques digitais contra a América Latina; em segundo lugar vêm a Venezuela, seguida pela Itália. Os outros países da região que se destacaram no levantamento da F5 são a Costa Rica (sétima posição), a Argentina (décima primeira posição) e Colômbia (décima sexta posição).

 

De acordo com Hilmar Becker, country manager da F5 Networks Brasil, o Brasil ataca tanto a América Latina como outros continentes. “Tráfego malicioso disparado de endereços IP do Brasil foi identificado nas redes de todos os países do mundo; isso mostra a agressividade do código dos ataques gerados no Brasil”. Venezuela e Argentina, por outro lado, somente atacam a América Latina.

 

O endereço IP representa um dispositivo (computador ou equipamento de rede, tradicional ou virtual) conectado à Internet. O IP de origem pode informar a localidade de onde partiu o ataque e, conforme o nível da investigação, chega a revelar o nome (razão social) da empresa de onde o malware foi disparado. A porta de comunicação, por outro lado, dá acesso a uma aplicação específica – e-mail, navegador Web etc. – que utiliza os recursos de dispositivos conectados à Internet. A porta em situação vulnerável é alvo de ataques, sendo descoberta por meio de scans.

 

A pesquisa chegou ao detalhe de identificar o nome e o país de origem das empresas donas dos endereços IPs que são a fonte dos ataques digitais. “As operadoras de Telecom, presentes em todo o contexto mapeado pelo F5 Labs, informam a razão social das empresas para quem entregam endereços IP. Essa regra traz visibilidade sobre qual seria a empresa de onde surge o ataque”, detalha Becker.

 

Na lista das 50 maiores fontes de ataques digitais (empresas), o Brasil tem sete organizações identificadas. A Coréia do Sul apresenta o mesmo número de empresas. Todas as empresas brasileiras da lista produzida pelo F5 Labs são identificadas como LTDA (limitada), ME ou Eirelle. Dentro da legislação brasileira, essas classificações costumam identificar empresas pequenas ou que pertencem a apenas uma pessoa. “Ainda assim, é importante ter cautela na hora de identificar os culpados pelos ataques”, ensina Becker. Os gestores das empresas onde se originam esses ataques nem sempre possuem ciência dessas atividades. É possível que a fonte de ataques seja um equipamento comprometido, sob controle de hackers. Criminosos digitais podem, ainda, mascarar o IP real de origem com o uso de proxies. Isso é feito para que apareça como responsável do ataque um IP que, na verdade, não teria nada com isso.

 

O outro lado da atividade criminosa – a realização de scans para identificar portas de comunicação em situação vulnerável – também foi mapeada pela pesquisa da F5 Networks. “Há um claro foco dos criminosos digitais em identificar portas padrão SMB 445 – uma das portas mais usadas em ambientes corporativos, comum em drives de computadores e de dispositivos de rede – com falhas de segurança”, diz Becker.  O grande objetivo costuma ser a extração de informações críticas como dados sobre clientes, detalhes estratégicos sobre novos produtos etc.

 

Muitas portas são configuradas de forma default, numa política em que se privilegia o acesso ao recurso aberto pela porta e somente num segundo momento – em alguns casos, depois de um ataque – configura-se restrições a esse acesso. “Essa política muitas vezes deixa as empresas expostas a ataques, já que toda configuração default é uma informação pública”, alerta Becker. Isso vale para identidade (user name) e senhas de acesso. “Para vencer esse desafio é fundamental rever a política de senhas de dispositivos e de gerenciamento de identidades da empresa usuária”.

