O MySQL.com foi Hackeado: Atacantes Usam o BlackHole Exploit Kit para Espalhar Malware

Criminosos cibernéticos estão desafiando a credibilidade de um software de código aberto amplamente utilizado e um pilar da indústria, o MySQL.com, ao invadir seu site pela segunda vez em seis meses.

Uma venda relâmpago no mercado negro vendeu direitos administrativos do site MySQL.com para hackers por apenas US$ 3.000. O ataque redirecionou o site MySQL.com, de alto tráfego, para um domínio malicioso que hospedava um Trojan downloader (mwjs159) que explorava uma vulnerabilidade de navegador BlackHole . Trojans downloaders só precisam de uma visita ao local onde estão hospedados para baixar e instalar seu programa malicioso.

O kit de exploração Black Hole é baseado em um backend PHP e MySQL e tem como alvo sistemas Windows. Explorando navegadores e plugins como Adobe Flash e Java, o kit permite que os criadores de malware escolham uma interface de linguagem e usem algoritmos personalizados para alterar o arquivo de payload e os parâmetros, burlando os programas antivírus. O kit também utiliza o Java OBE (Open Business Engine) para disseminar exploits e carregar o executável malicioso no computador da vítima. Quando um usuário clica no iframe, ele é redirecionado para baixar um arquivo JAR com um parâmetro de URL que pode ser vinculado a um parâmetro HTTP GET, usado para baixar outros arquivos maliciosos. Este kit é bastante perigoso e sofisticado, sendo geralmente alugado em vez de vendido.

O Trojan mwjs159 se propaga quando o computador infectado acessa clientes FTP restritos (usando o parâmetro HTTP GET) e pode causar outras ameaças comuns, como estas:

• Roube dados vitais armazenados em um PC e comunique-se com um hacker.
• Coletar endereços de e-mail associados a contas de e-mail e comunicá-los a um hacker.
• Permitir que um hacker modifique um malware para neutralizar os esforços de combate da comunidade de segurança da Internet.
• Permitir que o hacker tenha controle administrativo secreto do computador infectado para que ele possa distribuir um ataque de DNS ou lançar uma campanha de spam em massa por e-mail.

Considerando que a comunidade MySQL é composta principalmente por desenvolvedores e aspirantes a programadores (ou melhor, entusiastas), poderíamos supor que o risco é mínimo, isso se acreditarmos que todos os profissionais de tecnologia praticam o que pregam. Mas há mais em jogo aqui: a reputação do Javascript, do MySQL e da sua proprietária, a Oracle Corp.

Embora o software de código aberto seja gratuito, se for constantemente comprometido, os usuários serão forçados a avaliar o custo oculto dos malwares que ele também traz. Além disso, os desenvolvedores que dependem de softwares de código aberto populares precisam considerar a segurança dos clientes e das redes que utilizam aplicações baseadas em Javascript ou MySQL.

No início deste ano, o presidente Obama teria citado US$ 8 bilhões como o valor roubado de residências americanas por cibercriminosos em um período de dois anos. Se isso for verdade, os lucros do cibercrime podem ter superado os do tráfico de drogas. Essa ganância está alimentando os cibercriminosos, que estudam minuciosamente o comportamento humano e buscam falhas em softwares e hardwares para explorar. Esse esforço excessivo mantém a comunidade de segurança da internet em constante alerta e exige o trabalho conjunto de máquinas e usuários para combater esse problema persistente.

Portanto, a verdadeira segurança exige que os usuários de PC instalem proteção antimalware discreta e adotem hábitos seguros na internet. Igualmente importante é a necessidade de que desenvolvedores de software e empresas sejam rápidos em corrigir ou atualizar vulnerabilidades que permitam explorações como a utilizada no ataque ao MySQL.com.