Whatsapp agora permite duplo fator de autenticação

O WhatsApp introduziu um novo recurso de segurança que corrige uma brecha na popular plataforma de mensagens, que, se explorada, pode permitir que um invasor entre na conta da vítima apenas sabendo o número de telefone da vítima e algumas habilidades de hacking.
O ataque não explora qualquer vulnerabilidade no WhatsApp; Em vez disso, depende da maneira como o mecanismo de configuração da conta funciona.
O WhatsApp permite que os usuários se inscrevam no aplicativo usando seu número de telefone; portanto, se um invasor quiser seqüestrar sua conta do WhatsApp, eles precisarão de um OTP (one time password) para enviar para seu número de telefone.

O atacante pode pegar este OTP desviando o SMS contendo a senha para seu próprio computador ou telefone, usando um aplicativo mal-intencionado ou vulnerabilidade SS7  e, em seguida, faça o login na conta WhatsApp da vítima. O ataque também funciona se o telefone estiver bloqueado.
Em agosto, hackers patrocinados pelo governo iraniano teriam sequestrado dezenas de contas do Telegram pertencentes a ativistas e jornalistas, explorando uma brecha semelhante.
Tal ataque também poderia ser utilizado contra qualquer aplicação de mensagens, incluindo Whatsapp e Viber, cujo registo baseia-se no mecanismo de verificação baseado em SMS.

Portanto, para corrigir esse problema, o WhatsApp agora introduziu o recurso de senha de verificação em duas etapas (2AF) para sua versão beta para Android, o que ajudará a bloquear o mecanismo de configuração do WhatsApp.
Em outras palavras, para reconfigurar a conta do WhatsApp com a confirmação em duas etapas habilitada, é preciso exigir não apenas o OTP, mas também uma senha de 6 dígitos definida pelo usuário.

whatsapp-enable-two-factor

COMO HABILITAR:

Para habilitar, você precisa primeiramente ser um Beta tester do Whatsapp, para ser um beta tester vou dar uma explicação resumida: basta abrir o Google Play, ir no Whasttapp, rolar a página até me baixo, e vai ter um botão ACEITAR. Depois de ser beta tester, basta seguir os passos:

  1. Vá até WhatsApp Settings → Account → Two-step verification.
  2. Click enable, insira uma senha de 6 digitos e confirme.
  3. Na p´roxima tela, entre seu email ID (opcional) para habilitar a recuperação de chave por email. (Recomenda-se usar o e-mail como backup para que você não seja bloqueado da sua conta se você esquecer sua senha.)
  4. Clique em “Done, “e prontinho!.
Anúncios

Phishing Interativo: novo ataque dissiminando no Brasil

O Brasil está lutando uma batalha difícil quando se trata de cibercrime. Há uma nova tentativa de fraude a cada 16,9 segundos no Brasil, De acordo com o Brasil Econômico, existem cerca de 4.700 tentativas por dia.

Pesquisadores da IBM X-Force descobriu e analisou um novo método de phishing que surgiram recentemente no Brasil. Este método particular é projetado para emular um Trojan bancário, extraindo dados críticos de suas vítimas em tempo real através de um ataque de phishing ao vivo, interativo!

Nesse esquema de phishing ocorre ao longo de uma sessão de web entre o atacante e a vítima. Ele é capaz de imitar a aparência de um site de banco, assim como phishing tradicional, mas ele consegue ver a interação do usuario com o falso sistema, mais do que apenas uma página de phishing ocioso. De longe e nos bastidores, os cibercriminosos pedem para todos os tipos de detalhes da conta.

Muito provavelmente, o criminoso irá acessar a conta comprometida a partir do site do banco para fazer uma transação em tempo real, durante todo o tempo que envia o pedido de mais detalhes de autenticação da vítima. O surgimento deste novo método de provavelmente contribuem para a alta em fraudes no Brasil ao longo dos próximos meses.

O Brasil já é o segundo maior gerador de cibercrime do mundo, de acordo com a Computerworld, e o país mais afectado pela fraude na América Latina, segundo O Globo. Por alguma perspectiva, um dos países mais visados do cibercrime no mundo, o Reino Unido, viu um aumento de 25 por cento em fraude on-line em 2015, conforme relatado pelo The Guardian. Brasil viu um aumento de 40 por cento em fraude bancária on-line, de acordo com El País, durante o mesmo ano.

