Incidentes Reportados ao CERT.br -- Janeiro a Março de 2011
Análise de alguns fatos de interesse observados neste período
O número total de notificações de incidentes no primeiro trimestre de 2011 foi ligeiramente inferior a 91 mil, o que corresponde a um aumento de quase 118% em relação ao trimestre anterior e de 220% em relação ao mesmo período de 2010. A alta das notificações está relacionada ao crescimento da categoria Outros.
Abaixo segue uma breve análise de alguns fatos de interesse observados neste período, agrupados em categorias distintas.
Tentativas de Fraude
- As notificações relacionadas a tentativas de fraude apresentaram crescimento de 45,8% em relação ao trimestre anterior e de 23,6% em relação ao mesmo período de 2010.
- Houve aumento de 73,4% no número de notificações de páginas falsas de bancos e de sites de comércio eletrônico (phishing clássico) em relação ao quarto trimestre de 2010 e de 134,4% em relação ao mesmo período de 2010. O phishing clássico já representa metade das notificações dessa categoria.
- As notificações sobre cavalos de Tróia, utilizados para furtar informações e credenciais, que representam 45,5% das notificações de tentativas de fraude, cresceram 21,1% em relação ao quarto trimestre de 2010 mas reduziram 19,8% em relação ao primeiro trimestre de 2010.
Ataques a servidores Web
- As notificações sobre ataques a servidores Web cresceram 10% em relação ao trimestre anterior e 68,6% em relação ao mesmo período de 2010.
- Os atacantes exploram vulnerabilidades em aplicações Web para, então, hospedar nesses sites páginas falsas de instituições financeiras, cavalos de Tróia, ferramentas utilizadas em ataques a outros servidores Web e scripts para envio de spam ou scam.
Varreduras e propagação de códigos maliciosos
- As notificações referentes a varreduras reduziram 7,4% em relação ao trimestre anterior mas aumentaram 141,1% em relação ao mesmo período de 2010.
- As notificações de varreduras SMTP (25/tcp) continuam em destaque, atingindo 38,6% do total contra 24% no trimestre anterior. As reclamações em sua maior parte foram referentes a computadores brasileiros, conectados via banda larga, que tentaram identificar relays abertos fora do Brasil, com intuito de posteriormente enviar spam.
- Os serviços que podem sofrer ataques de força bruta, como SSH (22/tcp) e TELNET (23/tcp), ainda estão sendo muito visados, correspondendo a, respectivamente, 17,4% e 3,4% das notificações.
- As notificações de atividades relacionadas com a propagação de worms totalizaram pouco mais de 3 mil, correspondendo a um decréscimo de 16,5% em relação ao trimestre anterior e de 47% em relação ao mesmo período de 2010.
Outros incidentes reportados
- No primeiro trimestre de 2011 recebemos mais de 49 mil notificações que se enquadram na categoria "outros", correspondendo a um acréscimo de 7.088% em relação ao quarto trimestre de 2010 e de 2.534% em relação ao mesmo período de 2010.
- O crescimento desta categoria se deve ao acréscimo no número de notificações de máquinas brasileiras tentando acessar arquivos de configuração de códigos maliciosos.
Descrição das categorias de incidentes reportados ao CERT.br:
- worm: notificações de atividades maliciosas relacionadas com o processo automatizado de propagação de códigos maliciosos na rede.
- dos (DoS -- Denial of Service): notificações de ataques de negação de serviço, onde o atacante utiliza um computador ou um conjunto de computadores para tirar de operação um serviço, computador ou rede.
- invasão: um ataque bem sucedido que resulte no acesso não autorizado a um computador ou rede.
- web: um caso particular de ataque visando especificamente o comprometimento de servidores Web ou desfigurações de páginas na Internet.
- scan: notificações de varreduras em redes de computadores, com o intuito de identificar quais computadores estão ativos e quais serviços estão sendo disponibilizados por eles. É amplamente utilizado por atacantes para identificar potenciais alvos, pois permite associar possíveis vulnerabilidades aos serviços habilitados em um computador.
- fraude: segundo Houaiss, é "qualquer ato ardiloso, enganoso, de má-fé, com intuito de lesar ou ludibriar outrem, ou de não cumprir determinado dever; logro". Esta categoria engloba as notificações de tentativas de fraudes, ou seja, de incidentes em que ocorre uma tentativa de obter vantagem.
- outros: notificações de incidentes que não se enquadram nas categorias anteriores.
Obs.: Vale lembrar que não se deve confundir scan com scam. Scams (com "m") são quaisquer esquemas para enganar um usuário, geralmente, com finalidade de obter vantagens financeiras. Ataques deste tipo são enquadrados na categoria fraude.