A Last Requiem

Um vírus fez isso?

A imprensa está louca, o mundo está estúpido. Pelo menos, os funcionários da companhia aérea Spanair estão felizes, ao menos todos aqueles que não fazem parte da equipe de service desk.

Repentinamente, resolveram achar um culpado para justificar a causa da queda de um avião que aconteceu em 2008, vôo JK5022 matando 154 pessoas: Um vírus. Pior, não se tratava de fato de um vírus, mas sim de um cavalo de tróia. Vírus praticamente não existem hoje em dia, aquele que infectava arquivos legítimos e tal… aah, século passado, saudade de você.

Um cavalo de tróia, ou trojan, nada mais é do que um malware instalado inadvertidamente em um computador com sistema operacional popular a fim de executar alguma tarefa programada. Desviar ou alterar sites, enviar spam, capturar e-mails, se replicar em listas de contatos dos usuários, etc. Nenhuma dessas operações costumam atacar sistemas comerciais específicos.

No caso do acidente de 2008, descobriram que um computador onde o operador lê os alertas emitidos pela aeronave, estava com um trojan instalado, e segundo diversas matérias, como esta, o mal funcionamento do computador impediu que este alerta fosse exibido para o operador.

Me desculpe, mas utilizar um computador com “mal funcionamento” para monitorar ambientes críticos é burrice!

Um vírus, worm, trojan, spyware, grayware, ou qualquer outra coisa do gênero, NÃO manipula sistemas. Ainda mais sistemas com fins comerciais muito específicos. Este trojan NÃO foi programado para suprimir os alertas desse sistema. Um avião NÃO deveria ser autorizado a decolar sem antes a verificação do sistema de monitoramento, e se ele não estivesse funcionando ou tivesse alguma dúvida, que utilizasse outro terminal!

Operador trabalhando:

“Vou acessar o histórico de falhas do avião”
“Putz! Minha máquina está com vírus, vou abrir um chamado mas o suporte vai demorar, manda decolar, acho que está tudo certo com ele”
“PLOFT!”
“Eh… parece que não.”

Isso está com cara de irresponsabilidade, incompetência, desobediência do procedimento  ou incapacidade do operador responsável por esta operação, e que achou, literalmente, um cavalo (de tróia) para botar a culpa.

Vamos a causa real do acidente: O avião explodiu porque contornaram um alerta de superaquecimento na aeronave com um fusível e… gelo!

Transcrição do diálogo contido na caixa-preta:

Mecânico: “Pode me trazer uma bolsa de gelo… ou de amendoins.”
Carregador: “Para vocês?”
Mecânico: “Não, homem. É uma brincadeira, é para esfriar a sonda. Ela está falhando.”
Comandante: “Tenho que anotar tudo isso porque vamos sair atrasado.”

(Alguns minutos depois)

Mecânico: “Então vamos deixar assim, com o aquecedor inoperante. OK?”
Comandante: “E tirar o disjuntor, não?”
Mecânico: “É porque estava esquentando.. o sistema fica inoperante.”
Comandante: “Você tira o disjuntor ou algo mais?”
Mecânico: “Não, o disjuntor, mas está inoperante. Vou despachar de acordo com o MEL (a lista de equipamentos mínimos com que um avião pode voar).”
Terceiro ocupante da cabine: “O que era? Trocaram o relé (interruptor acionado eletricamente)?”
Co-piloto: “Não, eles o tiraram.”
Terceiro ocupante da cabine: “Como vão tirar o relé! Colocaram gelo no final?”
Terceiro ocupante da cabine: “A temperatura baixou muito?”
Co-piloto: “Inferno, puxa!”
Terceiro ocupante da cabine: “Para esfriar antes que o sensor? Mas se o problema era o sensor, voltará. É um remendo que fizeram ali.”
Co-piloto: “Pode-se fazer assim.”
Terceiro ocupante da cabine: “Mas colocar gelo em um sensor para que esteja dentro do limite…”
Co-piloto: “Não, não, isso era para ser resfriado muito antes.”

Em um momento da conversa, o co-piloto está reclamando porque a namorada dele vai ter que esperar mais de uma hora e meia no aeroporto porque o avião saiu atrasado e diz que vai pedir não voar com o comandante, porque só na semana tiveram três incidentes. O último som que ouviu foi o grito do co-piloto.

Co-piloto: “Bate na madeira, tio. Nós vamos pedir para não voar junto com você.”
Comandante: “Não houve tantos incidentes assim.”
Co-piloto: “Cada vez que voei com você tivemos algum problema.”
Comandante: “Pilota você? (Cede controle a seu parceiro)”
Terceiro ocupante da cabine: “Vamos que vamos.”

(Ruídos)

Co-piloto: “Falha no motor?”