 

Ambientes SoHo também estão sob ataque

 

Em ambientes SoHo (Small Office, Home Office), o alvo dos criminosos digitais são portas 8291, muito comuns em roteadores domésticos. O mesmo perfil é compartilhado pelas portas 7547, muito usadas por ISPs para gerenciar roteadores de pequeno porte. Se configurações default estão presentes no mundo corporativo, isso é ainda mais comum no universo SoHo. “Nesse segmento, o grande objetivo dos criminosos digitais é utilizar portas em situação de vulnerabilidade para organizar ThingBots”, ressalta Becker. O resultado disso são fenômenos como a BotNet Mirai, de 2016, que fez história ao escravizar milhões de dispositivos IoT e utilizá-los em um dos maiores ataques volumétricos (DDoS) da história. A Mirai segue produzindo estragos, agora em versões atualizadas. Para os experts do F5 Labs, a infraestrutura IoT é um dos alvos preferenciais dos criminosos digitais na América Latina.

 

O relatório mostra, ainda, que uma das portas mais visadas é a MySQL 3306, presente tanto em ambientes com grandes bases de dados (de aplicações tradicionais às milhares de Web Applications sendo lançada no mercado) como em dispositivos IoT.

 

“Grandes portais Web – de Internet Banking e e-Commerce a portais de notícias –, são alvo de ataques em que portas vulneráveis permitem o acesso a bases de dados SQL, algo que produz estragos muito grandes”, diz Becker. O uso das portas MySQL 3306 por criminosos é prejudicial para os negócios porque as empresas desejam que seus negócios digitais estejam acessíveis para os clientes; dentro deste contexto, a filtragem do tráfego pode ser desafiadora.

 

Web Application Firewalls: segurança sem o bloqueio massivo de portas

 

Essa vulnerabilidade segue presente mesmo quando a empresa usuária utiliza firewalls de rede tradicionais, que tendem a bloquear a porta para evitar acessos. Isso pode deixar do lado de fora clientes, investidores etc. Uma solução para esse impasse é utilizar WAFs (Web Application Firewalls) como o F5 ASM. Essa tecnologia usa inteligência artificial para “ler” as demandas da aplicação que suporta o negócio, identificar o que é um acesso válido – dando vazão a isso – e bloquear o que é um ataque. “O acesso à base de dados SQL passa a acontecer a partir de um critério mais refinado, sem que portas de acesso sejam bloqueadas de forma massiva”, explica Becker.

 

Trata-se de uma gestão caso a caso em que entra em cena, também, o F5 IP Intelligent Service, um serviço que mapeia a internet 24x7x365, classificando IPs em diferentes categorias de risco. Isso é feito com base em atividades maliciosas geradas a partir desses IPs. A integração entre o F5 IP Intelligent Service e o F5 ASM produz uma abordagem de segurança inteligente, em que o acesso à porta não é bloqueado, mas, mesmo assim, a integridade dos dados está garantida.

 

A inteligência F5 também atua no centro da nuvem – os grandes datacenters – protegendo o acesso a portas que dão vazão a milhões de acessos e transações por segundo. Isso é feito com o firewall F5 Advanced Firewall Management (AFM), que também usa o F5 IP Intelligence Service para estar atualizado. “A soma dessas tecnologias e serviços garante a continuidade da economia digital, algo crítico para o crescimento do Brasil em 2020”, resume Becker.

 

Conteúdos Relacionados

Security Report | Overview

NFL forma parceria para segurança de redes em jogos internacionais

Com a expansão da parceria com a Cisco, as crescentes operações internacionais da NFL vão aproveitar soluções em todo o...
Security Report | Overview

Cibersegurança nas eleições: O Brasil está pronto para uma onda de ataques DDoS?

Relatório da Akamai Technologies mostra como ataques DDoS crescem ao redor do mundo e colocam em risco instituições democráticas
Security Report | Overview

Quase duas mil instituições de ensino sofrem ataques cibernéticos por ano no Brasil

Relatório da Verizon aponta que o setor de Educação é muito visado por criminosos cibernéticos e especialista aponta o que...
Security Report | Overview

Laboratório detecta novas vulnerabilidades em sistemas WordPress, Cisco e Google

O relatório da consultoria Redbelt também revelou uma falha no ChatGPT para macOS, que pode ter permitido espionagem persistente. A...