Relatório Situacional - Setembro 2021 | OpenCTI.BR
Neste mês o OpenCTI.BR apresenta seu nono relatório mensal que traz um consolidado de coleta e análise de ameaças brasileiras identificadas em setembro de 2021. O objetivo deste report, é contribuir com a comunidade através de uma visão focada no cenário nacional, das principais ameaças e indicadores relacionados a ataques identificados pela honeyNET do projeto, que constitui sensores instalados apenas no Brasil, para que deste modo possamos mapear o comportamento do cenário de ameaças local.
As informações apresentadas neste relatório, tem como base, dados de Hashes, IPs, URLs e Domínios processados durante o período de 01 a 30 de setembro de 2021.
Dentre os países identificados como as 5 principais origens de ataques no mês de setembro, podemos destacar:
Em nossa honeyNET, também utilizamos como parte do processo de detecção as assinaturas SNORT. Abaixo um comparativo das assinaturas mais acionadas entre agosto e setembro.
Neste mês de setembro observamos um aumento expressivo de eventos de malware das categorias worm e exploit, comparado ao percentual obtido no mês anterior.
Dos tipos de malware que atacaram a nossa honeyNET, cerca de 28% foram provenientes de trojan, seguidos de ransomware, worm, exploit, backdoor, detectVM, stealer, e azorult além de outras famílias de malware (emotet, banker e trikbot) em volume de menor relevância.
Na imagem abaixo listamos as principais URL's relacionadas a esse tipo de comportamento identificadas no mês de setembro:
Dispositivos Hospitalares Vulneráveis
Falha grave em dezenas de dispositivos hospitalares expõe imagens de diagnósticos pelo país. Diversos pesquisadores já divulgaram anteriormente e novamente o OpenCTI.BR trás para discussão um tema extremamente crítico envolvendo empresas brasileiras. Em meio à grande discussão da nova lei de Privacidade de Dados ( #lgpd ) , nossos sensores identificaram recentemente uma série de dispositivos #PACS (Picture Archiving and Communication System), utilizados na realização e armazenamento de exames de diagnósticos por imagem. Os dispositivos foram encontrados conectados diretamente à internet sem qualquer camada de autenticação ou autorização, com seus acessos irrestritos.
Entre as empresas envolvidas estão hospitais, clínicas e centros de diagnósticos de diferentes portes, permitindo que qualquer pessoa conectada à internet tenha acesso ao conteúdo sem a necessidade de credenciais ou software adicional. Não aprofundamos os acessos e tão pouco realizamos o download do conteúdo, mas podemos observar através da console que somente um dos dispositivos armazena dezenas de milhares de imagens incluindo Raio-X, Ultrassom, Tomografias Computadorizadas, entre outros.