Refletindo sobre as tendências de ameaças para 2023

Max Havey [00:00:02] Olá e bem-vindo a mais uma edição do Security Visionaries Podcast, um podcast sobre o mundo dos dados cibernéticos e da infraestrutura tecnológica, reunindo especialistas de todo o mundo e de vários domínios. Hoje, estamos relembrando o ano em ameaças com Ray Canzanese, Diretor do Netscape Threat Labs, investigando algumas das tendências que ele viu, bem como o que o surpreendeu nas descobertas para 2023. Como vai, Ray? Como você está hoje?

Ray Canzanese [00:00:23] Ei, feliz ano novo, Max. Fico feliz em ver você novamente. Fico feliz em estar aqui falando sobre segurança cibernética novamente. Chega de biscoitos e tortas.

Max Havey [00:00:30] Sim, nossos biscoitos e tortas acabaram. E já estamos quase saindo da época de reflexão de final de ano de 2023. Isso está nos limitando aqui. Estamos sem previsões, estamos sem resoluções. Vamos conversar. Vamos relembrar o ano em termos de ameaças e ver o que temos reservado para 2024 aqui. Então, para começar aqui, ao olhar para 2023, quais foram algumas das maiores tendências que você encontrou olhando para esses dados?

Ray Canzanese [00:00:51] Sim, claro. Vou te dar três. Certo. O primeiro tem que ser a IA generativa. E o que quero dizer com isso é há um ano, certo? Se olharmos para o final de 2022, ninguém usava IA generativa para nada. Avanço rápido para hoje. Temos cerca de 10% de todos os usuários corporativos todos os meses que usam pelo menos um desses aplicativos generativos de IA baseados em nuvem. E ainda mais do que isso, a quantidade de uso que vemos desses aplicativos cresce exponencialmente. Certo. Portanto, essas coisas estão ficando cada vez mais populares a cada minuto. Trojans número dois, certo? Vimos os cavalos de Tróia como o método de ataque mais popular que os invasores usavam para entrar nas organizações vítimas e temos visto muitas dessas infiltrações acontecendo através da entrega desses cavalos de Tróia em aplicativos de nuvem muito populares. E então eu diria que o número três é provavelmente a evolução contínua do manual de extorsão. Certo? Isto é, uh, começou como ransomware. Certo. E então as pessoas pararam de pagar resgates e foi tipo, ok, vamos divulgar todos os seus segredos publicamente, certo? Se você não pagar nosso resgate, ele evoluiu um pouco mais onde vemos agora, é como se fosse um ransomware, ladrões de informações e limpadores. E como é melhor você pagar isso, o ransomware paga isso e paga o resgate rápido, ou vou começar a quebrar coisas e vou começar a liberar dados. Certo. São apenas mais ferramentas para tentar incentivar as vítimas a pagar.

Max Havey [00:02:19] Definitivamente. E entre essas tendências, houve alguma que realmente chamou sua atenção como uma grande surpresa? Houve alguma coisa que chamou sua atenção?

Ray Canzanese [00:02:25] Sim. Portanto, não é uma das três coisas que acabei de dizer. E é porque acho difícil me surpreender quando se trata de tendências relacionadas a ameaças. Acho que a maior coisa que me surpreendeu quando olhamos para tudo isso no final do ano foi que fiquei convencido, por toda a mídia que consumi ao longo do ano, de que ninguém mais usava o Twitter. Certo. Eu esperava que o uso do Twitter após a aquisição de Elon Musk, com base no que eu estava lendo, diminuísse significativamente, mas foi praticamente estável. Era exatamente igual a um ano atrás. Então talvez seja assim que você me surpreende com uma tendência como essa surgindo, onde obviamente a mídia social tem seus altos e baixos. Certo? Vimos algumas plataformas perderem popularidade como o Facebook. Vimos isso ganhar popularidade. Mas fiquei muito surpreso quando vi o Twitter. Eles estão certos sobre os mesmos níveis. Foi há um ano.

