Ataques baseados em memória exploram vulnerabilidades na memória do sistema para comprometer dados, roubar informações ou executar malware.
- Os ataques baseados em memória aumentaram, representando uma séria ameaça às defesas de segurança na nuvem.
- Os hackers estão ignorando cada vez mais as medidas convencionais de segurança na nuvem por meio de exploits baseados em memória.
Neste artigo, exploramos os métodos empregados pelos invasores e a necessidade urgente de reforçar as estratégias de segurança na nuvem diante dessa ameaça crescente.
A proteção e a segurança de dados tornaram-se preocupações primordiais com a rápida adoção de tecnologias de nuvem em todos os setores. No entanto, à medida que as medidas de segurança na nuvem continuam a evoluir, também evoluem as táticas de agentes mal-intencionados que buscam explorar vulnerabilidades.
Em junho de 2023, a Aqua Security, uma autoridade líder em segurança nativa da nuvem, divulgou um relatório que esclareceu um desenvolvimento profundamente preocupante no campo da segurança cibernética. O relatório revelou um aumento sem precedentes e alarmante de 1.400% nos ataques baseados em memória em comparação com as descobertas do Relatório de Ameaças Nativas da Nuvem de 2022.
Em julho de 2023, os pesquisadores de segurança cibernética da Wiz Inc. fizeram uma revelação inovadora, descobrindo um malware sem arquivo baseado em Python chamado ‘PyLoose’. Esse ataque marcou a primeira instância documentada de um ataque sem arquivo baseado em Python voltado explicitamente para cargas de trabalho na nuvem em cenários reais. Usando a técnica sem arquivo do Linux, memfd, o PyLoose carrega de maneira inteligente um XMRig Miner diretamente na memória, evitando a necessidade de gravar cargas úteis em disco e aproveitando os recursos do sistema operacional para sua exploração.
Esses incidentes recorrentes destacam o desafio significativo que as medidas tradicionais de segurança na nuvem enfrentam. Vamos nos aprofundar nos aspectos técnicos dos ataques baseados em memória, sua evasão das defesas de segurança convencionais e discutir estratégias proativas para proteger as infraestruturas de nuvem.
Entendendo os ataques baseados em memória
Ataques baseados em memória, geralmente chamados de “ataques sem arquivo”, tornaram-se a arma preferida de hackers sofisticados. Ao contrário dos ataques tradicionais que dependem de arquivos maliciosos armazenados em disco, os ataques baseados em memória exploram a RAM volátil do sistema visado. Ao residir na memória, esses ataques deixam rastros mínimos no sistema, tornando-os incrivelmente difíceis de detectar e frustrar.
Normalmente, os ataques baseados em memória são implementados por meio de linguagens de script avançadas, como PowerShell ou JavaScript. Ele permite que os invasores injetem código malicioso diretamente no espaço de memória dos processos em execução. Depois que o código é executado, o ataque pode prosseguir furtivamente, realizando ações que vão desde o roubo e manipulação de dados até o comprometimento total do sistema.
Evasão das defesas tradicionais de segurança na nuvem
O aumento nos ataques baseados em memória é parcialmente atribuído à sua capacidade de iludir as defesas convencionais de segurança na nuvem. Atores mal-intencionados estão dedicando recursos consideráveis para implementar técnicas evasivas avançadas, visando ocultar suas atividades e obter uma forte posição sobre os sistemas comprometidos. Conforme a pesquisa da Aqua Security, a análise dos dados do honeypot de seis meses revelou que mais de 50% dos ataques foram direcionados especificamente para contornar as medidas defensivas.
Vejamos algumas das principais maneiras pelas quais esses ataques contornam as medidas de segurança tradicionais:
Falta de detecção baseada em assinatura: software antivírus tradicional e sistemas de detecção de intrusão (IDS), como SolarWinds Security Event Manager e Snort, dependem fortemente da detecção baseada em assinatura para identificar malware conhecido e arquivos maliciosos. Como os ataques baseados em memória não envolvem gravar arquivos em disco, eles efetivamente evitam o acionamento dessas assinaturas, tornando-as invisíveis para muitas soluções de segurança.
Evasão baseada em comportamento: os ataques baseados em memória geralmente empregam processos legítimos já em execução em um sistema, tornando difícil para os sistemas de detecção baseados em comportamento distinguir entre atividades normais e maliciosas. Isso permite que os ataques se misturem perfeitamente com o ambiente.
