Perseguindo redes afiliadas, o calcanhar de Aquiles de malware

Na conferência da RSA, houve muita discussão sobre redes afiliadas - ou seja, as pessoas e empresas que, consciente ou inconscientemente, ajudam a espalhar malware, criar botnets e tornar as atividades nefastas possíveis e lucrativas para os indivíduos que operam esses empreendimentos. Embora esses afiliados tenham ajudado a tornar o malware mais perigoso, eles também podem ser a chave para desligar os bandidos.

Muitas pessoas provavelmente assumem que o ne'er-do-wells por trás das operações de malware é o único responsável por criar e distribuí-lo às vítimas. No entanto, este não é o caso. Tomando uma página de organizações como a Amway, os criadores de malware na verdade empregam indivíduos para espalhá-la para eles, seja por meio de golpes de phishing, publicidade maliciosa ou outros vetores. Os afiliados também podem ser tradutores freelancers ou empresas de processamento de cartões de crédito que, sem saber, ajudam nas atividades de crimes cibernéticos.

O que os afiliados fazem

As redes de afiliados podem assumir várias formas e, aparentemente, traçar suas raízes como "antivírus falso" a partir de 2008. Chester Wisniewski, consultor sênior de segurança da Sophos, explicou como os criadores de antivírus falsos recrutaram a ajuda de empresas e prestadores de serviços legítimos para ajudar a produzir seu produto perigoso. "Tinha que parecer profissional", disse ele, referindo-se ao design gráfico de produtos antivírus falsos. "E teve que ser comprado da mesma maneira que você compra um AV real".

No jogo da rede de afiliados, o dinheiro pode ser muito bom. De acordo com Richard Henderson, estrategista de segurança da Fortinet, cuja empresa analisa as operações de botnets e crimes cibernéticos, alguns afiliados costumavam ganhar US $ 0, 10 por infecção. Esse número subiu para US $ 0, 50 por infecção. Ele citou o recente ataque do Citadel da NBC.com, onde um anúncio carregava malware nos computadores dos usuários. Ele estimou que, com um número conservador de 75.000 a 100.000 infecções, para um afiliado, "isso gera US $ 50.000 por algumas horas de trabalho".

Citando ataques recentes de ransomware, que levam as vítimas a pagar os atacantes depois de assumir o controle de seus computadores, Wisniewski disse que a Sophos suspeita que os criadores de malware estão chegando ao ponto de empregar tradutores profissionais para localizar melhor seus ataques. Ao contrário de muitos e-mails de phishing, ele disse que esses ataques tinham uma gramática quase perfeita no idioma nativo do alvo.

Além de espalhar malware, os afiliados também dificultam a interrupção. Por um lado, os afiliados adicionam uma camada entre os criadores de malware e botnets e aqueles que tentam impedi-los. Por outro lado, torna os ataques de malware menos genéricos. "Como eles cultivam o trabalho, existem diferentes tipos de engenharia social, um ataque diferente", explicou Henderson. Portanto, em vez de o malware de criação de botnet ser enviado com a mesma mensagem de phishing, diferentes afiliados podem tentar obter downloads, malvertising ou outro vetor.

Lutando de volta

Embora os afiliados tornem o negócio da segurança muito, muito mais difícil, eles também fornecem um meio de desligar os invasores. Como muitos afiliados são pagos pelo seu trabalho, a aplicação da lei pode trabalhar para tornar esse trabalho antieconômico. Quase todos os especialistas em segurança com quem falei na RSA concordaram que cortar o dinheiro poderia reduzir bastante a atividade maliciosa.

Wisniewski, da Sophos, contou como, no caso do Fake AV, as empresas de cartão de crédito foram persuadidas a parar de processar pagamentos e, assim, sufocaram os criadores do malware de seu suprimento de dinheiro. "Por um tempo, a VISA foi a única", disse ele. "Assim como as Olimpíadas", referindo-se a como VISA foi o único cartão aceito nos jogos internacionais.

Obviamente, os esforços para tornar as redes afiliadas uma rota antieconômica exigem cooperação entre empresas de segurança, policiais e, às vezes, até as próprias afiliadas. Felizmente, muitos dos fornecedores e especialistas com quem conversei na RSA disseram que o compartilhamento de informações nunca foi tão bom.

Certifique-se de manter-se atualizado com mais de nossas postagens da RSA!