Max Havey [00:03:18] Definitivamente. Acho que esse foi o sentimento de muitas pessoas, como alguém que usa o Twitter há mais de uma década. Neste ponto. Fiquei surpreso ao ouvir isso quando você mencionou isso e o Twitter está sendo usado para campanhas de malware, para pessoas que usam ataques e coisas desse tipo?

Ray Canzanese [00:03:31] Este é apenas o uso geral do Twitter, certo? É como se as pessoas acessassem o Twitter e olhassem o que seus amigos estão fazendo, eventos atuais ou o que quer que as crianças estejam usando o Twitter atualmente.

Max Havey [00:03:42] Com certeza. Eu sempre descrevi isso. Eu continuaria voltando lá pensando, ah, sim, eu sei que isso é uma lavanderia, mas esse lugar costumava servir hambúrgueres realmente bons. É assim que parece mais. Mas isso vai acontecer a partir daí. Muitas coisas estão acontecendo no mundo. Então, pensando em grande parte da turbulência geopolítica que vimos este ano, você já viu esse tipo de situação no cenário das ameaças cibernéticas? Isso é algo que surgiu entre essas tendências principais que você percebeu?

Ray Canzanese [00:04:04] Com certeza. Vivemos em um mundo onde as operações cibernéticas, certo, quando falamos de espionagem, sabotagem, guerra de informação, certo, campanhas de desinformação, todas essas coisas, são um componente padrão e central das relações internacionais. E assim, onde quer que vejamos conflitos geopolíticos, veremos conflitos cibernéticos espelhando esse conflito geopolítico. É assim que o mundo é agora, obviamente, por exemplo, na Ucrânia, vimos e cobrimos em nosso escopo de rede em todo o blog do laboratório, vários ataques direcionados a serviços públicos na Ucrânia, direcionados a cidadãos privados na Ucrânia, direcionados a empresas na Ucrânia. E só por causa desse conflito e de outros em toda a Ásia, temos visto uma actividade de grupos de ameaça geopolítica muito elevada, mais do que em qualquer outra região.

Max Havey [00:05:05] Com certeza. E penso que isso faz muito sentido, e que as tendências que estamos a ver noutros lugares serão populares entre os actores de ameaças que estão em todos os lados deste tipo de conflitos. A guerra cibernética é apenas a mais recente fronteira de tudo isto. Indo disso para outros tipos de tendências que vimos aqui, o ransomware foi uma tendência realmente grande e ampla em 2023. Isso realmente dominou as conversas da maneira que você esperava? Quando estávamos pensando nas coisas em 2022, chegando em 2023.

Ray Canzanese [00:05:30] O ransomware foi absolutamente dominante como esperado e também continuou a crescer. Portanto, a extorsão tem sido uma grande fonte de receita para os cibercriminosos. E então, quando você ganhar tanto dinheiro, continuará vendo novos grupos tentando entrar nesse jogo. E isso você verá nos laboratórios de ameaças da Netskope. Vamos cobrir essas coisas o tempo todo. Nova família de ransomware lançada escrita nesta nova linguagem visando este novo conjunto de vítimas. Novos grupos sendo formados a partir de grupos antigos que foram divididos ou fragmentados em membros de grupos antigos. Certo. Tornou-se esta indústria, certo? O que será muito difícil de romper. E mencionei quando começamos que vimos aquele manual de extorsão que costumava ser apenas ransomware, depois se tornou ransomware e ladrões de informações. Agora parece ser ransomware e ladrões e limpadores de informações, onde são apenas grupos dobrando, vazando dados, destruindo dados, fazendo tudo o que podem para fazer com que suas vítimas paguem. E você até viu muitos grupos no ano passado que diziam ser os mocinhos, certo? Como se estivéssemos extorquindo pessoas, mas as únicas pessoas que extorquimos são as empresas petrolíferas, certo? Nunca extorquiríamos um hospital. Certo. Você está vendo muitos grupos agora que não traçam mais esse limite, certo? Que eles pararam de tentar jogar aquele jogo de que estamos extorquindo benevolentemente as pessoas aqui para extorquir todo mundo que você puder. Certo. Estamos aqui apenas para ganhar dinheiro com quem pudermos, não importa o que aconteça.