Cargas criptografadas: muitos ataques baseados em memória utilizam técnicas de criptografia para ofuscar suas cargas, tornando-as ilegíveis para os scanners de segurança. Essa tática impede que as ferramentas de segurança examinem o conteúdo do ataque e entendam sua intenção.
Área de cobertura reduzida: operando somente no espaço de memória, os ataques baseados em memória deixam uma área de cobertura insignificante no sistema. Essa característica evasiva torna a análise forense pós-ataque significativamente mais difícil.
Estratégias Técnicas de Mitigação
Para combater a crescente ameaça de ataques baseados em memória, os profissionais de segurança em nuvem e os administradores de TI devem adotar uma abordagem multicamada que combine várias tecnologias de segurança e práticas recomendadas. Entenderemos as principais estratégias de mitigação que podem ser empregadas por uma organização para proteção contra malware baseado em memória.
Detecção e resposta de endpoint (EDR): As soluções de EDR fornecem monitoramento em tempo real de endpoints, incluindo servidores e estações de trabalho, permitindo que as organizações detectem e respondam a atividades suspeitas, mesmo que ocorram na memória. Aproveitando o aprendizado de máquina e a análise de comportamento, as ferramentas de EDR podem identificar atividades anômalas indicativas de ataques baseados em memória. Por exemplo, Malwarebytes EDR fornece um remédio eficiente para identificar e combater ameaças de malware sem arquivo. Ele monitora de perto ações potencialmente prejudiciais em endpoints e detecta comportamentos suspeitos eficazmente. Além disso, o ‘Monitoramento de atividades suspeitas’ no Malwarebytes Nebula, uma plataforma de segurança hospedada na nuvem, detecta rapidamente ações suspeitas usando programas de ML e análises realizadas na nuvem.
Proteção da integridade da memória: sistemas operacionais modernos e plataformas de nuvem oferecem mecanismos de proteção da integridade da memória. Por exemplo, a Microsoft introduziu um recurso de segurança baseada em virtualização (VBS) chamado Memory Integrity no Windows 10, Windows 11 e Windows Server 2016 ou superior para combater explorações de memória e aprimorar a segurança do sistema. Tais recursos garantem a integridade do espaço de memória do sistema, evitando modificações e adulterações não autorizadas.
Atualizações regulares de software e gerenciamento de patches: manter todos os softwares e aplicativos atualizados é crucial para mitigar ataques baseados em memória. Os invasores geralmente exploram vulnerabilidades conhecidas em software não corrigido para se infiltrar nos sistemas. Atualizações regulares ajudam a fechar essas lacunas de segurança.
Mitigação da escalação de privilégios: limitar os privilégios do usuário e implementar o princípio do menor privilégio pode atenuar o impacto dos ataques baseados em memória. Restringir os usuários de executar scripts ou acessar recursos críticos do sistema sem a devida autorização reduz a superfície de ataque.
Segmentação de rede: segmentar adequadamente a rede em nuvem em diferentes zonas de segurança pode limitar o movimento lateral de um invasor no ambiente. As organizações podem conter o impacto de ataques baseados em memória empregando firewalls e controles de acesso.
Análise comportamental: a implementação de ferramentas de análise comportamental que monitoram o comportamento do usuário e do processo pode ajudar a identificar atividades suspeitas indicativas de ataques baseados em memória. Por exemplo, ferramentas populares de análise de comportamento do usuário, como Mixpanel, Amplitude e FullStory, podem detectar tentativas não autorizadas de injetar código em processos em execução.
Conclusão
Como o aumento de ataques baseados em memória continua a desafiar as defesas tradicionais de segurança na nuvem, a necessidade de medidas de segurança proativas e abrangentes torna-se fundamental. A adoção de uma abordagem multicamadas que combina detecção e resposta de endpoint, proteção da integridade da memória e atualizações regulares pode reforçar as defesas contra essas ameaças indescritíveis.
O cenário de ameaças está em constante evolução e as organizações devem permanecer vigilantes, adaptar-se aos novos desafios de segurança e investir em tecnologias de ponta para proteger suas infraestruturas de nuvem e dados confidenciais. Somente nos mantendo proativos e informados é que podemos nos proteger contra a criatividade implacável dos hackers na era digital.
