Com um pouco mais de mil dólares cibercriminosos podem infectar milhões de pessoas e desviar dinheiro de contas bancárias, às vezes sem que isso seja percebido.
Com esse investimento, eles adquirem ferramentas necessárias para transformar ações maliciosas em lucro financeiro, segundo informa press release do laboratório da Panda Software (leia Cybercrime… for sale (I) no PandaBlog.)
Segundo a empresa especializada em segurança online, há um mercado negro na internet onde códigos e ferramentas maliciosas estão disponíveis a preços acessíveis.
Todos os tipos de ferramentas de crimeware podem ser compradas em centenas de fóruns. A maioria das páginas está localizada na Europa Oriental, mas as redes da máfia da internet se estendem mundialmente.
Comprando malware
Se um cibercriminoso quiser comprar um Trojan, ele teria que desembolsar entre US$ 350 e US$ 700. Um Trojan ladrão de senha por exemplo, custa US$ 600, e um Trojan Limbo ? com menos funcionalidades ? custa em torno de US$ 500, embora eles tenham sido vendidos por um preço menor de US$ 350. Ambos roubam senhas de acesso a bancos online.
Os criminosos virtuais teriam que pagar US$ 500 por um Trojan que captura contas de plataforma de pagamento, como Webmoney, embora existam sempre ofertas especiais. Em um caso, os 100 primeiros compradores pagaram apenas US$ 400.
O próximo passo é conseguir uma lista de endereços de e-mail para distribuir o Trojan. Para isto, eles precisam apenas visitar outra página, onde eles podem adquirir listas de todos os tamanhos. O preço varia de US$ 100 por um milhão de endereços à US$ 1.500 por 32 milhões. Se eles também desejarem enviar links que fazem o download do Trojan para os usuários de mensagem instantânea, eles podem comprar um milhão de endereços de ICQ por US$ 150.
O passo seguinte? Assegurar-se que os programas de antivírus não irão detectar o código malicioso. Por entre um e cinco dólares por executável escondido, eles podem contratar um serviço que protege o malware contra ferramentas de segurança. Se eles quiserem fazer isto por conta própria, eles podem adquirir um software de encriptação polimórfico chamado Polaris por apenas US $20.
O último passo é o envio de e-mails para distribuir o Trojan. Por aproximadamente US$ 500, os criminosos podem alugar um servidor de spam. Depois, eles precisam apenas aguardar as vítimas serem infectadas.
A rentabilidade do malware
Para saber como esta atividade pode ser lucrativa, basta fazer apenas alguns cálculos simples. Se um Trojan custa US$ 500 e uma lista com um milhão de endereços custa em torno de US$ 100, isto significa que US$ 600 são suficientes para infectar um milhão de pessoas. Adicione um programa de encriptação de US$ 20 e um servidor de spam de US$ 500. Com quase 10% de (realmente baixo) índice de sucesso, os hackers podem infectar 100 mil pessoas.
Se os criminosos programarem o roubo de detalhes bancários de 10% delas, isto significaria o acesso a 10 mil contas bancárias. Apenas imagine quanto dinheiro em média uma pessoa possui em uma conta e multiplique por 10 mil para calcular o lucro dos cibercriminosos.
Entretanto, esvaziar milhares de contas poderia ser suspeito e os criminosos buscam obter invisibilidade para conseguir dinheiro.
Eles apenas pegam uma pequena soma de cada conta, cem dólares, por exemplo. Multiplicado por 10 mil, totaliza ainda um milhão de dólares. Em outras palavras, os cibercriminosos podem se tornar milionários com um investimento de US$ 1.200 em um curto período de tempo. Tendo em mente que índices muito baixos de sucesso foram utilizados nos cálculos, a quantia poderia ser muito mais elevada na vida real.
A realidade no Brasil é mesma apontada pelo estudo da empresa? Você concorda? [Webinsider]
.
Vicente Tardin
Vicente Tardin (vtardin@webinsider.com.br) é jornalista e criador do Webinsider. É editor experiente, consultor de conteúdo e especialista em gestão de conteúdo para portais e projetos online.
16 respostas
nenhun eu queria era baixar um programa ladrao de senha do windows
preciso de um programador
Trojans que se consegue em torrent são desatualizados. Assim como os mecanismos de segurança evoluem, os trojans também evoluem. E esse é um mercado muito rentável. Seja para quem programa o trojan, seja para quem comete a fraude. Existe toda uma cadeia produtiva, entre a programação, testes do trojan, venda, coleta de bancos de dados de e-mail e distribuição do produto. E mesmo usuários experientes podem facilmente ser vítimas de trojans ou ataques deste tipo.
