Segurança da Informação

Hackers usam ferramenta legítima para atacar Docker e Kubernetes , implantar código malicioso e assumir o controle das plataformas. 

Em um ataque recente, o grupo de crimes cibernéticos TeamTNT usou uma ferramenta legítima para evitar a implantação de seu código malicioso na infraestrutura de nuvem comprometida.

Eles usaram uma ferramenta de código aberto criada especificamente para monitorar e controlar ambientes de nuvem com instalações Docker e Kubernetes, reduzindo assim suas pegadas no servidor violado.

Uso indevido da ferramenta do comércio

Segundo a BleepingComputer, analisando o ataque, os pesquisadores da Intezer descobriram que a TeamTNT instalou a ferramenta de código aberto Weave Scope para obter controle total da infraestrutura em nuvem da vítima.

Segundo eles, esta pode ser a primeira vez que uma ferramenta legítima de terceiros é abusada para fazer o papel de backdoor em um ambiente de nuvem, indicando também a evolução desse grupo específico.

O Weave Scope se  integra perfeitamente ao Docker, Kubernetes e ao sistema operacional de nuvem distribuída (DC / OS) e ao AWS Elastic Compute Cloud (ECS). Ele fornece um mapa completo de processos, contêineres e hosts no servidor e controle sobre os aplicativos instalados.

 “Os invasores instalam essa ferramenta para mapear o ambiente de nuvem de sua vítima e executar comandos do sistema sem implantar código malicioso no servidor”,  observa Intezer em um relatório.

Descrevendo o fluxo de ataque do incidente, os pesquisadores dizem que o caminho do TeamTNT foi uma API Docker exposta. Isso permitiu que eles criassem um contêiner Ubuntu limpo configurado para ser montado no servidor vítima, obtendo acesso aos arquivos no host.

Com o utilitário no servidor, TeamTNT poderia se conectar ao painel Weave Scope via HTTP na porta 4040 (padrão para o endpoint do aplicativo Scope) e assumir o controle.

Os pesquisadores afirmam que este cenário, embora raro, poderia ter sido evitado se as portas da API Docker estivessem fechadas ou políticas de acesso restrito estivessem em vigor.

O TeamTNT surgiu no radar dos pesquisadores de segurança no início de maio como um grupo de criptomineração, quando MalwareHunterTeam tuitou sobre isso e a Trend Micro revelou que os invasores vasculharam a Internet em busca de portas daemon Docker abertas.

No mês passado, a empresa britânica Cado Security publicou um relatório com evidências de que o worm criptomining TeamTNT também pode roubar credenciais AWS e arquivos de configuração de instâncias Docker e Kubernetes.

Mitigação

Segundo a Intezer, a configuração precisa e correta de cargas de trabalho e serviços em nuvem pode evitar muitos ataques, por isso é importante dedicar tempo e esforço para verificá-los. Para se proteger desse ataque, recomendamos:

• Fechar portas expostas da API Docker : Este ataque tira proveito de uma configuração incorreta comum da API Docker, que dá ao invasor controle total sobre o serviço Docker. Portanto, as portas da API Docker devem ser fechadas ou conter políticas de acesso restrito no firewall.
• Bloqueie as conexões de entrada para a porta 4040 : Weave Scope usa a porta padrão 4040 para tornar o painel acessível e qualquer pessoa com acesso à rede pode ver o painel. Semelhante à porta Docker API, esta porta deve ser fechada ou restrita pelo firewall.
• Bloqueie os IOCs fornecidos abaixo.
• Confira nosso artigo Práticas recomendadas para proteger um ambiente Docker Runtime .
• Aproveite a edição gratuita da Intezer Protect community edition para proteger seus servidores de nuvem Linux e contêineres em tempo de execução contra código não autorizado.

Aplicar Zero Trust Execution às suas cargas de trabalho

Zero Trust Execution (ZTE) é visto por empresas de pesquisa de mercado como a melhor prática para proteger cargas de trabalho em nuvem por motivos como a natureza deste ataque TeamTNT. A ZTE cria uma linha de base confiável de suas cargas de trabalho e monitora qualquer novo processo ou código injetado. Qualquer código ou aplicativo não autorizado que saia da linha de base pré-aprovada não pode ser executado em seu ambiente de nuvem, permitindo que você mantenha um estado confiável.