Veja como funciona:

1. Spam Email

Uma vítima recebe um e-mail phishing contendo um link. Depois de clicar nele, a vítima cai na página do atacante, que parece verdadeiro site do banco, mas a URL na barra de endereços não é o correto. Para adicionar uma medida de credibilidade e para gerir as diferentes marcas específicas, os atacantes adicionar um sublinhado seguido de URL do banco na barra de endereços.

2. Inicio da Sessão

A sessão de web interativa começa assim que uma nova vítima chega à página falsa. Para alertar o atacante cada vez que há uma nova vitima, o painel de administração lança um som da gargalhada do mal!

Deste ponto em diante, a vítima e o atacante estão interligados como se fosse um chat.

1-an-interactive-phishing-conversation

Após receber as credenciais de login da vitima, o criminoso usa o painel de administração para empurrar telas de engenharia social para a vítima, solicitando outras informações que o banco pode exigir para completar uma transação.

3. Tela da aplicação

Usando o painel de administração (ver Figura abaixo), o atacante pode escolher o conteúdo pre criado ou mesmo escrever mensagens personalizadas na tela para tornar o processo parece mais personalizado e legítimo.

O próprio painel de administração é principalmente escritos em Português. Antes de a vítima dar mais alguma informação, o painel indica o status: esperando.

2-attackers-web-based-admin-panel

A figura abaixo mostra como o painel permite que o criminoso possam selecionar as mensagens a partir de um menu. Estes são programados para solicitar elementos diferentes da vítima. Alguns exemplos são os seguintes:

 

  • código de token;
    Assinatura digital;
  • Cartão de pagamento PIN;
  • Número de identificação;
  • Número de telefone;
  • Conteúdo das mensagens SMS.

3-admin-panel-offers-different-premade-options-to-the-attacker

Genial  e perigoso, não é? Para maiores detalhes, veja a matéria completa: SecurityIntelligence

Como funciona o golpe de Milhas Infinitas

Passou no Fantástico dia 03/08/2014.

Bruno Will rodou o mundo com a família. Estiveram na França, Suíça, Estados Unidos. Durante três anos, viveram um sonho.

Mas a polícia suspeita que todas essas viagens foram realizadas graças a um golpe, que teria sido bolado por Bruno, um técnico em informática, de 27 anos.

É em uma rua pacata de Padre Miguel, Zona Oeste do RJ, que começa e termina, segundo a polícia, uma armação cheia de criatividade. Digna de cinema.

Bruno e a família teriam descoberto como multiplicar de forma infinita suas milhas aéreas. Cada vez que uma pessoa usa o cartão de crédito, acumula pontos que podem ser convertidos em passagens aéreas, diárias de hotel e outros benefícios.

Segundo a polícia, eles forjavam gastos para poder usar cartões de crédito e, assim, criar milhas. Faziam isso emitindo boletos bancários falsos em que muitas vezes o pagador e o credor eram a mesma pessoa. Ou seja, o dinheiro saía de uma conta e entrava na mesma conta ou então na conta de alguém da família.

Os boletos eram pagos com cartões de crédito. Geravam mais milhas, trocavam essas milhas por passagens aéreas e também ganhavam dinheiro vendendo milhas para agências de turismo. Viajavam, emitiam boletos, inventavam gastos irreais no cartão de crédito e criavam milhas. E assim eles movimentaram R$ 39 milhões em um ano. Um valor incompatível à renda de Bruno, por exemplo, que declara receber R$ 1,7 mil por mês.

“O que chamou a atenção das autoridades foi a movimentação financeira totalmente distante da capacidade econômica dessas pessoas”, diz o delegado Flávio Porto.

Alertada pelo conselho de controle de atividades financeiras do Ministério da Fazenda, a Polícia Civil do Rio de Janeiro começou a investigar. Colheu provas. Na última quinta-feira (31), foi realizada uma operação de busca e apreensão expedida pela Justiça na casa dos suspeitos. Encontraram dezenas de cartões de crédito, extratos, passagens aéreas, reservas, boletos bancários e relatórios financeiros.