Max Havey [00:07:15] Definitivamente. E acho que é especialmente interessante pensar nesse tipo de mudança que ocorreu com os atacantes. E isso é algo que você viu evoluindo ao longo de 2023? Porque eu me lembro de alguns grupos de hackers específicos sobre os quais você falou, nos últimos relatórios mensais de ameaças, sobre dizer, ah, não vamos atacar infraestruturas críticas, não vamos atacar hospitais, mas você está apenas vendo menos desses tipos de missão ética ou, entre aspas, declarações de missão ética dentro desses grupos.

Ray Canzanese [00:07:40] Eu diria anteriormente que basicamente todo grupo tinha uma declaração de missão como essa. E o que estamos começando a ver agora são grupos que carecem de tal declaração de missão, e não que nunca tenhamos visto hospitais ou infraestruturas críticas sendo atingidos antes. Certo. Foi só dizer, vamos tentar o nosso melhor para evitar isso, certo? Primeiro, porque não estamos tentando machucar ou matar ninguém. Certo? Estamos apenas tentando ganhar dinheiro. E segundo, quando você começa a fazer coisas que machucam e matam pessoas, há um nível diferente de escrutínio que é colocado sobre você e você deseja, se estiver agindo em um empreendimento ilegal, limitar sua exposição à aplicação da lei e às pressões geopolíticas. tanto quanto possível.

Max Havey [00:08:25] Claro, você não quer necessariamente aquele tipo de fumaça que surge ao atingir esse tipo de entidade essencial.

Ray Canzanese [00:08:31] Exatamente.

Max Havey [00:08:33] Interessante. Essa é uma abordagem muito interessante. Esse tipo de visão da forma como o hacker ou não hacker, a ideologia do atacante mudou dessa forma. Essa é uma abordagem interessante. Sim, nós temos.

Ray Canzanese [00:08:42] Até vi grupos que durante a fase de demanda de extorsão diziam coisas como, nós somos os mocinhos aqui, certo? Existem outros grupos que são muito piores do que nós e que teriam feito coisas muito mais terríveis do que nós fizemos a vocês. Então você deveria nos pagar como um agradecimento por não ter feito coisas piores com você. Assim que tivermos acesso à sua rede.

Max Havey [00:09:11] Sim, o velho você deveria estar grato por só estar fazendo isso porque poderia estar fazendo coisas muito piores do que isso.

Ray Canzanese [00:09:15] Sim

Max Havey [00:09:17] E assim por diante. Houve algum tipo de tendência específica de setor ou região que também chamou sua atenção? Ou os padrões foram os mesmos entre regiões e setores como aconteceu em 2023?

Ray Canzanese [00:09:29] Claro. Então, como o quadro geral, certo. Se dermos um grande passo para trás, o quadro geral era o crime cibernético e a extorsão, certo? Essa foi a grande história. Não importa em que indústria ou região você estivesse trabalhando, e a Rússia estava do outro lado disso na maioria das circunstâncias, ou seja, grupos que operavam ou presumiam que operavam fora da Rússia. Quando você começa a ver as diferenças, o primeiro lugar onde você começa a ver as diferenças é quando você começa a olhar as coisas regionalmente. Certo. Já falamos sobre a Ucrânia, certo? E assim, se olharmos apenas para as organizações na Ásia e olharmos para a divisão da actividade criminosa versus actividade geopolítica, vemos uma percentagem muito mais elevada de actividade geopolítica na Ásia em torno especialmente do conflito na Ucrânia. A América Latina, também há muita turbulência geopolítica e não muito atrás em termos de quanta atividade cibernética geopolítica vemos lá. Então acho que a próxima camada em que você começa a ver diferenças é quando você começa a recuar: em que setor estou trabalhando, em que geografia e quem está me direcionando para lá? Assim, por exemplo, destacámos alguns destes grupos no nosso último relatório. Você olha para TA-505. Eles são um grupo criminoso russo. Na sua maioria, visam apenas organizações na Ásia e na Europa. Certo. Então você não precisa se preocupar tanto com eles. Certo? Se você estiver em algum outro lugar do mundo. Da mesma forma, o APT-241 é um grupo geopolítico afiliado ao governo chinês. No ano passado, visou principalmente organizações de serviços financeiros. E a maioria das organizações visadas estava em Singapura. Certo. E então você começa a observar as especificidades das nuances do que está acontecendo. É aí que o setor em que você trabalha e a geografia de onde você está localizado realmente determinam quais grupos específicos você é direcionado. E então cada um desses grupos obviamente tem seu próprio tipo de MO em termos de ferramentas e táticas que usam. Certo. E se você está pensando nisso do ponto de vista da defesa, isso importa, certo? Importa quem está no ataque, certo? É importante porque é assim que você direcionará suas defesas. Certifique-se de que todas as suas ferramentas estejam protegidas contra as ferramentas que os invasores estão usando contra você.

