ESET - O Stuxnet explicado a “não-geeks”

[Fábio Palma]

O Google Translate é muito bom, mas falta-lhe um idioma muito importante. Se por um lado é possível fazer traduções muito variadas como de Crioulo Haitiano para Tailandês e de Galego para Maltês, por outro não é possível traduzir de “geek” para um idioma que a maioria das pessoas “normais” compreendam. A única parte boa em relação a isso, é que desse modo eu não fico sem emprego, já que esse é o meu ganha pão.

Para “descomplicar” o Stuxnet, vamos começar com algumas terminologias e definições. É provável que já muitas vezes tenham ouvido falar de vulnerabilidades “zero day”, ou ameaças “zero day”. Embora pessoas diferentes, tenham definições diferentes, eu vou-vos dar uma explicação que possam realmente entender e que acima de tudo seja útil. Uma vulnerabilidade “zero day” é um problema que existe numa aplicação e do qual ainda ninguém ouviu falar até um determinado momento e que como tal não está resolvido. Uma ameaça “zero day” é uma aplicação maliciosa acabada de sair e que não é detectada pelos produtos de segurança.

E quanto aos denominados ataques pelo Spooler de Impressão? É muito simples de explicar. Quando imprimem documentos existe mais informação, para além daquela que o pequeno cérebro da impressora consegue absorver. Deste modo, o computador guarda esses dados e vai alimentando a impressora aos poucos. Se existissem trinta documentos diferentes à espera de serem impressos, seria uma confusão tentar descobrir que página pertencia a cada documento, se a impressora fosse imprimindo aleatoriamente uma página de cada um dos trabalhos em fila de espera.

O Spooler de impressão é uma aplicação que fica de olho em tudo isto e envia para a impressora a informação de modo organizado, para que todas as páginas sejam impressas pela devida ordem e um documento de cada vez.

Infelizmente surgiu um problema com o Spooler de impressão do Windows e que veio permitir que um cibercriminoso obtivesse o controlo de um computador sem ter de lá estar fisicamente. Ora, o Stuxnet usou esta falha para se conseguir espalhar pelas redes de computadores de um modo automático.

Outro aspecto que importa abordar, são as vulnerabilidades que permitem a elevação de privilégios. Existem actualmente vulnerabilidades que não existiam no DOS ou no Windows 95 porque o acesso era sempre total. Contudo, no Windows XP, Vista e Windows 7, existem tipos de privilégios diferentes por razões de segurança.

Prevenir que os utilizadores e os programas tenham permissão para modificar ficheiros críticos evita que aplicações mal intencionadas infectem um computador ou que os hackers possam controlar o mesmo.

No caso do Stuxnet foram utilizadas duas vulnerabilidades “zero day” diferentes de modo que a que este malware pudesse elevar-se das permissões normais para o controlo total do sistema. Assim, o Stuxnet pode fazer praticamente tudo que deseja no computador.

Já alguma vez apareceu uma mensagem que vos informa acerca da não existência de permissões para ver ou fazer alguma coisa? O Stuxnet sabia exactamente como obter estas permissões. Uma falha no software que interpreta o que escreve no teclado para o transformar em indicações para o computador permitiu a esta ameaça ter mais controlo, do que aquele que deveria.

O Stuxnet foi invulgar porque usou várias vulnerabilidades “zero day”. Como as usou? Esta questão é a menos importante. O que importa garantir é que nenhum site ou aplicação as vais continuar a usar no futuro.

Randy Abrams
Director de Educação Técnica
ESET LLC


In eset.pt