Esta semana também, a Justiça determinou a quebra do sigilo bancário, o bloqueio das contas e das milhas dos 15 investigados.

“Quadrilha, estelionato, falsidade ideológica, uso de documentos falsos e lavagem de dinheiro. Somadas, as penas podem chegar a 23 anos”, explica o delegado.

O Fantástico tentou ouvir os suspeitos. Bruno não quis receber nossa equipe. Por telefone, o pai de Bruno, Jefferson Will, negou qualquer irregularidade nas viagens e transações bancárias que a família realizou: “A gente vai provar tudinho que isso aí não passa de uma denúncia inexistente, uma denúncia falsa. Jamais fizemos alguma coisa errada para ter vantagem de alguma coisa”.

Depois de terem acesso as informações do inquérito, várias pessoas da família que são religiosas foram a uma igreja no sábado. O Fantástico foi até lá para tentar gravar uma entrevista com eles. A família não quis falar com a equipe.

Os investigados serão chamados para depor e não serão presos enquanto o inquérito não for concluído. A Justiça acredita que eles não oferecem risco à sociedade. Mas espera entender por que uma família de classe média, aparentemente unida e feliz, teria cruzado o limite da lei para fazer uma viagem bem mais cara ao mundo do crime.

Malware do Boleto

Texto do Anchises!

O portal Linha Defensiva e o Fabio Assolini, da Kaspersky, já abordaram esse tipo de golpe desde o ano passado (incluindo através de uma extensão maliciosa do Chrome ou sites que prometem gerar uma segunda via de boletos vencidos).

O jornalista Brian Krebs, em seu blog, cita o caso de uma central de controle de boleto descoberta por uma fonte dele que, indica que foram realizadas 383 transações com boletos fraudulentos entre Fevereiro e Junho deste ano, totalizando cerca de 250 mil dólares de fraude nesse período (veja abaixo o sceenshot da central de controle do malware de boleto, com a lista de transações realizadas pelo malware).

A fraude de boleto é um crime típico do cenário brasileiro, que não existe em nenhum lugar do mundo. Isso porque os boletos de pagamento são algo específicos do nosso sistema financeiro. em poucas palavras, na fraude de boleto o ciber criminoso paga boletos “seus” (em sua posse) utilizando as contas correntes de suas vítimas.

O ciber criminoso mantém uma base de boletos a serem pagos de forma fraudulenta, que podem ser boletos criados a partir de contas correntes de laranjas, ou podem ser boletos válidos (boletos enviados para consumidores finais que, na impossibilidade de pagar o total da conta, ele/ela recorre a criminosos que cobram apenas uma porcentagem do valor do boleto, e em troca o fraudador paga o valor total utilizando a conta corrente de uma vítima). A fraude com boleto válido faz com que o ciber criminoso receba o dinheiro de forma rápida e fácil, além de dificultar o rastreio da fraude: o banco consegue identificar o dono do boleto pago fraudulentamente, mas não consegue identificar o ciber criminoso.

Os ciber criminosos tem várias formas específicas para forçar o usuário final a pagar um boleto fraudulento:

  • Sites falsos de reemissão de boletos: são sites criados por ciber criminosos que prometem a revalidação de um boleto vencido. Ao fornecer os dados de seu boleto, a vítima recebe um novo código de boleto, mas que na verdade direciona o pagamento utilizando o código do boleto do fraudador;
  • Envio de boletos falsos por correio: Os criminosos podem interceptar a correspondência da vítima e substituir o boleto. Assim, a vítima recebe sua conta impressa em sua casa, mas na verdade esta conta já está com os dados de pagamento adulterados;
  • Malware de Boleto: Ele infecta o computador da vítima pode alterar os dados do boleto de três formas:
    • No pagamento de um boleto no Internet Banking: o trojan troca as informações do boleto (a linha digitável) no momento em que a vítima digita os dados no formulário de pagamento. O Browser do usuário já envia para o banco os dados do boleto fraudulento;
    • Na emissão online de boletos (ao pedir uma segunda via ou escolher fazer um pagamento com boleto): o trojan identifica uma página com dados de boleto e troca as informações pelos dados do boleto fraudulento. Eles alteram o valor da linha digitável e inserem espaços no código de barras para inutilizá-lo (assim a vítima é obrigada a digitar os dados do boleto, que já estão trocados);
    • Infectando as empresas que emitem boletos: ao infectar o compitador de uma empresa, o trojan pode fazer com que ela gere, erroneamente, boletos com os dados de pagamento já redirecionados para a conta do fraudador. O cliente já recebe em sua casa o boleto adulterado 😦