(A voz de alarme toca quatro vezes)

Comandante: “Voa avião.”
Comandante: “Voa.”

(Se escuta o primeiro golpe)

Comandante: “Merda!”

(Se escuta o segundo golpe)

(O co-piloto grita)

O resultado foi esse:

Segundo o iOnline, o julgamento dos culpados por negligência aconteceu em maio, então me pergunto: De onde saiu essa idéia de que um vírus ajudou a causar o acidente? Alguns jornalistas me envergonham. G1 #fail.

Robin Sage, a "Mata Hari" da internet, criada por Thomas Ryan

O caso é fantástico e ao mesmo tempo previsível. Na verdade não tem nada de estranho, só comprova que homens machos do sexo masculino estão geneticamente programados para fazer tudo por um rabo de saia, inclusive abrir mão das faculdades mentais superiores que fingimos ter.

A diferença aqui é a proporção que a coisa tomou.

Tudo começou quando surgiu nas interwebs uma moça chamada Robin Sage, essa aí da foto. Ela dizia ter 25 anos e ser Analista Especialista em Ameaça Cibernética (Cyber Threat Analyst) do U.S. Navy’s Network Warfare Command. Chique, não?

Em menos de um mês ela conseguiu 300 contatos no Facebook, incluindo muita gente da comunidade de Inteligência. Fotos de biquini ajudaram.

Não parando no Facebook, Robin tinha perfis no Twitter, Linkedin e outros serviços. Seus contatos incluiam gente que trabalhava com o Estado Maior das Forças Armadas dos EUA, CIA, Corpo de Fuzileiros empresas como Lockheed Martin, Northrop e até o NRO, National Reconnaissance Office, agência secreta responsável pelos satélites espiões do Tio Sam.

Robin recebeu convites para revisar documentos da NASA, propostas para jantar, apresentar uma coferência em Miami… Um soldado no Afeganistão mandou uma foto com dados de geolocalização e pra piorar um terceirizado no NRO se confundiu e revelou pra ela a pergunta secreta pra recuperar senha na conta de email. Fora informações pessoais, fotos de família, endereços e tudo mais revelado pelos espertões babando pela gatinha.

Thomas Ryan

O problema: Robin Sage não existe.

Ela foi criada por Thomas Ryan, consultor de segurança. Foi um experimento para identificar a facilidade com que os membros da comunidade de segurança e inteligência poderiam ser enganados. Podemos dizer que o experimento foi MUITO bem-sucedido, e que ninguém verifica absolutamente nada.

O Comando de Network Warfare da Marinha dos EUA não tem um cargo de Cyber Threat Analyst, para ter 10 anos de experiência Robin deveria ter começado a trabalhar com segurança aos 15 anos, e bem, uma busca no Google traz como primeiro resultado para Robin Sage…

Pois é. Robin Sage é um exercício de forças especiais que acontece 4 vezes ao ano, tem mais de 19 anos que é praticado e envolve um porrilhão de gente. Thomas Ryan também deixou outras pistas, como usar uma foto de uma mulher com aparência estrangeira (que ele pegou de um site erótico, buscando no Google por “Emo Chick”, sério!) e outros detalhes, como os perfis todos tendo um mês de idade.

Robin Sage desmascarada

Não é preciso dizer que o Pentágono está pegando fogo. A facilidade com que gente inteligente cai vítima de engenharia social é assustadora. Antigamente as espiãs sedutoras como Mata Hari ainda tinham algum trabalho, hoje em dia já dá para conseguirem informações sem sequer tirar a roupa (nem mesmo na webcam). Bolas, essa conseguiu informações e contatos sem sequer existir!

Portanto, fica a lição: Seja você Especialista de Segurança dos EUA, seja você um zé-mané qualquer, a regra é clara: Não dê mole. Um pouco de cinismo é essencial para sobreviver online.

Fonte: Washington Times

Todo mundo está falando sobre empresas nas redes sociais, estão bombando perfis corporativos no Twitter, Facebook, Orkut e afins. Já foi discutido bastante sobre privacidade nas redes sociais, cuidados com relacionamento online, segurança pessoal. O que estão esquecendo é que estes interesses são conflitantes.

Diferente de um perfil pessoal, o objetivo de uma presença corporativa nas redes sociais é justamente interagir com a mídia, com clientes, outras empresas e interessados através deste espaço, o problema, além do controle redobrado quanto a insatisfação de serviços se tornar pública, é a manipulação desta massa de usuários por terceiros.

Manter um diálogo aberto com comunidades e redes sociais, você, como empresa, abre precedentes para riscos antes não pensados, como ataques de phishing direcionados a esta comunidade de usuários, captura de informações sensíveis destas pessoas para uso contra ela ou a empresa, e não menos importante, o cultivo de clientes da concorrência.

