Resumo Semanal – 25


📅

[Semana 25]

Dando início à essa nova maneira de informar vocês, eis o que rolou na semana 25 do ano de 2020. Estranho começar do 25, mas ficará mais fiel ao período do ano.

📲WhatsApp

Apenas nessa semana foram expostos 424.000(!) números de celulares. O Google indexou todos esses números e pra encontrá-los bastava fazer uma busca por site:api.whatsapp.com/send e caso queira encontrar de um país específico, pode adicionar após […]/send “+55” (por exemplo, para buscar números expostos do 🇧🇷).

Somente neste ano, já foram expostos mais de 800.000(!!!) números. Ao que tudo indica, se você fizer esta busca no Google hoje, não funcionará, mas vale lembrar que esta brecha continua existindo, pois é uma falha do WhatsApp, logo, outros buscadores que não removeram os links continuam a exibir os números.

!Opinião: Embora, perante à LGPD, número de celular não é um dado sensível, eu considero que sim, já que hoje em dia os golpes, ataques phishing, engenharia social, praticamente todos os crimes digitais vêm através do seu smartphone. Com isso, mais que redobre os cuidados com seu número de telefone. Evite grupos que tenham desconhecidos, evite passar o número para outras pessoas em voz alta, evite cadastrar seu número em qualquer site, e por fim, se possível, evite o whatsapp (rs).

🛡Brave Browser:

O navegador Brave, ainda recomendado aqui no canal, deu uma de “vai que cola”, mas foi descoberto. Não se sabe desde quando, mas tendo em vista sua parceria com a Binance (Exchange de Criptomoedas), poderia dizer que desde o início, ao digitarmos o endereço binance.us ou binance.com, automaticamente era redirecionado para o site da Binance com um link de afiliado/referencial das contas da Brave. Isso não é de fato um grande problema de privacidade, apenas de confiança na marca, primeira mancada. O CEO da Brave Browser já se pronunciou e informou que isso será retirado na próxima atualização, também pediu desculpas. Essa foi uma maneira da Brave ganhar um trocado sem prejudicar ninguém, mas com certeza pegou muito mal. Em relação à privacidade, Brave continua no TOP 1, segundo analistas.

🌐UOL:

UOL tem falha grave de segurança no e-mail desde 2018. Se o usuário abrir um e-mail malicioso que parece estar vazio, o invasor poderá redirecionar todas as mensagens para outra conta, incluindo pedidos de recuperação de senha. O problema foi relatado em 2018, mas permanece sem ser corrigido; a empresa diz que “não há qualquer evidência de falha”. Por enquanto, a solução é não acessar o UOL Mail através da interface web: em vez disso, ele recomenda usar um cliente dedicado como o Outlook via IMAP, que não vai rodar os comandos JavaScript que permitem roubar o token. Outra alternativa é migrar para outros serviços de e-mail.

Pra fechar, 🦠Windows/Linux:

Tycoon é um ransomware escrito em linguagem JAVA, o que permite atacar Windows e Linux sem precisar de adaptações. Analistas especulam que o malware está na área desde Dezembro/2019.

Quando entra em ação, o Tycoon criptografa os arquivos dos computadores afetados usando um algoritmo AES de 256 bits. Os pesquisadores até conseguiram descriptografar alguns deles recorrendo a uma chave comprada por uma das vítimas, mas o truque não funcionou com a maior parte dos arquivos.

Para piorar, há indícios de que as versões mais recentes do ransomware usam chaves criptográficas distintas em cada ataque, enquanto as primeiras recorriam à mesmas chaves para alvos diferentes.

Como o Tycoon não se espalha automaticamente, aplicar políticas de segurança de rede, implementar mecanismos de proteção e manter sistemas operacionais atualizados estão entre as ações (triviais) que podem dificultar ou impedir a instalação do malware.

Fontes: tecnoblog.net, davidgerard.co.uk/