O Malware de Boleto comunica-se com o servidor central do ciber criminoso para buscar as informações do boleto que o fraudador quer pagar. Normalmente o malware mantém o valor original da conta, para que a vítima não perceba que pagou um boleto fraudulento e troca apenas o trecho da linha digitável que identifica o cedente, isto é, o destino do pagamento (afinal das contas, quem tem paciência para ficar conferindo a linha digitável dos boletos?). Mas, mesmo que a vítima quisesse comparar a linha digitável, o Malware altera a página de resposta do Internet Banking para que o usuário não perceba a alteração dos dados de pagamento.

O infográfico abaixo, criado pelo pessoal da Folha, mostra como acontece a fraude:

A fraude de boletos representa um dos métodos de roubo de fundos mais populares entre os ciber criminosos brasileiros atualmente, apesar da Febraban informar que os boletos representaram apenas 4,5% do volume de pagamentos e 3% do total de fraudes, em 2013.

Os ciber criminosos adotam mecanismos de fraude populares em um determinado país ou região em que atuam, de acordo com as características dos sistemas de meios de pagamento locais. Há vários métodos para transferir dinheiro a partir da conta corrente de uma vítima, além de uma simples transferência bancária (que pode ser facilmente rastreada). Em alguns países, é comum utilizar compra e venda de ações para transferir os fundos. Aqui no Brasil, os ciber criminosos se especializaram em explorar pagamentos de contas e de impostos, através dos boletos bancários, além de realizar compras online (em lojas de e-commerce) ou compra de créditos pré-pagos para celulares.

O que fazer para evitar a fraude de boleto? É muito difícil, mas em alguns casos não é impossível… as dicas abaixo podem ajudar um pouco:

  • Antes de mais nada, evite ser infectado por malwares!
  • E sempre utilize um computador confiável para acessar o Internet Banking;
  • Uma opção aparentemente segura é utilizar o seu smartphone para pagar boletos, uma vez que o malware só afeta PCs. Para isto, pode-se usar os aplicativos de mobile banking dos bancos;
  • Como a fraude envolve a troca dos dados do boleto, sempre verifique se você está pagando o boleto correto. Não tenha preguiça e compare o código apresentado;
  • Para saber se o seu computador está infectado pelo malware de boleto, um teste simples é digitar a linha de um boleto na tela de busca do Google; algumas versões do malware, que atuam no browser, já trocam a linha mesmo nesta tela, e aí você verá que o autocompletar vai mostrar um valor diferente do que você digitou!
  • Como os criminosos alteram os dados do boleto para enganar a vítima, para conferir um boleto que você recebeu via correio ou que gerou online, a melhor forma é conferir o código inicial do boleto que está sendo pago:
    • os 4 primeiros dígitos identificam o banco; fique de olho se corresponde ao banco que normalmente emite aquela conta que você está acostumado a pagar;
    • a primeira metade do código do boleto identifica o banco e o cedente, ou seja, é um código que identifica a empresa que emitiu aquela conta (que é um cliente daquele banco). Normalmente essa parte do código tem que ser idêntica as contas semelhantes que você pagou no passado. Confira isso ! (ex: se você paga seu aluguel via boleto, o código inicial identifica o banco e sua imobiliária, que todo mês é o mesmo).

Truecrypt, é o fim? Veja Alternativas

Parece que o bom Truecrypt está com os dias contados.

O TrueCrypt é um programa gratuito e muito conhecido que permite criptografar arquivos, pastas e partições. Ele está disponível para os internautas desde 2004, mas infelizmente o seu desenvolvimento chegou ao fim.

