Hackers brasileiros efetuam o possível maior roubo eletrônico na história, um rombo de U$ 3750 milhões

 Um dos métodos de pagamento mais populares do Brasil pode estar comprometido há mais de dois anos de acordo com uma empresa de segurança dos EUA.

A fraude, que afeta os pagamentos por boleto bancário, pode ter resultado no roubo de até 3750 milhões de dólares, tornando-se o maior roubo eletrônico na história. A quantidade exata roubada ainda não foi verificada.

Boletos permitirem que um indivíduo pague uma quantia exata para um comerciante e pode ser utilizado e gerado para transações on-line e off-line. Boletos são o segundo meio de pagamento mais popular no Brasil e foram responsáveis por aproximadamente 18% de todas as compras em 2012.

A empresa americana de segurança RSA descreveu o ataque como "uma grande operação de fraude e uma ameaça séria para bancos, comerciantes e clientes de serviços bancários no Brasil."

Embora os pesquisadores ainda não saibam se os fraudadores foram bem sucedidos na coleta de dinheiro em todos os computadores infectados os números por si só são alarmantes: 192.227 PCs foram infectados pelo scam e 83.506 credenciais de e-mail foram roubadas.

O ataque é conhecido coloquialmente como "man-in-the-browser" e funciona através da injeção de malware em navegador de um usuário depois de ter clicado em um link aparentemente genuíno enviado por email. Uma vez que o link é acessado, scammers pode interceptar e alterar detalhes do boleto, sem o conhecimento do usuário.

O analista de segurança Graham Cluley disse que havia uma série de razões por que o ataque tenha sido bem sucedido em uma escala tão grande:

"Infelizmente computadores brasileiros nem sempre têm os mais recente softwares anti-vírus e o fato dos boletos não serem usados frequentemente fora do Brasil poderia ter feito as empresas de segurança ignorarem a ameaça."

A fim de evitar ser vítima deste tipo de golpe, o Sr. Cluley aconselha os usuários a "serem cautelosos ao abrir anexos de e-mail não solicitadas ou clicar em links desconhecidos, e manter o seu computador atualizado com patches de segurança e as últimas atualizações de anti-vírus."

Não sei se levaremos a Copa, mas a taça do cybercrime já é nossa.
Brasil il il il!

May The Force be with You!

Fontes: http://www.bbc.co.uk/news/technology-28145401
https://blogs.rsa.com/rsa-uncovers-boleto-fraud-ring-brazil/

Adolescentes de 14 anos invadem caixa eletrônico usando manual encontrado online

Dois adolescentes de 14 anos invadiram um caixa eletrônico do banco canadense BMO (Bank of Montreal).

Os estudantes Mattew Hewlett e Caleb Turon encontraram um manual de operadores de ATMs (caixas eletrônicos) disponível online que continha uma senha padrão para logar no modo administrador. Eles conseguiram logar na primeira tentativa por que a senha de fábrica nunca tinha sido alterada.

Padawans apresentam documentos comprovando a invasão do caixa eletrônico.

"Nós achamos que seria divertido tentar, mas não esperávamos que funcionasse" disse Mattew a um jornal canadense. Os garotos conseguiram ver quanto dinheiro tinha na máquina, quantas transações foram feitas, dentre outras informações geralmente não disponíveis para o usuário comum.
Os adolescentes ainda mudaram a saudação da máquina de "Bem-vindo ao BMO ATM" para "Vá embora. Este ATM foi hackeado ".

Felizmente os jovens não roubaram dinheiro nem instalaram algum malware no caixa eletrônico, em vez disso, avisaram os funcionários do banco que verificaram que a máquina foi comprometida.

Ralph Marranca, um porta-voz do BMO, disse que nenhum dado de clientes foi exposto. Ele não respondeu imediatamente às perguntas sobre quais os passos que o banco está tomando para garantir a segurança de seus milhares de caixas eletrônicos em todo o país

May The Force be with You!

Fonte:
http://www.winnipegsun.com/2014/06/08/code-crackers--charleswood-teens-hack-into-grant-avenue-atm

Brasileiro faz engenharia reversa em token de segurança de um banco

(Não se preocupe: o seu método não lhe dá acesso a códigos de qualquer outra pessoa.)

Um engenheiro do Brasil postou um passo a passo técnico de como ele foi capaz de fazer engenharia reversa de token de segurança de geração de código do seu banco.

Ele encontrou uma maneira de gerar com precisão os códigos de desbloqueio com um código personalizado e um clone do Arduino.

O post original foi tirado do ar a pedido do banco

"Cada exceção lançada por este pedaço de código é ofuscado, assim como muitas das strings utilizadas em todo o código. Isso é um grande obstáculo, uma vez que as mensagens de exceção e strings em geral são uma ótima maneira de descobrir o que o código está fazendo engenharia reversa em algo.

Felizmente, seus desenvolvedores decidiram mostrar texto útil quando ocorre um problema e uma exceção é lançada, então eles "embrulham" essas cadeias de caracteres, ofuscando-as com aa, presumivelmente uma rotina de descriptografia que retorna o texto original. Essa rotina não é muito simples, mas é possível obter um entendimento de alto nível do que ele está fazendo."

Fonte: http://beta.slashdot.org/story/196419#!

Que a Força esteja com vocês!