Nesse cenário, embora o Weave Scope seja uma ferramenta de administração legítima (não é malware e, portanto, não contém código malicioso), o aplicativo ainda foi sinalizado pela ZTE porque é um código não autorizado que se desvia da linha de base confiável.

Ref: Minuto Segurança; Bleeping Computer

Cade sugere mudança na lei para atuar como ANPD. Estudo interno ainda não divulgado solicita mudanças na legislação para unir órgão antitruste e agência de dados.

Dado a importância do tema trago aos leitores do nosso blog o excelente texto de : Alexandre Leoratti e Guilherme Pimenta publicado pelo site Jota 

O Conselho Administrativo de Defesa Econômica (Cade) defende que a legislação brasileira seja alterada para abarcar as atribuições da Autoridade Nacional de Proteção de Dados (ANPD). Segundo estudo, que já está sob posse do Executivo, a integração do Cade com a autoridade economizaria R$ 108 milhões aos cofres públicos e poderia ser feita já até janeiro de 2021. 

No estudo interno ainda não publicado que foi obtido pelo JOTA, o órgão propõe ajustes em sua estrutura interna, mais orçamento e pessoal para abarcar a autoridade, que faria parte da autarquia antitruste com uma Superintendência-Geral de Proteção de Dados. Dessa forma, o órgão alteraria seu nome para “Autoridade de Defesa da Concorrência e Proteção de Dados”.

Para concretização dessas mudanças, diz o Cade, dimensiona-se necessário o quantitativo de 41 cargos em comissão do Grupo-Direção e Assessoramento Superiores ou Funções Comissionadas do Poder Executivo, além de 70 servidores técnicos, o que representaria a ampliação em 110 pessoas na força de trabalho do órgão.

Hoje, o Cade é dividido internamente em duas esferas: a Superintendência-Geral, responsável por instruir os processos administrativos e atos de concentração, e o Tribunal, composto por sete membros, responsável pelo julgamento de processos e fusões e aquisições. No total, o órgão tem 260 servidores.

O conselho é ligado ao Ministério da Justiça, mas tem autonomia administrativa e funcional. O superintendente-geral e os conselheiros são indicados pelo presidente da República, sabatinados pelo Senado.

O novo órgão abarcaria tanto a superintendência atual quanto a superintendência de dados pessoais, que teriam estrutura e pessoal próprio. O Tribunal, por sua vez, seria responsável por julgar tanto processos antitruste como os processos relacionados a dados pessoais, abarcando as funções previstas aos membros do Conselho Diretor da ANPD.

“Dessa forma, a autoridade estaria operacional em tempo recorde, pois, com o mínimo de investimento, seria aproveitada toda a estrutura e capacidades acumuladas pelo Cade ao longo dos anos”, aponta o estudo. Segundo o documento, caso a implementação começasse a ser feita em setembro, o órgão poderia funcionar já em janeiro de 2021. 

Os autores do documento defendem que ser “razoável” avaliar que a incorporação das funções de Autoridade Nacional de Proteção de Dados pelo Cade representaria uma “economia de dois a três anos no tempo para que sejam desempenhadas de forma madura, alinhada com as melhores práticas internacionais”.

O arquivo, datado de agosto de 2020, apesar de não ter sido publicado pelo Cade, já está nas mãos da Casa Civil e do Ministério da Justiça, que avaliam a proposta. Nos bastidores, a proposição tem apoio em setores do Ministério da Justiça.

Apesar de o estudo ser recente, a ideia da proposta já é debatida desde a criação da elaboração da LGPD.

A discussão ganha ainda mais importância devido à MP 959/2020, que adia a entrada de vigência da Lei Geral de Proteção de Dados (LGPD) para maio de 2021.

Caso o texto perca a validade no dia 27 de agosto, dada em que a MP caduca, a LGPD já entraria em vigor sem uma autoridade nacional de dados pessoais. Como antecipado nesta segunda-feira pelo JOTA PRO, os líderes da Câmara acordaram votar a MP 959/2020 na sessão desta terça-feira (18/8).

