Estatísticas do CERT.br confirmam tendência de ataques a servidores Web

O Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br), um dos serviços disponibilizados pelo Núcleo de Informação e Coordenação do Ponto BR (NIC.br), divulga os dados sobre notificações de incidentes de segurança na Internet no segundo trimestre de 2011.

O número total de notificações no segundo trimestre de 2011 foi superior a 127 mil, o que corresponde a um aumento de 40% em relação ao trimestre anterior e de 287% em relação ao mesmo trimestre de 2010. Mantendo a tendência observada no primeiro trimestre de 2011, a alta das notificações está relacionada ao crescimento das notificações da categoria Outros.

O CERT.br tem registrado também, desde 2007, uma tendência de crescimento no número de notificações sobre ataques a servidores Web. Segundo Cristine Hoepers, analista de segurança do CERT.br, “o número de sítios e portais que utilizam sistemas Web cada vez mais complexos, com utilização de bancos de dados e linguagens de script, tem aumentado nos últimos anos. Essas características, além de aumentar o número de sítios vulneráveis, tem feito com que os atacantesprocurem mais esses tipos de serviços”.

Tentativas de fraude

As notificações relacionadas a tentativas de fraude apresentaram uma queda de 6% em relação ao primeiro trimestre, mas aumentaram 21% em relação ao mesmo período de 2010.

Houve uma queda de 12% no número de notificações de páginas falsas de bancos e de sítios de comércio eletrônico (phishing clássico) em relação ao trimestre anterior, mas a categoria sofreu um aumento de 41% em relação ao segundo trimestre de 2010. Observa-se que o número de notificações de phishing clássico, que representa 47% das notificações de tentativas de fraude, está semelhante ao número de notificações sobre cavalos de Tróia.

Utilizados para furtar informações e credenciais, os cavalos de Tróia representam 48% das notificações de tentativas de fraude. Essa categoria teve um crescimento de pouco mais de 3% em relação ao segundo trimestre de 2010 e um número de notificações praticamente igual ao do primeiro trimestre de 2011.

Ataques a servidor Web

As notificações sobre ataques a servidores Web cresceram 14% em relação ao trimestre anterior e 69% em relação ao mesmo período de 2010.

Os atacantes exploram vulnerabilidades em aplicações Web para hospedar nesses sítios páginas falsas de instituições financeiras, cavalos de Tróia, ferramentas utilizadas em ataques a outros servidores Web e scripts para envio de spam ou scam.

“É importante que os desenvolvedores de sítios se familiarizem com o assunto e aprendam a se proteger de ataques como SQL Injection, RFI (Remote File Inclusion) e XSS (Cross-site Scripting). Para esses tipos de ataques, o principal é que os desenvolvedores se conscientizem sobre a necessidade de validar os valores recebidos, o que implica em checar se o que está sendo enviado ao servidor é válido, ou seja, não possui valores inválidos ou de tipos inesperados. A maioria dos ataques se aproveita dessa falta de checagem, ou de uma checagem incompleta, para inserir no servidor comandos e até arquivos maliciosos”, alerta Cristine.

Varreduras e propagação de códigos maliciosos

As notificações de varreduras reduziram 14% em relação ao primeiro trimestre de 2011, mas apresentaram um aumento de 28% em relação ao mesmo período de 2010.

As notificações de varreduras SMTP (25/TCP) continuam em destaque, atingindo 33% do total, mantendo patamares semelhantes ao do trimestre anterior. As reclamações em sua maior parte continuam sendo referentes a computadores brasileiros, conectados via banda larga, que tentaram identificar relays abertos fora do Brasil, com intuito de enviar spam posteriormente.

Os serviços que podem sofrer ataques de força bruta, como SSH (22/TCP) e TELNET (23/TCP), ainda estão sendo muito visados, correspondendo a, respectivamente, 20% e 5% das notificações.

Incidentes de varreduras envolvendo o serviço de DNS (53/UDP e 53/TCP) chegaram quase a 23% das notificações de incidentes, se somados os valores relacionados a essas portas dentre as 10 varreduras mais frequentes. Sozinha, a varredura de 53/UDP corresponde a 20% do total; em conjunto, chega a ultrapassar as varreduras por SSH (22/TCP).

As notificações de atividades relacionadas com a propagação de worms totalizaram pouco mais de três mil, mesmo patamar das notificações do primeiro trimestre de 2011, mas apresentaram um decréscimo de 34% em relação ao mesmo período de 2010.

Outros incidentes reportados

No segundo trimestre de 2011, o CERT.br recebeu mais de 89 mil notificações que se enquadram na categoria “outros”, correspondendo a um acréscimo de 82% em relação ao primeiro trimestre de 2011 e de mais de 80 vezes em relação ao mesmo período de 2010.

Para Cristine, o crescimento dessa categoria, que assim como no primeiro trimestre foi bastante representativo no resultado total, se deve ao acréscimo no número de notificações de máquinas brasileiras tentando acessar arquivos de configuração de códigos maliciosos.

“Recebemos mais de 88 mil notificações com essa característica nesse trimestre, frente a mais de 48 mil no trimestre anterior, um aumento de 83% entre esses dois períodos. A maior parte dos códigos maliciosos conta com mecanismos para atualizar sua configuração e seu próprio código. Desde o início do ano, um grupo europeu está fazendo um esforço para notificar todas as redes que possuam máquinas acessando arquivos de configuração/atualização, de forma a alertar quem esteja com sistemas infectados. Por enquanto, esse tipo de notificação continuará a figurar na categoria Outros, por não se enquadrar em nenhuma outra categoria já pré-definida pelo CERT.br”, diz.

As estatísticas são obtidas com base nos relatos enviados espontaneamente por administradores de redes e usuários de Internet. Os dados completos podem ser consultados emhttp://www.cert.br/stats/incidentes/.