O cibercrime cotidiano -- e o que você pode fazer contra

Como você pega um vírus malicioso online, o tipo de *malware* que bisbilhota seus dados e rouba sua conta do banco? Muitas vezes, com coisas simples que você faz todos os dias sem pensar duas vezes. James Lyne nos lembra que não é somente a NSA que nos observa, mas cibercriminosos cada vez mais sofisticados que exploram tanto código inseguro quanto a natureza humana ingênua.

Eu vou mostrar algumas das criações

mais recentes e sujas dos cibercriminosos

Então, basicamente não baixem

qualquer um desses vírus que eu mostrar.

Alguns de vocês talvez estejam se perguntando
como um especialista em cibersegurança é,

e pensei em dar-lhes uma noção rápida

da minha carreira até agora.

É uma descrição bem precisa.

É assim que alguém especializado

em malware e hackers se parece.

E hoje em dia, vírus de computador e trojans,

projetados para fazer tudo desde roubar dados

e observá-los pela webcam

até roubo bilhões de dólares.

Alguns códigos maliciosos
hoje em dia chegam até

a atacar energia, aplicações e infraestrutura.

Vou lhes dar uma rápida ideia

do que código malicioso é capaz hoje em dia.

Neste momento, a cada segundo,
oito novos indivíduos

estão entrando na Internet.

Hoje, nós veremos 250 mil
novos vírus de computador.

Veremos 30 mil novos sites infectados.

E, só para derrubar um mito aqui,

muita gente acha que quando você se infecta

com um vírus de computador,
é porque você entrou num site pornô.

Certo? Bem, na verdade,
falando estatisticamente,

se você visitar somente sites pornô,
você está mais seguro.

Aliás, normalmente
as pessoas anotam isso. (Risos)

Na verdade, cerca de 80% destes

são sites de pequenas
empresas se infectando.

Os cibercriminosos de hoje, como eles são?

Bem, muitos de vocês têm a imagem, né,

do adolescente sardento sentado no porão,

hackeando por notoriedade.

Mas, na verdade, os cibercriminosos de hoje

são maravilhosamente
profissionais e organizados.

De fato, eles têm anúncios de produtos.

Você pode ir online
e comprar um serviço de hacker

para derrubar da rede
o negócio de seu concorrente.

Olhem só esse que eu encontrei.

(Vídeo) Homem: Bem,
você está aqui por uma razão,

e essa razão é

que você precisa que seus concorrentes,

rivais, que o detestam,
ou seja qual for a razão, ou quem,

eles têm que cair fora.

Bem, você, meu amigo, você veio ao lugar certo.

Se você quiser derrubar seus concorrentes,

bem, eles conseguem.

Se você quiser seus rivais
fora, bem, eles ficarão.

Não só isso, nós oferecemos um serviço

de curto a longo prazo de DDOS
ou ataque programado,

começando com cinco dólares
por hora para sites pessoais pequenos

até de 10 a 50 dólares por hora.

James Lyne: Agora, eu realmente paguei

um destes cibercriminosos
para atacar meu próprio site.

As coisas ficaram mais complicadas
quando tentei cobrar isso da empresa.

Pelo jeito isso não é legal.

Mas de qualquer jeito,
é incrível como muitos produtos

e serviços agora estão
disponíveis para cibercriminosos.

Por exemplo, esta plataforma de testes,

que permite aos cibercriminosos

testar a qualidade de seus vírus

antes de serem lançados para o mundo.

Por uma pequena taxa,
eles conseguem fazer o upload deles

e garantir que tudo está certo.

Mas ainda vai além.

Cibercriminosos agora têm pacotes de crimes

com painéis de relatórios
de inteligência de negócios

para gerenciar a distribuição
de seus códigos maliciosos.

Este é o líder de mercado
em distribuição de malware,

o "Black Hole Exploit Pack",

responsável por quase um terço
da distribuição de malware

durante os últimos meses.

Ele vem com guias técnicos de instalação,

vídeos com rotinas de configuração,

e vejam só, suporte técnico.

Você pode mandar um email
aos cibercriminosos e eles vão te dizer

como configurar seu servidor hacker ilegal.

Deixem-me mostrar como é
o código malicioso hoje em dia.

O que tenho aqui são dois sistemas,

um agressor, que eu fiz parecido
com Matrix e assustador,

e uma vítima, que talvez vocês
reconheçam de casa ou do trabalho.

