Já se passou muito, muito tempo desde que a humanidade teve um ano parecido com este. Acho que nunca conheci um ano com uma concentração tão alta de cisnes negros de vários tipos e formas. E não me refiro ao tipo com penas. Estou falando sobre eventos inesperados com consequências de longo alcance, de acordo com a teoria de Nassim Nicholas Taleb, publicada em 2007.
Exemplo: este vírus horrível que mantém o mundo em lockdown desde março. Acontece que há toda uma família extensa de coronaviridae – várias dezenas delas – e novas são encontrados regularmente. Gatos, cachorros, pássaros e morcegos, todos as pegam. Os humanos não são exceção. Algumas causam resfriados comuns. Outras se manifestam… de forma diferente. Portanto, certamente precisamos desenvolver vacinas para elas, assim como temos para outros vírus mortais, como varíola, poliomielite e outros. Claro, mas ter uma vacina nem sempre ajuda muito. Olhe para a gripe – ainda não há nenhuma vacina que inocule as pessoas depois de quantos séculos? E, de qualquer maneira, mesmo para começar a desenvolver uma vacina, você precisa saber o que está procurando, e isso parece mais arte do que ciência.
Então, por que estou dizendo isso? Qual é a conexão com… bem, inevitavelmente será uma ciber-curiosidade ou uma viagem exótica, certo?! Hoje começamos com a primeira.
Atualmente, uma das ciberameaças mais perigosas que existem são as de 0-day – vulnerabilidades raras e desconhecidas (para o pessoal da cibersegurança e outros) em softwares que podem causar danos em larga escala, mas que tendem a permanecer desconhecidas até o momento em que são explorados (ou às vezes até depois).
No entanto, os especialistas em cibersegurança têm maneiras de lidar com a ambiguidade e prever os cisnes negros. Neste post, quero falar sobre uma delas: YARA.
Resumidamente, o YARA auxilia na pesquisa e na detecção de malware, identificando arquivos que atendem a certas condições e fornecendo uma abordagem baseada em regras para a criação de descrições de famílias de malware com base em padrões textuais ou binários. (Eita, isso parece complicado. Continue lendo para esclarecimentos.) Portanto, ele é usado para pesquisar malware semelhantes, identificando padrões. O objetivo é poder dizer que certos programas maliciosos parecem ter sido feitos pelas mesmas pessoas, com objetivos semelhantes.
OK, vamos voltar para outra metáfora – outra baseada na água, como o cisne negro: o mar.
Digamos que sua rede seja o oceano, que está repleto de milhares de tipos de peixes e você é um pescador industrial que joga enormes redes no oceano para capturar peixes, mas apenas certas espécies de peixes (malwares criados por grupos específicos de cibercriminosos) são do seu interesse. Agora, a rede de deriva é especial. Ela possui compartimentos e em cada um dos compartimentos só pegam peixes de uma determinada espécie (características de malware).
Então, no final da pescaria, o que você tem é um monte de peixes, todos compartimentados, alguns dos quais são relativamente novos e nunca antes vistos (novas amostras de malware) sobre os quais você não sabe praticamente nada. Mas se eles estiverem em um determinado compartimento, por exemplo “parece com a espécie [grupo de cibercriminosos] X” ou “Parece com a espécie [grupo de cibercriminosos] Y.”
Este artigo ilustra a metáfora do peixe/pesca. Em 2015, nosso guru YARA e chefe do GReAT, Costin Raiu, incorporou o papel de Sherlock para encontrar um exploit no software Silverlight da Microsoft. Você deveria ler esse artigo, mas, resumindo, o que Raiu fez foi examinar cuidadosamente certas correspondências de e-mail vazadas por hackers para montar uma regra YARA praticamente do zero, e isso o ajudou a encontrar a falha, e assim, proteger o mundo do megaproblema. (A correspondência era de uma empresa italiana chamada Hacking Team – hackers hackers hackers!)
Então, sobre essas regras YARA
Há anos ensinamos a arte de criar regras YARA. As ciberameaças que a YARA ajuda a desvendar são bastante complexas, por isso sempre realizamos os cursos presencialmente – offline – e apenas para um grupo restrito dos principais pesquisadores de cibersegurança. É claro que, desde março, o treinamento offline tem sido complicado por causa do lockdown. No entanto, a necessidade de educação quase não desapareceu e, de fato, não vimos nenhuma queda no interesse em nossos cursos.
Isso é natural: os cibervilões continuam a pensar em ataques cada vez mais sofisticados – ainda mais nesse lockdown. Consequentemente, manter nosso know-how especializado sobre YARA para nós mesmos durante a quarentena seria simplesmente errado. Portanto, (1) transferimos nosso formato de treinamento do offline para o online e (2) o tornamos acessível a todos. Não é gratuito, mas para tal curso em tal nível (o mais alto), o preço é muito competitivo e com o mesmo padrão de qualidade que é encontrado no mercado.
Aqui:
![Intercepte APTs com YARA como um ninja GReAT]()
Leia em:Aprenda a usar as regras YARA – como prever cisnes negros