Imagine um pequeno exemplo: Um analista de segurança sênior, pós graduado e etc tem uma filha adolescente em casa. A filha e ele dividem o computador. Ele toma todas as medidas de segurança, segue todas as boas práticas de segurança. Mas a filha utiliza o computador para conversar com as amigas sobre namoradinhos, colocar fotos em blogs e etc. Ela simplesmeste recebe uma daquelas milhares de mensagens infectadas via msn, clica e pronto. O computador está infectado. E esse é apenas um dos muitos exemplos de como mesmo usuários mais experientes podem ter seu computador infectado.
nao consigui
Realmente os números de ataque por Crackers sao muito mairores do que estao postados aqui, visto que se trata de uma máquina enviando span, cartões de mensagens como os do orkut, videos, musicas, etc.. A internet é extensa e uma máquina não dorme, não come, não descansa é só programar e ela trabalha dia e noite.
Trabalho com programação e criação de software e conheço os números reais que um cracker pode obter com ataques em um mês.
O internauta para estar 80% seguro, tem que ter no mínimo um antivírus atualizado, o McAfee na minha opinião, continua ser o melhor do momento, com ele vc pode impedir que novos programas sejam criados em pastas como a de arquivos de programas, ou a preferida por tronjans system32, enfim vc deve escolher o melhor e estou dando exemplo do melhor. Quanto ao número de ataques, podem colocar 50% de sucesso. Os rombos nos bancos chegam a mais de R$100.000.000,00 por ano, o banco apenas não divulga os valores reais para não assustar seus clientes e para que esses valores não atraiam mais novos grupos de crackers.
Se os números expostos no artigo correspondem à realidade, sinceramente, não sei. Aliás, ninguém o pode saber com exatidão, dada a natureza dos fatos cibernéticos. Uma coisa, porém, é certa. Vivemos num mundo onde pessoas ainda compram terrenos no céu. Julga-se, muito erroneamente, que usuários de internete, só pelo status tecnológico que essa condição dá, são menos susceptíveis de acondicionarem em sí, ignorância parecida. Outro ledo engano. O tempo todo, pessoas de razoável poder de assimilação e raciocínio lógico, veem-se emaranhada nestes artifícios.
Um cibercriminoso, se de posse de um bom aparato tecnológico, pode sim conseguir grandes somas de dinheiro, dada a vastidão da internet. Se pensarmos em números, mesmo que intuitivamente, parcelas percentuais de ordem ínfimas, aplicadas ao gigantesco conglomerado que é a web, resulta em somas vultuosas.
Todo instrumento sob o domínio humano,responde conforme a intenção de quem o manipula e na intensidade de seu poderio. A internete é um dos adventos mais fantásticos e revolucionários da história humana. Comporta poderes que sequer ainda podemos, nós os usuários comuns, conceber.
Não é o caso de se ficar alarmado e ter medo de efetuar transações via internete. Mas, o caso de se ter consciência das possibilidades destes eventos, para deles poder se esquivar eficientemente.Não há vacinas para doenças que ainda não existem.
Por outro lado, era de se esperar que os mal intencionados queiram abocanhar uma parcela deste tão magnifico instrumento, a nete, para servir aos seus propósitos, assim como faziam pelo telefone.
Por fim, eu que sei sem nenhum resquício de dúvida que o bem sempre vence o mal, não me preocupo demasiado com essas fraudes. Apenas o suficiente para não me deixar enredar por uma delas.
É grande a quantidade de correntistas que tem os seus valores roubados pelos hackers, mas o que acontece é que os bancos com seu poder economico, se encarregam de abafar a divulgação dessas noticias com o intuito de não alarmar os correntistas e ainda não passarem a si mesmo o atestado de vulnerabilidade. Acho muito dificil acabar com esse esquema, pois o povo usuario de bancos é muito desinformado, confiante e acima de tudo de bôa fé, e os practicantes de pishing, cada dia inventam mais ferramentas.
Acho que não são tão poucas as pessoas que abrem e-mails e clicam em links desconhecidos, apesar das constantes advertências. Há quem clica para responder que não se interessa pelo que está sendo oferecido ou para dizer que não tem conta em determinado banco. Parece impossível, mas ocorre.