Agora, normalmente,
eles estariam em lados diferentes

do planeta ou da Internet,

mas eu coloquei-os lado a lado

porque deixa as coisas
muito mais interessantes.

Bem, há varias maneiras de se infectar.

Vocês vão entrar em contato
com algumas delas.

Talvez alguns de vocês já receberam um email

dizendo algo como, "Oi, eu sou
um banqueiro nigeriano,

e gostaria de dar-lhe 53 bilhões de dólares

porque eu gostei de você."

Ou funnycats.exe, que, segundo boatos,

foi muito bem-sucedido na recente
campanha da China contra os EUA.

Bem, há muitas maneiras de se infectar.

Quero mostrar-lhes
algumas das minhas favoritas.

Esta é uma pequena chave USB.

E como se faz rodar
uma chave USB num negócio?

Bem, você pode tentar parecer fofo.

Ohh.

Ou, no meu caso, estranho e patético.

Então, imaginem este cenário:
eu entro em uma das suas empresas,

com uma aparência muito estranha
e patética, com uma cópia do meu currículo

em que derramei café,

e peço para a recepcionista
conectar essa chave USB

e imprimir outra para mim.

Vamos dar uma olhada aqui
no computador vítima.

O que vou fazer é conectar a chave USB.

Depois de alguns segundos,

as coisas começam a acontecer
sozinhas no computador,

normalmente um mau sinal.

Isso aconteceria, claro, normalmente

em alguns segundos, muito, muito rápido,

mas eu desacelerei um pouco

para que vocês pudessem
ver o ataque acontecendo.

Fora isso, malware é bem entediante.

E está escrevendo o código malicioso,

e alguns segundos depois, no lado esquerdo,

vocês verão a tela do agressor receber
uma nova mensagem interessante.

Agora, se eu colocar o cursos sobre ela,

isso é o que chamamos um prompt de comando,

e com ele podemos navegar pelo computador.

Podemos acessar seus documentos, seus dados.

Podemos ligar a webcam.

Isso pode ser bem embaraçoso.

Ou só para provar um argumento,

podemos iniciar programas
como meu preferido,

a Calculadora do Windows.

E não é incrível quanto controle

o agressor pode ter
com uma operação tão simples?

Deixem-me mostrar-lhes
como a maioria dos malwares

é distribuída hoje em dia.

O que vou fazer é abrir um site

que eu escrevi.

É um site terrível. Tem gráficos horríveis.

E tem uma seção de comentários aqui

onde vocês podem enviar
comentários para o site.

Muitos de você já devem ter usado
algo parecido com isso antes.

Infelizmente, quando foi implementado,

o desenvolvedor estava levemente inebriado

e conseguiu esquecer

todas as boas práticas
de segurança que ele aprendeu.

Então imaginemos que nosso atacante,

chamado Hacker Malvado
só por valor humorístico,

envia algo bem sujo.

Este é um script.

É código que vai ser interpretado na página.

E vou enviar este post,

e assim, no computador da minha vítima,

vou abrir o navegador

e acessar meu site,

www.incrediblyhacked.com.

Notem que depois de alguns segundos,

Eu sou redirecionado.

Aquele endereço ali no topo,

que vocês podem ver agora, microshaft.com,

o navegador para de funcionar quando
encontra um destes pacotes de exploração,

e de repente aparecem antivírus falsos.

Isso é um vírus fingindo
parecer um software antivírus,

e vai chegar e examinar todo o sistema,

Dar uma olhada no que está aparecendo aí.

Ele cria alguns alertas bem sérios.

Oh, vejam, um servidor proxy
de pornografia infantil.

Deveríamos limpar isso aí.

O que é mais ofensivo nisso é que

não só oferece acesso aos dados ao agressor,

mas quando a análise termina, vai lhe dizer

que para poder limpar os vírus falsos,

você tem de registrar o produto.

Eu gostava mais quando
os vírus eram gratuitos.

(Risos)

As pessoas agora pagam
para os cibercriminosos

rodarem vírus,

o que eu acho completamente bizarro.

Enfim, deixem-me mudar o rumo um pouquinho.

Procurar 250 mil malwares por dia

é um enorme desafio,

e esses números não param de crescer

diretamente proporcional ao comprimento
da minha linha de estresse, vocês verão.

Então gostaria de falar com vocês brevemente

de um grupo de hackers
que monitoramos durante um ano

e descobrimos --

e isso é uma coisa rara em nosso trabalho.

Agora esta era uma
colaboração intersetorial,

pessoas do Facebook,
pesquisadores independentes,

caras do Sophos.

