Ataques com malware infiltrado em programas conhecidos estão a aumentar

Os hackers estão a recorrer cada vez mais à utilização de programas populares como forma de chegar  rapidamente (e facilmente a centenas de milhares de potenciais vítimas), infectando os programas na origem.

O recente caso do programa de actualizações da Asus que tinha sido utilizado por hackers para infectar computadores não foi um caso isolado, e na verdade este tipo de ataques tem sido cada vez mais frequente e parece estar a ser desencadeado por um único grupo - denominado Barium (ou ShadowHammer, ShadowPad, ou Wicked Panda, dependendo das empresas) - que se pensa ter ligações à China.

O caso da Asus não foi um caso isolado, e este mesmo grupo foi também o responsável por infectar o popular CCleaner, que também chegou a centenas de milhares de computadores. Mas curiosamente, embora o potencial destrutivo fosse enorme, existe também uma enorme curiosidade por parecer que todos estes esforços estão a ser utilizados para espiar apenas um número bastante reduzido de alvos.

No caso da Asus, embora tivesse chegado a 600 mil computadores, o spyware tinha uma lista de apenas 600 máquinas, identificadas pelo MAC address, que deveria espiar. No caso do CCleaner, dos 700 mil computadores infectados apenas 40 é que eram os verdadeiros alvos de espionagem - sendo que esse alvo era a Asus (e suspeita-se que terá sido a forma como conseguiram posteriormente infectar o software de actualizações da Asus).

É um cenário realmente assustador, já que assim temos que considerar que todo e qualquer programa, mesmo de fontes legítimas e "de confiança", poderão estar infectados com conteúdos maliciosos de detecção extremamente difícil. De que adianta todos os cuidados com a segurança, se o spyware nos chegar através de uma actualização do nosso browser, por exemplo?

... E mesmo o recurso a autenticação 2-factor não será de grande ajuda nestes casos, pois tendo controlo sobre a máquina infectada, esses atacantes poderão simplesmente "apoderar-se" das contas depois dos seus alvos terem feito os respectivos logins com a devida autenticação. (E isto assumindo que não estavam já a espiar no momento da activação do 2-factor, ficando com essa autenticação também do lado deles).