Ataques à cadeia de abastecimento

Os ataques às cadeias de abastecimento são uma ameaça emergente que visa programadores e fornecedores de software. O objetivo é aceder a códigos de origem, processos de compilação ou mecanismos de atualização ao infetar aplicações legítimas para distribuir software maligno.

Como funcionam os ataques da cadeia de fornecimento

Os atacantes procuram protocolos de rede não seguros, infraestruturas de servidor desprotegidas e práticas de codificação não seguras. Invadem sistemas, alteram os códigos-fonte e ocultam malware nos processos de compilação e atualização.

Uma vez que o software é criado e lançado por fornecedores fidedignos, estas aplicações e atualizações são assinadas e certificadas. Nos ataques da cadeia de fornecimento de software, é provável que os fornecedores não tenham conhecimento de que as suas aplicações ou atualizações estão infetadas com código malicioso quando são lançadas para o público. Em seguida, o código malicioso é executado com a mesma confiança e permissões que a aplicação.

O número de potenciais vítimas é significativo, dada a popularidade de algumas aplicações. Ocorreu um caso em que uma aplicação de compressão de ficheiros gratuita foi envenenada e implementada para clientes num país/região onde era a aplicação utilitária de topo.

Tipos de ataques da cadeia de fornecimento

• Ferramentas de construção de software comprometidas ou infraestrutura de atualização

• Certificados de assinatura de código roubados ou aplicações maliciosas assinadas com a identidade da empresa de desenvolvimento

• Código especializado comprometido incorporado em componentes de hardware ou de firmware

• Software maligno pré-instalado em dispositivos (câmaras, USB, telemóveis, etc.)

Para saber mais sobre os ataques da cadeia de fornecimento, leia esta publicação de blogue denominada início do ataque: a cadeia de fornecimento comprometida numa cadeia de fornecimento representa novos riscos.

Como proteger contra ataques da cadeia de fornecimento

• Implemente políticas de integridade de código fortes para permitir a execução apenas de aplicações autorizadas.

• Use soluções de deteção e resposta em endpoints que possam detetar e corrigir automaticamente atividades suspeitas.

Para fornecedores e programadores de software

• Manter uma infraestrutura de atualização e de construção altamente segura.

  • Aplique imediatamente patches de segurança para SO e software.
  • Implemente controlos de integridade obrigatórios para garantir que apenas as ferramentas fidedignas são executadas.
  • Exigir autenticação multifator para administradores.

• Crie atualizadores de software seguros como parte do ciclo de vida de desenvolvimento de software.

  • Exigir TLS para os canais de atualização e implementar a fixação de certificados.
  • Assine tudo, incluindo ficheiros de configuração, scripts, ficheiros XML e pacotes.
  • Procure assinaturas digitais e não permita que o atualizador de software aceite entradas e comandos genéricos.

• Desenvolver um processo de resposta a incidentes para ataques da cadeia de fornecimento.

  • Divulgar incidentes da cadeia de fornecimento e notificar os clientes com informações precisas e oportunas

Para obter sugestões mais gerais sobre como proteger os seus sistemas e dispositivos, veja Prevenir a infeção por software maligno.