Threat Spotlight: Os riscos empresariais do software pirata

Os funcionários que descarregam versões ilegais de software correm o risco de violações de dados e mais, pois a maioria vem carregada com malware.

Principais conclusões

• No último mês, o SOC da Barracuda detetou várias tentativas por parte dos utilizadores de descarregar software pirata/crackeado.
• Software ilícito acarreta risco de infeções por malware, roubo de credenciais, cryptominers, sequestro de sessão, comprometimento de software, ransomware e mais.
• Os sinais de alerta incluem arquivos executáveis inexplicáveis, arquivos ZIP da web guardados na pasta de Downloads e passos de activação manual.
• Software pirata ou crackeado não pode receber atualizações, por isso as lacunas de segurança permanecem.

No último mês, as ferramentas e analistas do SOC da Barracuda detetaram múltiplas instâncias de utilizadores a tentar descarregar e ativar versões pirateadas ou crackeadas de software e instaladores não autorizados em endpoints corporativos.

Software pirateado e crackeado estão tradicionalmente associados a jogos — jogadores à procura de atualizações gratuitas, melhorias ou hacks especiais. Software pirateado refere-se a programas que foram copiados ilegalmente, enquanto software crackeado refere-se a programas que foram modificados para contornar mecanismos de licenciamento ou proteção concebidos para prevenir a pirataria.

Ambos apresentam um risco significativo para o negócio. Os funcionários que procuram ferramentas gratuitas, não oficiais e não licenciadas para produtividade, facilidade de acesso ou poupança de custos podem, inadvertidamente, tornar-se o ponto de entrada para incidentes de segurança graves.

O risco de software desonesto

Software pirateado e crackeado é letal. Estudos mostram que até 80% ou mais desses programas contêm conteúdo malicioso. Para piorar a situação, o software não pode ser corrigido e atualizado como a versão legítima, deixando lacunas de segurança abertas.

Quando os funcionários conseguem instalar software pirateado nos terminais corporativos, podem expor a organização a infeções de malware, roubo de credenciais, mineradores de criptomoedas, sequestro de sessões, comprometimento de software, ransomware, e mais.

Como detetar downloads de software pirateado

O SOC detetou vários ficheiros executáveis suspeitos a aparecer em locais onde os utilizadores podem adicionar conteúdo, como as pastas 'Transferências'. Os dados também mostraram que os ficheiros estavam a ser lançados manualmente logo após a atividade do navegador, como a partir do Chrome ou do Microsoft Edge, e frequentemente através do explorer.exe.

Estes são todos marcadores conhecidos de alguém a tentar instalar software pirateado. Todas as instâncias foram neutralizadas pelo SOC antes de poderem estabelecer persistência.

Não existe tal coisa como um download de executável inofensivo

A deteção de novos ou inesperados ficheiros executáveis — ou binários — invariavelmente significa problemas. A própria análise da Barracuda encontrou que 87% dos ficheiros executáveis entregues por e-mail eram maliciosos.

Os dados mais recentes do SOC destacam deteções repetidas de três tipos de ficheiros executáveis: activate.exe, activate.x86.exe e activate.x64.exe.

Estes nomes de ficheiros são genéricos. Foram deliberadamente escolhidos para soar legítimos e parecerem reconfortantes e rotineiros. São frequentemente utilizados em pacotes de software pirateados/crackeados, anexos de phishing, instaladores de software falsos e mais.

Na maioria dos casos maliciosos, o ‘activate.exe’ não ativa realmente nada. Em vez disso, carrega malware, droppers que podem instalar malware adicional ou atua como um invólucro para lançar cargas ocultas.

As versões x86 e x64 dos ficheiros activate.exe ajudam a garantir a execução bem-sucedida em diferentes sistemas Windows.

Esses nomes de ficheiros são frequentemente vistos em versões pirateadas do Microsoft, Adobe e outras ferramentas de trabalho.

A bandeira vermelha do comportamento do utilizador

Software pirateado/com cracks requer interação manual para instalar e ativar o programa — e, por extensão, a carga maliciosa. Esta é uma boa notícia para os defensores porque, num ambiente computacional cada vez mais automatizado, qualquer sinal de atividade manual relacionada com o download de software é um poderoso indicador de software ilegal.

Sinais de rede que indicam o download intencional de um ficheiro suspeito:

• O ficheiro recebido veio de um cliente de torrent (streaming), como o BitTorrent.
• Os ficheiros de entrada vieram de um site conhecido de 'download gratuito' ou de crack.
• O ficheiro de entrada veio de um site de partilha de ficheiros que pode hospedar ficheiros grandes e comprimidos em ZIP, RAR ou 7z.
• Os ficheiros foram descarregados em pacotes.
• Os ficheiros foram descarregados como ficheiros ZIP/RAR protegidos por palavra-passe.

Os fornecedores legítimos de software não distribuem software ou as suas ferramentas de ativação desta forma.

Comportamentos dos utilizadores que sugerem a instalação e ativação de ficheiros suspeitos:

• Extração manual de um arquivo utilizando o Windows Explorer, WinRAR ou 7-Zip
• A criar ou adicionar conteúdo às pastas Downloads ou Documentos\Software
• Abrir ficheiros um por um em vez de tudo correr automaticamente
• Clicar em sim nos prompts ou executar ficheiros manualmente

Software pirateado/crackeado geralmente requer atividade manual passo a passo.

As equipas de segurança de TI também podem detectar tentativas de bloquear verificações de licença.

Em resumo, se a equipa de segurança de TI detetar o ficheiro activate.exe junto com downloads manuais, pastas de crack extraídas, ficheiros de instruções, aprovação de administrador e alterações de bypass de licença, é muito provável que o utilizador tenha tentado intencionalmente instalar software pirata/crackeado.

O que fazer se detetar software pirateado/crackeado

Como limpar a rede de software ilegal malicioso:

• Remova o software pirateado/crackeado e os ficheiros do ativador. Elimine o instalador, crack, keygen e as pastas extraídas.
• Desinstale a aplicação afetada e, se necessário, reinstale-a a partir de uma fonte aprovada e licenciada.
• Execute uma análise completa de malware — o software pirateado muitas vezes inclui extras indesejados, como programas de roubo de informações, mesmo que a intenção inicial fosse a pirataria.
• Anular alterações à contornar licenciamento.
• Reimagine ou reconstrua o dispositivo se alguma das seguintes condições for verdadeira:
• Antivírus ou deteção e resposta em endpoint (EDR) sinalizou malware adicional.
• Ficheiros do sistema ou binários principais da aplicação foram substituídos.
• Não consegue desfazer com confiança todas as alterações feitas pela brecha.
• O utilizador desativou os controlos de segurança (antivírus, EDR, firewall).

Conclusão

Para proteger tanto os funcionários como os ativos dos danos que o software pirateado/crackeado pode causar, as organizações podem tomar as seguintes medidas:

• Implemente medidas de proteção de endpoint para bloquear automaticamente executáveis desconhecidos ou não autorizados em tempo real, mesmo quando são lançados manualmente.
• Restringir os direitos de administrador local e exigir aprovação para todas as instalações de software.
• Implemente o controlo de aplicações para permitir que apenas o software aprovado seja executado nos dispositivos corporativos.
• Monitorize o aparecimento de ficheiros executáveis em pastas nas quais os utilizadores podem guardar conteúdo, como as pastas Downloads e Temp.
• Combine controlos técnicos com políticas de uso aceitável claras e formação de sensibilização sobre segurança para reduzir comportamentos de alto risco.