Fim do TrueCrypt por ser inseguro

 

Os responsáveis pelo TrueCrypt informam que o desenvolvimento do TruCrypt foi finalizado em maio de 2014 depois que a Microsoft finalizou o suporte ao Windows XP, e a aplicação pode ser considerada insegura e ter falhas de segurança que não foram corrigidas.

O site sugere o uso do BitLocker do Windows.

Com o fim do Windows XP, os usuários que migrarem para qualquer sistema operacional da Microsoft posterior a ele (Windows Vista, Windows 7 ou Windows 8.x) tem a opção do uso do BitLocker, que já vem embutido no Windows, tornando o TrueCrypt desnecessário.

A página oficial do TrueCrypt também mostra um passo-a-passo de como utilizar o BitLocker e discos virtuais .VHD

Para completar o mistério, os desenvolvedores do TrueCrypt são desconhecidos e não publicaram nenhuma informação adicional. O programa passou recentemente por uma auditoria de código para garantir que a aplicação é segura, não continha falhas nem backdoor (falha de segurança proposital que permite acesso externo), e a empresa que fez a auditoria publicou que nada foi encontrado ali.

Será que o fim do TrueCrypt é verdadeiro?

Parece que sim, e caso realmente seja, vamos as alternativas:

 

Windows encryption tools

bitlockericonhero

A alternativa mais óbvia para os usuários do Windows é o BitLocker. O programa de criptografia está incluído no Windows 8 e 8.1 Pro , o que significa que qualquer um que mudou para o Windows 8 durante os $ 40 de upgrade tem o BitLocker em seu PC. BitLocker também está disponível no Windows Vista e 7 PCs rodando as edições Ultimate ou Enterprise .

Se você não tem o Bitlocker , outra opção é o Symantec Drive Encryption. Embora este programa tamém seja de código fechado como o BitLocker, ele implementa PGP, um método de criptografia conhecido .

Se você precisar de mais garantias , especialista em segurança Bruce Schneier disse recentemente ao The Register que a ferramenta da Symantec é o que ele vai usar pós- TrueCrypt . Isso é bom o suficiente para mim . SDE custa $110 para uma licença de usuário único.

 

Mac encryption options

 

SX também tem sua própria ferramenta de criptografia embutida chamado FileVault 2 para usuários do Mac OS X 10.7 (Lion) ou posterior. A solução da Apple é outro programa de código fechado, mas nós sabemos que ele usa os Macs XTS-AES 128 bits de criptografia e da Agência de Segurança Nacional recomenda usá-lo para seus próprios funcionários. Então, a menos que você realmente gosta de teorias da conspiração, FileVault é provavelmente uma boa escolha.

 

Linux encryption options

Para usuários Linux, a melhor opção é usar uma distribuição com um Linux Unified Key Setup (LUKS) implementado. O Ubuntu usa LUKS, e as várias distribuições baseadas no Ubuntu  têm plenas opções de criptografia de disco disponíveis durante a instalação. Veja como começar a trabalhar com criptografia de disco completo do Ubuntu, cortesia de documentação de ajuda da comunidade Ubuntu.

É um dia triste se TrueCrypt tem realmente desapareceu, mas, pelo menos, há uma série de alternativas abertas para os usuários que precisam ou querem continuar a criptografia de suas coisas.

 

Apple anuncia o iOS 8

ios_8_icone

Não foi somente o OS X Yosemite que brilhou no palco da WWDC nesta segunda-feira. O iOS, uma das meninas dos olhos da Apple, também recebeu destaque no evento, quando a versão 8 do OS mobile foi anunciada, trazendo novidades mais voltadas às features do que ao visual, como ocorreu do iOS 6 para o 7.

 

A primeira novidade apresentada foi uma melhoria significativa nas notificações do iOS, que passaram a permitir que os usuários interajam diretamente delas sem a necessidade de abrir o aplicativo que gerou a notificação. Similar ao que já existe no Android, o usuário poderá, por exemplo, responder uma mensagem de texto sem ter que abrir o Mensagens ou curtir/comentar uma atualização dos contatos no Facebook.

ios_8_notificacoes

Quem também ganhou uma nova funcionalidade foi o “app switching”, aquelas miniaturas que aparecem quando o usuário toca no botão “Home” duas vezes. Na nova versão do OS, há um melhor aproveitamento da tela, passando a exibir, logo acima das miniaturas, os contatos com os quais o usuário mais se comunica.