Se você possui um negócio equiparado com um concorrente, e ambos possuem presenças idênticas nas redes sociais, o que impede a concorrente de “farmar” seus clientes para a concorrência?

Pense nisso.

Li uma notícia hoje de que a Microsoft estaria oferecendo 250 mil dólares para quem entregar o “criminoso”. Criminoso?? OK, ele criou um worm, mas não vejo isso se fosse algo pior de quem lubridia os leigos usuários com aplicações que são por si só spywares residentes. A Microsoft fez a mesma ação para conseguir pegar o criador do worm Sasser, para quem não lembra, uma versão mais robusta do worm Blaster.

…mas 2 coisas me intrigam.

1º Onde eu estava quando esse worm apareceu?
2º Por que se preocupar em pegar a cabeça de um programador, se existem outros milhões com o mesmo (esdrúxulo) potencial de criar worms?

Talvez eu tenha protegido os ambientes que administro de tal forma que não precisei me preocupar com esta epidemia, e talvez minha rede de amigos seja igualmente tão competente para tal, por não conheci até então nenhum desses 10 milhões de infectados (convenhamos, se alguma empresa passou por este problema ainda que por descuido, se não conseguiu contorná-lo de forma ágil, substitua seus funcionários).

Talvez a Microsoft queira a cabeça desse programador para contratá-lo, ou como um aviso ao próximo engraçadinho que eles podem pagar para qualquer caçador de recompensas lhe entregar para a polícia local.

Whatever.

O conceito de vírus não existe mais, felizmente ou não. Aquele pedaço de código malicioso que infectava arquivos executáveis, dlls, que saía apagando arquivos em dias específicos ou brincava com sua tela mostrando imagens ou desfigurando textos não existem mais. Ha pelo menos 7 anos, os programadores esdrúxulos tem se preocupado a cada vez mais fazer com que seus vermes (e não mais vírus) trabalhem de forma silenciosa e com o máximo de funcionalidades possíveis. O mesmo worm agora é capaz de seqüestrar documentos exigindo um preço pelo resgate, abrir uma porta utilizando-se inclusive de UPnP para fazer com que ele se torne um trojan, e também se conectar a uma botnet (rede de computadores zumbis), uma verdadeira exploração da computação em nuvem (ou Cloud Computing) já existente a anos e anos (e não uma “super-inovação-tecnológica”, como muitas mídias noticiaram em 2008), além de claro, se replicar de diferentes formas, inclusive utilizando-se do catálogo pessoal do seu webmail e também alterando páginas do seu banco online para que envie suas informações financeiras – e claro – suas senhas, ao programador.

Espera.

Eu não descrevi um worm, eu descrevi uma BOMBA… mas este é o potencial mínimo de um worm, basta o programador querer. A diferença é a forma como um simples vírus aborda a sua vítima, e como esses (superoderosos) worms fazem o mesmo. Um vírus, para contaminar alguém, basta que alguém espirre do seu lado, literalmente falando, se você abrir um documento contaminado e tal vírus for ativado, aquele pedaço de código (ou seu RNA =) irá se infiltrar em outros documentos. Um worm, para contaminar alguém, precisa primeiramente que alguém “pise na merda”, ou literalmente falando, execute O PROGRAMA propriamente dito.

É claro que existem N formas de fazer com que um worm seja instalado automaticamente em um sistema operacional, principalmente se for um casalzinho da Microsoft conhecido como “Windows + Internet Explorer”, mas ainda sim, depende de um empurrãozinho do usuário.

Sistemas com antivirus e atualizações do sistema operacional em dia, e onde o usuário que não abre qualquer link (cretino) do seu e-mail, não aprove execução de aplicações ActiveX de sites desconhecidos ou saia “enfiando” qualquer programa, cd, dvd, pen drive ou qualquer outra coisa (idiota) “baixada” da internet não tem esse tipo de problema.

Eu percebi então, que o programador do worm Conficker fez, foi criar uma botnet de 15 milhões de usuários sem qualquer instrução do que NÃO se deve fazer na internet. Não sou contra a inclusão digital, mas na wired (rede mundial, internet, whatever) deve se ter alguns mínimos cuidados, e uma vez que os governos de todo o mundo estejam empenhados em integrar cada vez mais seus cidadãos à internet, estes devem também adotar planos de conscientização para prevenir estes mesmos cidadãos a não serem somente novas presas fáceis da rede.

Atualização: No blog do Microsoft Technet “Negócio de Risco” foi publicado um post no dia 14 de janeiro sobre como remover tal worm.

Resumiram minha “minissérie” na Folha de São Paulo, caderno Informática, do dia 14 de janeiro de 209.