Estudo

O estudo interno do Cade acrescenta que a ausência de uma Autoridade Nacional de Proteção de Dados prejudica a inserção do Brasil na OCDE, que exige regras de proteção de dados pessoais para os países-membro. O órgão se posiciona como a solução “diante das dificuldades de se estabelecer a ANPD” 

O documento, de 44 páginas, assevera que o Cade já segue exigências de todas as recomendações e práticas internacionais exigidas pela OCDE e pelo Regulamento Geral Europeu sobre a Proteção de Dados (General Data Protection Regulation – GDPR), além de ter autonomia em relação ao Governo. Dessa forma, o órgão não seria diretamente ligado à Presidência da República.

Além disso, a autarquia antitruste afirma que os conflitos potenciais precisam ser tratados de forma cuidadosa, mas não devem prejudicar a livre iniciativa e a defesa da concorrência “ao potencialmente criar barreiras à entrada em mercados dependentes de acesso a dados pessoais que sejam insuperáveis aos pequenos agentes econômicos”. 

“Unificando no Cade os temas de proteção de dados e defesa da concorrência, evitam-se conflitos de entendimento ou orientações contraditórias para o mercado”, aponta o documento. 

Procurado pelo JOTA, o Cade afirmou que não iria se manifestar.

ANPD

A Lei 13.853/2019, sancionada em julho de 2019 e responsável por criar a Autoridade Nacional de Proteção de Dados (ANPD), estabelece que o órgão poderá ser anexado à presidência da República após dois anos de vigor da lei. 

A possibilidade de anexação é criticada pelos advogados e especialistas em proteção de dados. O principal receio é que a ANPD não tenha autonomia de fiscalização como acontece com as autarquias, além de questões como independência financeira e orçamento próprio. 

Eles argumentam que se o órgão for vinculado à presidência da República, em tese, seria possível a intervenção do Executivo em fiscalizações e ações da ANPD. O receio de falta de autonomia foi um dos principais argumentos no estudo do Cade, que é uma autarquia independente do Executivo. Nos bastidores, o medo dos especialistas é que a ANPD seja tomada por “decisões políticas” do governo e não em ações com base técnica. 

“A autoridade precisa ter expertise em proteção de dados, tecnologia da informação e ciência de dados. Além disso, requer estrutura, recursos, orçamento e autonomia institucional adequados para poder exercer suas responsabilidades”, assevera o estudo do Cade. 

Diante da proposta do Cade, advogados especializados no tema divergem. Marcela Mattiuzzo, sócia do VMCA Advogados, avalia que a ideia defendida pelo Cade é pertinente diante do atual momento de eficiência econômica da administração pública e pelo reconhecimento internacional do órgão concorrencial. Ela acrescenta que outros países, como Estados Unidos e Austrália, também adotam o modelo de autoridade de dados com funções divididas. 

“Esse modelo teria a vantagem em relação ao modelo previsto na lei com a ANPD vinculada à presidência da República. A proposta também é clara que precisaria ter uma capacitação dos servidores para que as pessoas entendam de proteção de dados”, explica a advogada. 

Para Fabrício da Mota Alves, sócio do Garcia de Souza Advogados, a junção da ANPD com o Cade não é ideal. Ele explica que o modelo da autoridade de proteção de dados foi elaborada como ideia de um órgão único de proteção de dados e privacidade devido ao alto grau de especialização dos profissionais sobre o tema. 

“A ANPD tem que dialogar com todos os setores da sociedade, mais de 5500 municípios e todos os níveis do poder público. O Cade conseguirá lidar com processo eleitoral e setores como agronegócio, crédito bancário e até mesmo com órgãos responsáveis pela persecução penal?”, questiona o advogado.

Jose Carlos da Matta Berardo, sócio do Lefosse Advogados e especialista em Defesa da Concorrência, avalia que o Cade preenche todos os requisitos formais para ser uma boa autoridade de proteção de dados, “cuja criação e funcionamento são urgentes”.

“Todavia, é preciso refletir também sobre a extensão das modificações legislativas necessárias para colocar essa estrutura de pé, tanto na LGPD quanto na Lei 12.529”, ponderou.