Category: FBI

Governo dos EUA quer que linguagens como C e C++ deixem de ser usadas

8 de novembro de 2024

Governo dos EUA quer que linguagens como C e C++ deixem de ser usadas

Exemplo de código em C++ (imagem: Emerson Alecrim/Tecnoblog)

A CISA e o FBI, dois importantes órgãos de segurança dos Estados Unidos, publicaram um documento em que pedem a empresas de desenvolvimento de software do país que deixem de usar linguagens de programação como C e C++. Motivo? Diminuir as vulnerabilidades em sistemas.

Não é uma recomendação que vem de agora. A própria Cybersecurity and Infrastructure Security Agency (CISA) tem mantido uma postura contrária ao uso de linguagens de programação antigas pelo menos desde 2019. As linguagens C e C++ têm sidos os principais alvos dos órgãos públicos de segurança americanos por serem amplamente utilizadas pela indústria.

O que há de errado com elas? O relatório da CISA explica que linguagens como C e C++ “dão muita liberdade e flexibilidade no gerenciamento de memória enquanto dependem fortemente do programador para executar as verificações necessárias nas referências de memória”.

Ou seja, o principal problema está no acesso direto à memória. C, C++ e outras linguagens mais antigas dão essa abertura, o que pode ser útil para otimizações finas no desempenho do software, por exemplo. Por outro lado, essa característica aumenta o risco de problemas como estouro ou vazamento de memória.

Problemas dessa ordem, quando encontrados em softwares implementados, podem ser explorados por agentes maliciosos para invasões de sistemas, capturas de dados sigilosos, paralisações de serviços e assim por diante.

Como forma de prevenir esses problemas, a CISA publicou, em outubro, o relatório Práticas Ruins de Segurança de Produtos (em tradução livre). O documento aborda justamente práticas de desenvolvimento de software que são consideradas inseguras atualmente e faz recomendações para substituí-las.

No caso de práticas que envolvem o acesso à memória, o órgão recomenda medidas que previnem esse problema, entre elas, o uso de “uma linguagem [de programação] segura para a memória ou recursos de hardware que previnam vulnerabilidades de segurança de memória”.

Governo dos EUA quer que linguagens como C e C++ deixem de ser usadas (Imagem: Vitor Pádua/Tecnoblog)

Use linguagens de programação mais modernas

Entre as linguagens que são mais seguras no aspecto do acesso à memória e, portanto, aparecem como substitutas em potencial, estão Rust, Java, C#, Go, Python e Swift.

Falando assim, parece fácil. Mas migrar de linguagem pode ser uma missão complexa, custosa e demorada, afinal, tende a exigir amplo planejamento, treinamento de programadores, numerosas rotinas de testes, homologação e vários outros procedimentos.

Apesar disso, a CISA pede para que empresas de software elaborem um roteiro para mover suas bases de código a linguagens mais modernas e apresentem esse documento até 1º de de janeiro de 2026.

Ainda que as recomendações sejam direcionadas ao mercado americano, essa mudança pode ter gerar uma mobilização sobre toda a indústria de software.

Com informações: The Register, TechRepublic

Governo dos EUA quer que linguagens como C e C++ deixem de ser usadas

Governo dos EUA quer que linguagens como C e C++ deixem de ser usadas
Fonte: Tecnoblog

FBI levou 40 minutos para desbloquear celular de atirador de Trump

19 de julho de 2024

FBI levou 40 minutos para desbloquear celular de atirador de Trump

FBI precisou de ajuda de empresa de perícia para desbloquear celular (Imagem: Edwin Chow / Flickr)

O FBI conseguiu desbloquear em 40 minutos o smartphone Samsung de Thomas Matthew Crooks, homem que foi morto após atirar em Donald Trump, ex-presidente dos Estados Unidos e atual candidato. Para isso, os investigadores usaram uma ferramenta ainda em desenvolvimento da empresa israelense de perícia Cellebrite.

As informações sobre o desbloqueio foram obtidas pelo site da Bloomberg e pelo jornal The Washington Post. Segundo as publicações, oficiais do FBI de Pittsburgh, cidade próxima ao local da tentativa de assassinato, tentaram desbloquear o celular de Crooks usando uma ferramenta da Cellebrite atualmente disponível, mas não obtiveram sucesso.