DIREITOS DO USUÁRIO

Serviços grátis da rede também são considerados relação de consumo Quando operadora vende celular com subsídio, fabricante compartilha responsabilidade pelo produto - Por GUSTAVO VILLAS BOAS, DA REPORTAGEM LOCAL

Uma empresa faz o telefone, outra o vende. Uma faz o sistema operacional, outra produz o micro que carrega o programa. Quando surge um problema, o consumidor, muitas vezes, se perde, fica envolvido em um jogo de empurra, sem conseguir resolver coisas tão simples como uma tecla que não funcione.

Mas a lei é clara: “No caso de cadeias de consumo, todas as partes são responsáveis”, diz o técnico do Procon-SP (Fundação de Proteção e Defesa do Consumidor) Raul Dalaneze. Ele diz que, muitas vezes, uma multinacional afirma que não presta determinada assistência no Brasil. Mas, caso a empresa tenha escritório no país, e exista uma relação de consumo, o técnico diz que a ela deve atuar. “Mesmo que os termos digam que o foro para resolver os problemas é nos EUA, em uma relação de consumo, o foro é o do consumidor.”

E no caso de serviços de internet -por exemplo, e-mails gratuitos? Dalaneze diz que, na maior parte das vezes, esse contrato entre a empresa fornecedora do endereço eletrônico gratuito (ou outro recurso) e o usuário é caracterizado como uma relação de consumo.

O código do consumidor determina que essa relação é caracterizada pela existência de remuneração -no caso de serviços gratuitos, normalmente feita pela publicidade. Nesses casos, é possível reivindicar seus direitos, ato “mais fácil se a empresa tiver escritório no país”, diz Dalaneze.

Perda de conta

Ivan Carlos, gerente de tecnologia, teve um problema com um grande prestador de serviços da rede: o Google. Tomou um susto, mas não foi à Justiça. Em dezembro, ao tentar entrar em um serviço, descobriu que a conta estava desativada.

Não era coisa pouca: além do Gmail, Carlos tinha vídeos no YouTube, blog e era dono de comunidades no Orkut. Ele resumiu seu problema como “a vingança da convergência dos serviços” em e-mail à Folha, um dia depois de descobrir a desativação da conta.

“Você não deve concentrar todas as informações em uma única empresa”, disse Carlos à Folha, na semana passada.

“Eu consegui recuperar meus dados, mas já migrei meu blog para o WordPress.”

Para recuperar a conta, ele diz que cumpriu os passos indicados pelo Google, “complicados”, segundo Carlos, mas também entrou em contato com a assessoria de imprensa.

A conta foi recuperada dois dias depois do cancelamento.

O Google, claro, fez valer seu direito de resposta:

outro lado

Google afirma que analisa todos os casos - DA REPORTAGEM LOCAL

O Google afirmou que a recuperação da conta de Ivan Carlos foi feita normalmente. “A equipe do Google recebeu e processou a solicitação dele pelo canal eletrônico utilizado por qualquer internauta.” A conta foi recuperada em dois dias.

De acordo com Felix Ximenes, diretor de comunicação do Google Brasil, a melhor forma de proceder é via Central de Ajuda (www.google.com.br/support).

Ximenes diz que apenas em casos graves a conta é cancelada em todos os serviços. Segundo ele, uma equipe sempre avalia reclamações por conta desativada.

No caso do Orkut, o site mais popular do Brasil, esse procedimento ocorre em 48 horas, em média.

Quem tiver uma conta desativada deve agir rápido. Os dados são mantidos por apenas alguns dias, de acordo com Ximenes.

Minha réplica, em resposta a assessoria de imprensa do Google, segue abaixo:

(…) Se o procedimento que funcionou foi o adotado no grupo de ajuda, ou em contato contigo, não sei como dizer, pois no dia 18 já havia falado com vcs, digo isso pois existem outros casos idênticos no mesmo grupo de ajuda do google sem qualquer resposta do staff, como abaixo:

http://groups.google.com/group/google-pt-forum/browse_thread/thread/a4b4b3da5568a1bb/cc5cbf4bcd4004e6
http://groups.google.com/group/google-pt-forum/browse_thread/thread/838a0f08f9057cf9/52cb2b8d0a6f230c
http://groups.google.com/group/google-pt-forum/browse_thread/thread/b15e0502e0175390/f7dc548f3fd5e12e
http://groups.google.com/group/google-pt-forum/browse_thread/thread/dc3c5a9c4e72c0cc/e4016c40c73aec1a
http://groups.google.com/group/google-pt-forum/browse_thread/thread/1152b98761655591/664583d4df90f57b

Não encontrei nenhum outro chamado recente no grupo de ajuda do google informando a solução do problema, envio ou recebimento de e-mails, nada.

“The end.”