Max Havey [00:11:58] Definitivamente a sensação de conhecer seu adversário. Como estávamos conversando da última vez que você esteve aqui no casulo. Conhecer seus adversários é o primeiro passo para saber a melhor forma de se proteger dele e, mais ou menos, obter esse tipo de dados para fortalecer melhor suas defesas. Enquanto você olha para o ano que está por vir. Então, voltando ao tópico que você mencionou no topo do grupo aqui, IA generativa, que tipo de impacto estamos realmente vendo da IA no cenário de ameaças, e ela está sendo usada pelos atores da ameaça? Está sendo usado por equipes de defesa? E se sim, em que escala estamos vendo esse tipo de coisa acontecendo?

Ray Canzanese [00:12:30] Sim, é uma pergunta interessante, certo. Porque desde que trabalhei com segurança cibernética, existiu IA na segurança cibernética, certo. Estávamos usando IA para detectar e bloquear malware para reduzir o ruído no SOC. Há muito tempo que o usamos para identificar ameaças internas e outras ameaças difíceis de detectar. Desde que existe, existe porque obviamente, como indústria, estamos tentando criar ferramentas melhores e fazer mais com menos. E todas as coisas que a IA promete. O tipo de coisa mais recente que vimos no ano passado é a ideia de que você pode usar esses grandes modelos de linguagem como uma interface copiloto nesses enormes conjuntos de dados de segurança que temos, o que é uma coisa muito legal e incrível de se fazer com o modelo de linguagem grande e alimentá-lo com um monte de dados e ser capaz de extrair insights dos dados. Então isso é certamente algo novo que vimos pessoas usando no ano passado. Agora, do ponto de vista dos invasores, é a mesma coisa, certo? Aqui estão algumas novas ferramentas. Certo. Por que eu não usaria algumas ferramentas novas? É um exemplo bobo, mas muitas vezes uso este corretamente. Quando escrevo todo o meu código, uso um IDE, certo? Tenho usado produtos da smart. Certo. Isso torna a escrita de código mais fácil. É uma interface muito legal. Se eu estivesse escrevendo um código incorreto, usaria o intelli-J? Certo? Claro que sim, certo? Essas são ferramentas que facilitam a escrita de código. É claro que usarei ferramentas que facilitam a escrita de código, especialmente se essas ferramentas forem de uso gratuito. Certo? E é claro que os invasores usarão todas as ferramentas à sua disposição, certo, para tornar o que estão fazendo mais fácil e eficaz. A outra coisa que acho interessante é algo como IA e IA generativa e todo o hype em torno disso e todas as novas ferramentas, e que eu não sei, Max, qual das 75 ferramentas de IA que você viu anúncios desta semana você está usando? Certo? Você se lembra de como fazer login neles? Você precisa baixar algo para usá-los? Certo, com todas essas perguntas. É uma oportunidade para os atacantes. Certo. E então vimos muitas coisas que nem são como usar IA, mas estão aproveitando o fato de que outras pessoas estão usando IA para tentar induzi-las a visitar uma página de phishing e inserir suas credenciais do Google. Desde interagir com um bot ChatGPT falso que está apenas gravando toda a conversa para ver o que eles podem usar, até mesmo vimos Trojans, certo? Se você pesquisar no Google, onde faço o download do ChatGPT? Não sei quais são os resultados neste momento, mas várias vezes tivemos que reportar ao Google. Ei, quando você pesquisa no Google? Onde faço o download do ChatGPT? Os principais resultados são como trojans, spyware, adware e todo tipo de lixo. Porque obviamente você e eu sabemos que você não baixa o ChatGPT.

Max Havey [00:15:22] E é interessante nesse sentido saber onde está a IA como um meio de entregar essas campanhas de phishing em vez de usar ameaças habilitadas por IA. É realmente a simplicidade de que as pessoas ainda não sabem onde conseguir essas ferramentas. Portanto, encontrar maneiras de enganá-los com essas ferramentas é apenas o caminho de menor resistência no momento. E eu sei que, nesse mesmo sentido, Colin Estep, da sua equipe, também escreveu sobre ataques de injeção imediata no início deste ano, que é mais no sentido de usar IA generativa como vetor de ataque. Mas é interessante ver isso, como se a grande maioria deles ainda nem estivesse fazendo isso. Ainda são apenas os truques básicos que estão tentando encontrar o caminho para a IA generativa.

Ray Canzanese [00:16:01] Certo, sim, há muitos pesquisadores que estão agindo com boas e más intenções, estão tentando fazer com que esses aplicativos de IA revelem coisas que não deveriam. Certo? Para vazar informações entre os usuários, certo? Existem todos os tipos de ataques aos próprios aplicativos de IA. Há ataques a empresas que executam aplicativos de IA, certo, com a noção de que elas devem ter muitos dados confidenciais. Certo? Se eu quisesse entrar em uma empresa e obter acesso a alguns dados confidenciais, sim, optaria por essas empresas de IA. Certo. Então há tantas camadas nisso, certo? Onde você vê muitos tipos diferentes de mudanças e como as pessoas estão usando essas ferramentas e como isso afeta o comportamento e as interações mais amplas das pessoas. E isso me ajuda a escrever relatórios. Certo? Eu escrevo coisas, elas vão para Grammarly. Grammarly diz, ei, você poderia ter dito isso de forma diferente, e teria sido mais claro e fácil de entender, certo, se eu estivesse escrevendo algo para convencer alguém de algo que não é verdade, ou para visitar uma página de phishing. Eu poderia usar as mesmas ferramentas, certo? E isso me ajudaria da mesma forma.

Max Havey [00:17:06] Exatamente. Sim. Então o que estamos vendo agora é que somos apenas a ponta do iceberg. Continuaremos a vê-los crescer e se desenvolver à medida que avançamos em 2024 e muito além disso.

Ray Canzanese [00:17:15] Com certeza.

Max Havey [00:17:16] E olhando para 2023 holisticamente aqui, Ray, se você tivesse que resumir as tendências de ameaça de 2023 em uma conclusão, o que vem à sua mente.

Ray Canzanese [00:17:25] Eu diria que uma conclusão é que os invasores estão cada vez melhores em se esconder, e o fato de que todos nós estamos usando aplicativos em nuvem agora para quase tudo lhes dá muitas oportunidades de se esconder. Certo. Então, nós os vimos usando aplicativos populares em nuvem para espalhar malware. Vimos alguns invasores usarem esses mesmos aplicativos como canais de comando e controle. Certo. Por que usar infraestrutura de comando e controle quando você pode simplesmente enviar alguns DMs para si mesmo no Twitter. Certo. Então está ficando cada vez melhor em se esconder, certo? O que torna mais difícil para quem trabalha com segurança cibernética diferenciar entre o que é bom e o que é ruim. E essa tendência de os invasores ficarem cada vez melhores em furtividade e se misturar, isso vai continuar, certo? Não é como se eles tivessem descoberto o segredo, e é isso que farão para sempre. Eles descobriram como operar de forma eficaz agora e continuarão a operar dessa forma até que se torne muito difícil para eles operarem dessa forma, porque a indústria de segurança cibernética melhorou em encontrá-los lá, e eles mudarão de novo.