Ferramentas atuais da Cellebrite não foram capazes de destravar aparelho (Imagem: Vitor Pádua / Tecnoblog)

O aparelho, então, foi enviado para o laboratório do FBI em Quantico, no estado da Virgínia. Agentes ligaram para o time federal da Cellebrite, que enviou um novo utilitário, ainda em desenvolvimento, e forneceu suporte técnico para ajudar na operação. Com isso, os oficiais conseguiram desbloquear o aparelho em 40 minutos.

Cellebrite não conseguia destravar smartphones recentes

A Cellebrite ganhou notoriedade em 2016, quando ajudou o FBI a desbloquear um iPhone 5c sem ajuda da Apple, após a empresa se recursar a criar um backdoor para os aparelhos. O celular pertencia ao autor de um atentado terrorista em San Bernardino, no estado da Califórnia.

Documentos internos da Cellebrite obtidos pelo site 404 Media indicam que as ferramentas da empresa têm limitações. Elas não foram capazes de desbloquear iPhones com iOS 17.4 ou versões mais recentes do sistema operacional, nem celulares Android como os Pixel 6, 7 e 8, desde que eles estivessem desligados. Estas informações vieram a público na quinta-feira (18).

Segundo a Bloomberg, o telefone de Crooks é um Samsung recente. A publicação não especificou qual seria o modelo em questão.

Com informações: 9to5Mac, The Verge
FBI levou 40 minutos para desbloquear celular de atirador de Trump

FBI levou 40 minutos para desbloquear celular de atirador de Trump
Fonte: Tecnoblog

Clínicas brasileiras sofrem vazamento de fotos de pacientes nus

26 de abril de 2024

Clínicas brasileiras sofrem vazamento de fotos de pacientes nus

Médico considerou valor do resgate “impraticável” (Imagem: Hush Naidoo/Unsplash)

Um grupo de cibercriminosos identificado como Qiulong atacou clínicas médicas com ransomware. Os hackers publicaram imagens íntimas e dados financeiros dos pacientes de consultórios de cirurgia plástica do Rio Grande do Sul e do Paraná, além de prontuários médicos de pacientes de uma clínica de saúde sexual masculina em Minas Gerais.

O Qiulong diz ter 64 gigabytes de informações sensíveis, roubadas de quatro consultórios, com fotos nuas, dados pessoais e bancários, e comunicações entre médico e paciente. Na publicação na deep web, o grupo ameaça publicar os arquivos em locais mais acessíveis, como redes sociais.

“Dr. se você se importa com a privacidade dos seus pacientes, pare de dirigir seu Mustang como um negligente e deixe de ficar em silêncio”, diz a mensagem dos criminosos. Eles também entraram em contato por meio de contas falsas no Instagram e e-mails com hospedagem fora do Brasil.

O vazamento foi descoberto pela empresa de cibersegurança ISH, que diz não ter mais informações sobre o grupo Qiulong até o momento, já que ele foi identificado recentemente.

Grupo Qiulong, responsável pelo ataque, foi identificado recentemente (Imagem: Vitor Pádua/Tecnoblog)

A defesa de um dos médicos que sofreu o ataque falou com a reportagem da Folha de S.Paulo e confirmou que o consultório sofreu um ataque de ransomware em dezembro de 2023. O profissional de saúde não pagou o resgate porque o valor era “impraticável”.

Segundo a advogada, o cirurgião registrou boletim de ocorrência, além de ter procurado a Justiça e o Conselho Regional de Medicina (CRM). Ela informa que um processo criminal corre em segredo desde então. O médico, porém, diz que as fotos que viu não são de seus pacientes.

FBI alerta clínicas sobre riscos de cibersegurança

Casos como este vêm crescendo também no exterior. Em fevereiro de 2023, uma clínica de cirurgia plástica de Las Vegas (Estados Unidos) sofreu uma invasão digital. Tanto o consultório quanto as pacientes foram chantageadas. Uma das vítimas diz que os criminosos queriam US$ 800 para não publicar fotos em que ela aparecia nua.

O próprio FBI emitiu um alerta para que cirurgiões plásticos e clínicas desta especialidade se protejam de tentativas de roubo de dados e extorsão. Entre as recomendações, estão limitar as informações em redes sociais, fazer uma “limpa” em listas de amigos, usar senhas complexas e ativar a autenticação de dois fatores.

Com informações: Folha de S.Paulo
Clínicas brasileiras sofrem vazamento de fotos de pacientes nus

Clínicas brasileiras sofrem vazamento de fotos de pacientes nus
Fonte: Tecnoblog