Eis aqui alguns documentos

que nossos cibercriminosos carregaram

em um serviço na nuvem,
como o Dropbox ou o SkyDrive,

como muitos de vocês talvez usem,

Na parte de cima, dá pra ver
um pedaço de código fonte.

o que ele faria é enviar aos cibercriminosos

uma mensagem de texto
todos os dias dizendo quanto dinheiro

eles ganharam naquele dia,

um tipo de prestação de contas
cibercriminosa, se quiserem.

Se olharem atentamente, verão que são

uma série de números de telefone russos.

Bem, isso é obviamente interessante,

porque nos dá um jeito de encontrar
nosso cibercriminosos.

Lá em baixo, marcado em vermelho,

está a outra parte de código fonte,

é esse pedaço "leded:leded"

é um nome de usuário,

como o que vocês teriam no Twitter,

Então vamos um pouco além com isso.

Há algumas outras partes interessantes

que os cibercriminosos carregaram.

Muitos de vocês aqui usam smartphones

para tirar fotos e postá-las da conferência.

Uma característica interessante
de muitos smartphones modernos

é que quando você tira uma foto,

ele inclui informação GPS
de onde aquela foto foi tirada.

De fato, tenho passado muito tempo

em sites de relacionamento recentemente,

obviamente para fins de pesquisa,

e percebi que 60%

das fotos de perfil nos sites
de relacionamentos na Internet

contêm as coordenadas GPS
de onde a foto foi tirada,

o que é um pouco assustador

porque você não entregaria o seu endereço

para vários estranhos,

mas estamos felizes em entregar
nossas coordenadas GPS

com precisão de 15 metros.

E nossos cibercriminosos
fizeram a mesma coisa.

Eis uma foto que direciona
para São Petersburgo.

Nós ativamos a ferramenta hacker
incrivelmente avançada.

Usamos Google.

Usando o endereço de email,
o número de telefone

e os dados do GPS, à esquerda
dá pra ver um anúncio

de uma BMW que um de nossos
cibercriminosos está vendendo,

do outro lado um anúncio
de vendas de gatos sphynx.

Um destes era mais estereotípico para mim.

Um pouco mais de pesquisa
e eis nosso cibercriminoso.

Imaginem, estes são
cibercriminosos experientes

mal compartilhando informações.

Imaginem que vocês poderiam descobrir

sobre cada uma das pessoas neste salão.

Um pouco mais de pesquisa pelo perfil

e há uma foto de seu escritório.

Eles estavam trabalhando no terceiro andar.

E também dá pra ver algumas fotos

de seus companheiros de serviço

onde ele tem uma preferência
por certo tipo de imagem.

Acontece que ele é um membro da
Federação Russa de Webmasters Adultos.

Mas é aí que nossa investigação
começa a desacelerar.

Os cibercriminosos bloquearam
seus perfis muito bem.

E aí que está a grande lição

de mídia social e dispositivos
móveis para todos nós.

Nossos amigos, nossas famílias e colegas

podem quebrar nossa segurança
mesmo quando agimos corretamente.

Essa é a MobSoft, uma das empresas

que esta gangue de cibercriminosos possuía,

e uma coisa interessante sobre a MobSoft

é que o dono de 50% dela

publicou um anúncio de emprego,

e esse anúncio tinha
o mesmo número de telefone

do código anterior.

Essa mulher era Maria,

e Maria é a mulher de um
de nossos cibercriminosos.

E é como se ela tivesse ido
nas configurações de sua mídia social

e clicado em todas as opções imagináveis

para torná-la realmente insegura.

Ao final da investigação,

que vocês podem ler o relatório completo
de 27 páginas naquele link,

nós tínhamos fotos dos cibercriminosos,

até mesmo a festa de Natal do escritório

quando eles tinham saído para um passeio.

É isso mesmo, cibercriminosos
também tem festas de Natal,

como parece.

Agora vocês provavelmente se perguntam
o que aconteceu com estes caras.

Já voltarei a esse ponto em um minuto.

Gostaria de passar para uma última demonstração,

uma técnica que é maravilhosamente
simples e básica,

mas é interessante
ao expor quanta informação

nós estamos oferecendo,

e é relevante porque se aplica a nós
como uma plateia do TED.

Essa é a hora quando as pessoas
começam a mexer em seus bolsos

e tentam colocar seus celular
em modo voo desesperadamente.

Muitos de vocês conhecem esse conceito

de buscar por redes wireless.