O Safari não foi esquecido e, no iPad, ele passa a contar com a visualização em tela cheia já presente no iPhone, que oculta todas as opções do navegador, deixando aparente somente a barra de endereços. O Mail também ganhou novos gestos para melhorar a usabilidade e facilitar a vida dos usuários.

ios_8_multi_tarefa

Quem está acostumado com o SwiftKey no Android sabe o quão interessante é o teclado e, felizmente, a Apple não esqueceu deste item no iOS 8. Além de ter adicionado o novo recurso QuickType, que tenta prever qual será a próxima palavra digitada pelo usuário se baseando no contexto da mensagem, a empresa da maçã surpreendeu a todos ao anunciar que, a partir da próxima versão do OS mobile, os usuários poderão utilizar teclados de terceiros, uma novidade para lá de interessante.

ios_8_quicktype

Não foi somente no teclado que a Apple se espelhou em outros sistemas ou aplicativos. O Mensagens foi outro que recebeu a atenção da empresa e, a partir do iOS 8, passará a contar com a possibilidade de enviar mensagens de áudio aos contatos, criar grupos de amigos e silenciar conversas de forma individual no melhor estilo WhatsApp de ser. Os usuários também poderão compartilhar a sua localização com os amigos.

ios_8_multi_mensagens

Como rumores já apontavam, a nova versão do iOS terá foco na saúde do usuário. Através do HealthKit e utilizando informações fornecidas por aplicativos de outras empresas, como o Nike+ Running e o Nike+ Move, o aplicativo Health passará a fornecer, aos usuários, um panorama completo sobre a sua saúde, como pressão arterial, batimentos cardíacos e informações sobre seu peso e nível de açúcar no sangue, por exemplo. Juntamente com laboratórios e clínicas, a Apple pretende poder gerar alertas sobre a saúde do usuário de acordo com o seu histórico clínico.

ios_8_saude

Outra novidade, que já foi abordada no post sobre o OS X Yosemite, é que, a partir do iOS 8, os usuários contarão com uma integração muito maior entre celulares e tablets e Mac, podendo fazer ou atender chamadas telefônicas diretamente no Mac, assim como responder mensagens de texto. Além disso, com o Handoff, poderão continuar, em um dispositivo, uma tarefa que estava executando em outro. O usuário poderá, por exemplo, começar a escrever um e-mail no iPhone e terminar no Mac, uma vez que os próprios sistemas ofecerá tal possibilidade através de notificações.

No final da apresentação, a Apple surpreendeu muita gente ao anunciar os dispositivos que receberiam a nova versão do iOS, uma vez que o bom e velho de guerra iPad 2 ainda consta na listagem, tendo sido lançado em 2011. Como previsto, quem acabou ficando de fora foi o iPhone 4, uma vez que o suporte aos celulares da empresa da maçã começará no 4s.

ios_8_ipad2Fonte:DigitalDrops

Skype terá tradução simultânea

o CEO da Microsoft, Satya Nadella, apresentou na Code Conference uma nova função para o Skype, que deverá ser disponibilizada até o fim do ano. O Skype Translator irá possibilitar a tradução de vídeo-chats.

skype translate
A tradução para o alemão na legenda abaixo da tela: com o Skype Translate será possível. © Skype/ Engadget
Skype Translator encontra-se na fase de testes, e no final do ano estará disponível para todos os usuários. A função permite que as conversas em vídeo entre pessoas de todo o mundo nas respectivas línguas nativas. O serviço então traduz automaticamente a fala e a inclui numa legenda abaixo da tela. Não se trata ainda de uma tradução simultânea, ou seja, apenas blocos de frases são traduzidos de cada vez.

Em tese essa novidade é fantástica. O problema é, em primeiro lugar, a qualidade da tradução (todos sabem que o Google Translate, por exemplo, está longe de ser um serviço confiável); em segundo, o número de línguas incluídas, que não deve ser muito grande, ao menos no começo.

De todo modo, trata-se de um grande passo para a comunicação global sem intermediários.

O seguinte vídeo (em inglês e sem tradução) mostra um teste do novo serviço: