Novos ataques - Parte I

Os ataques de engenharia social estão ficando cada vez mais específicos, de acordo com Chris Hadnagy, autor do livro Social Engineering: The Art of Human Hacking. “Os ataques direcionados estão proporcionando melhores resultados aos engenheiros sociais”, diz.

Isso significa que eles podem precisar trabalhar mais para descobrir informações pessoais, e que isso pode levar mais tempo, mas a recompensa geralmente costuma ser maior.

“Os ataques agora não são apenas um esforço amplo de spams, enviando um milhão de e-mails com uma oferta de Viagra”, afirma Hadnagy. “Existem agora ataques individuais em que eles vão atrás das pessoas separadamente, uma por uma.”

Confira abaixo cinco novos golpes de engenharia social na web que empregam muito mais envolvimento individual:

  

1) “Somos da equipe de suporte da Microsoft – queremos ajudar” ("This is Microsoft support – we want to help")

Hadnagy afirma que um novo tipo de ataque tem atingido muitas pessoas ultimamente. Ele começa com uma ligação telefônica em que alguém afirma ser do serviço de suporte da Microsoft e diz que está ligando por causa de um número anormal de erros que teriam origem no seu computador.

“A pessoa do outro lado da linha diz que quer ajudar na solução porque há uma falha e eles tem feito ligações para usuários licenciados do Windows”, explica Hadnagy. “Faz sentido; você é um usuário licenciado do Windows, tem uma máquina com Windows e ela quer provar isso para você.”

A pessoa que ligou diz para a vítima ir até o event log (visualizador de eventos) da máquina e a acompanha pelos passos até chegar ao log do sistema.

“Todo usuário do Windows terá dezenas de erros neste log, simplesmente porque acontecem pequenas coisas; um serviço trava, algo não inicializa. Sempre existem erros”, afirma Hadnagy. “Mas quando um usuário sem experiência abre isso e vê todos esses erros, parece assustador.”

Nesse ponto, a vítima está desesperadamente pronta para fazer qualquer coisa que o suposto funcionário do “suporte” pedir. O engenheiro social então aconselha-os a ir até o site Teamviewer.com, um serviço de acesso remoto que dá a ele controle da máquina.

Uma vez que o cracker tiver acesso à máquina por meio do Teamviewer, ele pode então instalar algum tipo de rootkit ou outro tipo de malware que permitirá a ele ter acesso contínuo ao sistema, afirma Hadnagy.

2) “Faça uma doação para ajudar as vítimas do (alguma tragédia)!” ("Donate to the hurricane recovery efforts!")
Golpes de doações para caridade têm sido um problema há anos. A todo momento temos desastres de grandes proporções no mundo, como o terremoto no Haiti ou tsunami no Japão, e os criminosos rapidamente entram no jogo e lançam sites falsos de doações. A melhor maneira de evitar isso é indo a uma organização conhecida e de boa reputação, como a Cruz Vermelha, e iniciar o contato por conta própria se quiser fazer uma doação. No entanto, Hadnagy afirma que surgiu há pouco tempo um tipo particularmente desprezível de golpe de engenharia social direcionado para pessoas que possam ter perdido parentes ou amigos em desastres naturais.

Neste exemplo, Hadnagy diz que, entre 8 e 10 horas após o incidentes, o site aparece dizendo ajudar a encontrar pessoas que possam ter desaparecido no desastre. Eles alegam ter acesso as bases de dados do governo e informações de recuperação. Normalmente os engenheiros não pedem por informações financeiras, mas exigem nomes, endereços e informações de contato, como números de telefone e e-mail.

“Enquanto você está esperando para ouvir sobre a pessoa, recebe um pedido de doação para caridade”, diz Hadnagy. “A pessoa da suposta instituição de caridade normalmente vai iniciar uma conversa e dizer que está coletando contribuições porque tem uma relação mais passional com a causa porque perdeu um membro da família em um desastre parecido. Secretamente, eles sabem que a pessoa que contataram também já perdeu alguém, e isso ajuda a criar uma suposta camaradagem.”

Tocada pela pessoa que entrou em contato, a vítima então oferece um número de cartão de crédito pelo telefone para fazer a doação para "caridade".

“Agora eles tem seu endereço, seu nome, nome do seu parente e também do seu cartão de crédito. Basicamente todas as informações que eles precisam para cometer um roubo de identidade”, explica Hadnagy.