Vocês fazem isso toda vez que pegam
seus iPhones ou Blackberrys

e conectam a alguma rede como TEDAttendees.

Mas o que vocês talvez não saibam

é que vocês também estão
enviando uma lista de redes

a que vocês já se conectaram anteriormente,

mesmo quando não estão
usando o wireless ativamente.

Então eu fiz uma pequena busca.

Fiquei relativamente inibido
comparado com os cibercriminosos,

que não se preocupariam muito com a lei,

e aqui vocês podem ver
meu dispositivo móvel.

Ok? Dá para ver uma lista de redes wireless.

TEDAttendees, HyattLB. Onde acham
que estou hospedado?

Minha rede doméstica, PrettyFlyForAWifi,

que eu considero um ótimo nome.

Sophos_Visitors, SANSEMEA, empresas
com as quais em trabalho.

Loganwifi, essa é em Boston. HiltonLondon.

CIASurveillanceVan.

Nós demos esse nome
em uma de nossa conferências

porque achávamos
que iria assustar as pessoas,

o que é bem engraçado.

É assim que os geeks se divertem.

Vamos deixar isto um pouco mais interessante.

Vamos falar de vocês.

23% de vocês estiveram no Starbucks

recentemente e usaram a rede wireless deles.

As coisas ficam mais interessantes.

46% de vocês poderiam se conectar a uma rede

empresarial Funcionário XYZ.

Não é uma ciência exata,
mas pode ser bem precisa.

Para 761 de vocês eu poderia identificar
um hotel em que se hospedaram recentemente,

absolutamente com grande precisão
em algum lugar no globo.

234 de vocês eu sei onde vivem.

O nome de sua rede doméstica é tão único

que eu pude localizar com precisão

usando dados públicos
disponíveis na Internet

sem hackear nada e sem truques.

E eu deveria mencionar também que

alguns de vocês usam seus nomes,

"iPhone do James Lyne", por exemplo.

E 2% de vocês têm tendência
a extrema profanidade.

Então, algo a se pensar:

À medida que adotamos estas novas
aplicações e dispositivos móveis,

e brincamos com esses novos
brinquedinhos reluzentes,

por conveniência, de quanto
estamos abrindo mão

de privacidade e segurança?

Da próxima vez que vocês
instalarem alguma coisa,

deem uma olhada nas configurações
e se perguntem,

"Esta é a informação
que eu quero compartilhar?

Será que alguém poderia abusar disso?"

Também precisamos pensar com cuidado

sobre como desenvolvemos
nossa rede de talentos.

Vejam, a tecnologia está mudando
num ritmo impressionante,

e aqueles 250 mil malwares

não continuaram os mesmos por muito tempo.

Há uma tendência muito preocupante

que enquanto muitas pessoas que estão
terminando a faculdade

estão muito mais experientes tecnologicamente,
elas sabem como usar a tecnologia

cada vez menos pessoas
estão seguindo os assuntos

para saber como a tecnologia
funciona debaixo dos panos.

No Reino Unido, uma redução
de 60% desde 2003,

e há estatísticas similares
por todo o mundo.

Também precisamos pensar
sobre as questões legais neste ramo.

Os cibercriminosos de que falei,

apesar de roubarem milhões de dólares,

ainda não foram presos, na verdade,

e a esta altura, possivelmente nunca serão.

A maioria das leis são nacionais
em sua implementação,

apesar das convenções
do cibercrime, onde a Internet

não tem fronteiras
e é internacional por definição.

Os países não entram num acordo,
o que torna esta área

excepcionalmente desafiadora
de um ponto de vista legal.

Mas meu maior pedido é este:

Vejam, vocês vão sair daqui

e vão ver algumas histórias
assombrosas nos noticiários.

Vão ler a respeito
de malwares que fazem coisas

incríveis, terríveis e assustadoras.

Entretanto, 99% delas só funcionam

porque as pessoas deixam de fazer o básico.

Então minha questão é essa: vão online,

encontrem estas simples boas práticas,

descubram como atualizar
e reparar seu computador.

Arranjem uma senha segura.

Assegurem-se de usar uma senha diferente

em cada um de seus sites e serviços online.

Encontrem esses recursos. Usem-nos.

A Internet é um recurso fantástico

para negócios, para expressão política,

para a arte e para o aprendizado.

Ajudem a mim e à comunidade de segurança

a dificultar muito a vida

dos cibercriminosos.

Obrigado.

(Aplausos)