Completando o post acima. O Bradesco reconheceu a falha e felizmente cobriu a conta do meu pai. menos pior.
Meu pai ja teve descontado dois saques do limite de 300 reais no Bradesco. Isso em apenas uma semana. Dai parou de usar o internet banking.
André,
Os 10% que o autor se refere é um índice baixo (como está em parenteses), apenas para exemplificar, para os usuários terem uma noção de lucro por ataque.
E essas tentativas de infecções com ataques phishing são maiores do que você pode imaginar. Do contrário, não estariam sendo tão usadas cada vez mais em ataques combinados pelos Hackers.
Mas, como a mídia tem noticiado muito, os ataques não chegam apenas através do spam. Até mesmo o YouTube traz worms em vídeos. O texto informa o servidor de spam apenas como exemplo.
Se a pessoa tiver um antivírus sem tecnologia antimalware, o usuário estará desprotegido da mesma forma.
A cada dia são criados mais de 1.200 novas ameaças (Dados Revista PEGN), impossível afirmar que o número de pessoas com senhas roubadas seja pequeno. É meio fora da realidade…só o meu antivirus bloqueia por semana, cerca de 170 ataques de Trojan e Spyware.
Acho que está faltando muita informação chegar até os usuários.
Tenho contas em alguns bancos. Em dezembro passado recebi uma carta de cobrança do banco do brasil. Havia 3 prestações atrasadas de um emprestimo de 3.800. Eu não utilizava esta conta havia tempo.
Sou usuário experiente e definitivamente não cliquei numa porqueira dessas.
Levei o assunto a delegacia de crimes virtuais da minha cidade e fui informado que eu era um entre quase 300 denuncias que eles estavam investigando.
Passados 4 meses o banco teve que encerrar o emprestimo pois foi comprovada fraude.
O que o tardini falou sobre comprar trojans, não pra quem sabe fazer e sim pra qq um que nao tenha conhecimento especifico
o cara compra e manda.
Concordo com André Pessoa em relação a dificuldade em se obter senhas através de spam.
É muito raro alguém clicar em links de mail princiopalmente estes de natureza duvidosa. E ainda mais difícil baixar ou deixar que seja atualizado algum programa e infectar-se com um Trojan.
Viajou totalmente.
Números totalmente sem lógica. Além de que foi colocado de uma forma que parece que é tirar doce de criança.
É a mesma coisa que dizer que hoje eu posso comprar um plano pra roubo de banco, amanhã assaltar o mesmo e depois de amanhã estarei em Macau curtindo a vida.
Os números incluídos no artigo não têm lógica.
US$ 600 são suficientes para infectar um milhão de pessoas. Errado. Mandar spam malicioso para 1 milhão não é sinônimo de infectar 1 milhão.
E de onde o autor tirou essa teoria de que o índice de sucesso nesse tipo de infecção é de 10%? Mesmo para e-mail marketing mais ou menos legítimo o índice de clicagem é baixíssimo (cerca de 1%), imagine para o caso dessas tentativas de infecção, onde o cara tem que, além de clicar no link, ainda executar o arquivo que é baixado, e tem que estar sem anti-vírus (que habitualmente bloqueia esse tipo de comportamento).
Além do mais, essas listas de milhões de e-mail usualmente estão desatualizadas, ou foram até fraudadas pelos criadores, para parecerem maiores do que realmente são.
Por fim, o suposto comportamento dos ladrões de contas, de roubar somente um valor não muito grande de cada conta, é desmentido pelos fatos (pelo menos no Brasil). Pessoas que tiveram suas senhas roubadas normalmente têm todo o saldo retirado, e inclusive o meliante faz empréstimos (se o cliente tiver crédito pré-aprovado) para sugar tudo que é possível uma única vez.
Isso aí parece demonstrar que o número de pessoas que efetivamente tem suas senhas roubadas é pequeno, e que retirar tudo que elas tenham é a maneira de tornar o negócio mais rentável.
O quê? Comprar Trojan?
Trojan se arruma de graça em qualquer site ou torrent por aí.
Se precisar de algo quente, programa-se um. Basta ficar antenado nos sites de notícias sobre segurança, para pegar as falhas 0-day (momento inicial da divulgação) e escrever o seu próprio programa para explorar as brechas.
O buraco é muito, muito mais embaixo do que simplesmente ir no mercado negro, comprar ferramentas e usar.