Max Havey [00:18:40] Exatamente. Eles estão sempre encontrando uma nova porta dos fundos de uma nova maneira para qualquer jardim murado em que estamos tentando trabalhar. Na mesma linha, então, Ray, qual conselho você daria aos líderes de segurança que estão coletando esses dados de algo como a reflexão dos Cloud Threat Reports sobre 2023.

Ray Canzanese [00:18:56] Sim, eu diria que concentre-se no que os adversários estão fazendo atualmente e que é bem-sucedido. Certo. Por exemplo, o que eles estão fazendo agora é um sucesso. Eles estão atacando e abusando de aplicativos em nuvem. Certo. Então o que eu faço com essas informações? Tento controlar o uso de aplicativos em nuvem. Certo? Eu não deixo meus usuários usarem o que quiserem por capricho o tempo todo. Acho os aplicativos que todo mundo está usando, certo? O Google Workspaces, o Microsoft 365 e eu garantimos que eles sejam monitorados de perto, que estejam fortemente bloqueados e que eu saiba exatamente o que está acontecendo lá em caso de violação ou ameaça interna. E eu me certifico de que, você sabe, eu não tenho esses pontos cegos. Certo? Tipo, estou monitorando, inspecionando todo o tráfego da minha rede e fazendo tudo que posso para me defender contra o que os invasores estão fazendo agora, com uma ressalva, que eu diria que estou pronto para me adaptar conforme assim que essa paisagem mudar. Não escrevi isso como algo em que vou me concentrar durante todo o ano de 2024, e não vou revisitar isso ou fazer quaisquer alterações até, uh, 2025. Saiba se isso muda. Portanto, esteja preparado para se adaptar e mudar junto com isso.

Max Havey [00:20:16] Sim, essa adaptabilidade parece ser a única coisa que é a resolução para todo líder de segurança hoje em dia: você precisa continuar evoluindo à medida que o cenário, os invasores e os vetores de ameaças continuam a evoluir.

Ray Canzanese [00:20:26] Com certeza. E é difícil, certo? Porque você não quer exagerar nesse aspecto, onde a cada nova notícia sobre alguma nova ameaça, você abandona tudo o que está fazendo e se concentra naquela. Certo? Portanto, há um equilíbrio entre nunca mudar e nunca se adaptar. Certo. E hiperadaptar esses fluxos e refluxos diários, que na verdade não representam grandes mudanças que exigiriam uma espécie de mudança estratégica.

Max Havey [00:20:57] Com certeza. E Ray, quando chego ao final das minhas perguntas aqui. Onde as pessoas podem ir para saber mais sobre o relatório de nuvem e ameaças do ano em análise para 2023. Onde as pessoas podem encontrar isso para se aprofundar nesses dados e dar uma olhada?

Ray Canzanese [00:21:12] Sim, com certeza. Você pode ir para. Net scope.com/threat laboratórios. Você encontrará esse relatório lá. Você encontrará minha lista de discussão lá. E você encontrará vários outros conteúdos que publicamos regularmente sobre as ameaças e tendências que estamos vendo.

Max Havey [00:21:27] Muito legal. Certo. Muito obrigado por se juntar a nós hoje. Como sempre, é uma conversa sempre esclarecedora sobre a forma como o mundo das ameaças está mudando, e você sempre tem uma perspectiva muito boa para trazer à tona. Então, muito obrigado por se juntar a nós.

Ray Canzanese [00:21:37] Obrigado por me receber, Max.

Max Havey [00:21:38] Excelente. Você está ouvindo o podcast Security Visionaries e eu sou seu apresentador, Max Havey. Se você gostou deste episódio, compartilhe e assine Security Visionaries em sua plataforma de podcast favorita. Lá você pode ouvir nosso catálogo anterior de episódios e ficar de olho nos novos que serão lançados a cada duas semanas, apresentados por mim ou por minha co-apresentadora, a grande Emily Wearmouth. E com isso, nos encontraremos no próximo episódio.