Criptovirologia refere-se ao estudo do uso da criptografia em malware, como ransomware e backdoors assimétricos. Tradicionalmente, a criptografia e suas aplicações são de natureza defensiva, e fornecem privacidade, autenticação e segurança aos usuários. A criptovirologia emprega uma reviravolta na criptografia, mostrando que ela também pode ser usada ofensivamente. Ela pode ser usada para montar ataques baseados em extorsão que causam perda de acesso à informação, perda de confidencialidade e vazamento de informação, tarefas que a criptografia tipicamente previne.
O campo nasceu com a observação de que a criptografia de chave pública pode ser usada para quebrar a simetria entre o que um analista de antivírus vê em relação ao malware e o que o atacante vê. O analista de antivírus vê uma chave pública contida no malware, enquanto o atacante vê a chave pública contida no malware, bem como a chave privada correspondente (fora do malware), já que o atacante criou o par de chaves para o ataque. A chave pública permite que o malware execute operações de armadilha de mão única no computador da vítima que só o atacante pode reverter.
Visão geral O campo abrange ataques de malware furtivos nos quais o atacante seguramente rouba informação privada, como chaves simétricas, chaves privadas, estado de PRNG, e os dados da vítima. Exemplos de tais ataques furtivos são backdoors assimétricos. Um backdoor assimétrico é um backdoor (por exemplo, em um criptossistema) que pode ser usado apenas pelo atacante, mesmo depois de ser encontrado. Isso contrasta com o backdoor tradicional que é simétrico, ou seja, qualquer um que o encontre pode usá-lo. A , um subcampo da criptovirologia, é o estudo de backdoors assimétricos em algoritmos de geração de chave, algoritmos de assinatura digital, trocas de chaves, geradores de números pseudoaleatórios, algoritmos de criptografia, e outros algoritmos criptográficos. O gerador de bits aleatórios do NIST tem um backdoor assimétrico. O algoritmo EC-DRBG utiliza o cleptograma de logaritmo discreto da cleptografia, o que por definição torna o EC-DRBG um criptotrojan. Assim como o ransomware, o criptotrojan EC-DRBG contém e usa a chave pública do atacante para atacar o sistema hospedeiro. O criptógrafo indicou que a NSA orquestrou efetivamente um ataque cleptográfico contra usuários do algoritmo de geração de números pseudoaleatórios Dual EC DRBG e que, embora profissionais de segurança e desenvolvedores tenham testado e implementado ataques cleptográficos desde 1996, "seria difícil encontrar um em uso real até agora." Devido à indignação pública sobre este ataque de criptovirologia, o NIST rescindiu o algoritmo EC-DRBG da norma NIST SP 800-90.
Os ataques furtivos de vazamento de informação realizados por criptovírus, criptotrojans e criptoworms que, por definição, contêm e usam a chave pública do atacante, são um tema principal na criptovirologia. No "roubo negável de senha", um criptovírus instala um criptotrojan que criptografa assimetricamente dados do hospedeiro e os transmite furtivamente. Isso os torna disponíveis para todos, perceptível por ninguém (exceto o atacante), e só pode ser decifrado pelo atacante. Um atacante pego instalando o criptotrojan alega ser uma vítima de vírus. Um atacante observado recebendo a transmissão assimétrica furtiva é um dos milhares, senão milhões de receptores, e não exibe nenhuma informação de identificação. O ataque de criptovirologia alcança a "negabilidade de ponta a ponta". É uma transmissão assimétrica furtiva dos dados da vítima. A criptovirologia também abrange o uso de recuperação de informação privada (PIR) para permitir que criptovírus procurem e roubem dados do hospedeiro sem revelar os dados procurados, mesmo quando o criptotrojan está sob vigilância constante. Por definição, tal criptovírus carrega dentro de sua própria sequência de codificação a consulta do atacante e a lógica PIR necessária para aplicar a consulta aos sistemas hospedeiros.
História O primeiro ataque de criptovirologia e discussão do conceito foi por Adam L. Young e , na época chamado de "extorsão criptoviral", e foi apresentado na conferência IEEE Security & Privacy de 1996. Neste ataque, um criptovírus, criptoworm ou criptotrojan contém a chave pública do atacante e os arquivos da vítima. O malware solicita que o usuário envie o assimétrico ao atacante, que o decifrará e retornará a chave de decriptografia simétrica que ele contém por uma taxa. A vítima precisa da chave simétrica para decifrar os arquivos criptografados se não houver como recuperar os arquivos originais (por exemplo, de backups). O artigo da IEEE de 1996 previu que os atacantes de extorsão criptoviral um dia exigiriam dinheiro eletrônico, muito antes de o Bitcoin sequer existir. Muitos anos depois, a mídia rotulou novamente a extorsão criptoviral como ransomware. Em 2016, os ataques de criptovirologia contra prestadores de serviços de saúde atingiram níveis epidêmicos, levando o Departamento de Saúde e Serviços Humanos dos EUA a emitir uma Ficha de Fatos sobre Ransomware e a . A ficha de fatos afirma que quando a informação eletrônica de saúde protegida é criptografada por ransomware, ocorreu uma violação, e o ataque, portanto, constitui uma divulgação que não é permitida sob a HIPAA, sendo a justificativa que um adversário assumiu o controle da informação. Dados sensíveis podem nunca deixar a organização da vítima, mas a invasão pode ter permitido que dados fossem enviados sem serem detectados. A Califórnia promulgou uma lei que define a introdução de ransomware em um sistema de computador com a intenção de extorsão como sendo contra a lei.SB-1137 que altera a Seção 523 do Código Penal.
Exemplos Vírus Tremor Embora vírus na natureza tenham usado criptografia no passado, o único propósito de tal uso de criptografia era evitar a detecção por software antivírus. Por exemplo, o vírus Tremor usou polimorfismo como uma técnica defensiva em uma tentativa de evitar a detecção por software antivírus. Embora a criptografia ajude em tais casos a aumentar a longevidade de um vírus, as capacidades da criptografia não são usadas na carga útil. O vírus One-half foi um dos primeiros vírus conhecidos por ter criptografado arquivos afetados.
Vírus Tro_Ransom.A Um exemplo de vírus que informa o proprietário da máquina infectada a pagar um resgate é o vírus apelidado de Tro_Ransom.A. Este vírus pede ao proprietário da máquina infectada que envie $10.99 para uma conta dada através da Western Union. Virus.Win32.Gpcode.ag é um criptovírus clássico. Este vírus usa parcialmente uma versão do RSA de 660 bits e criptografa arquivos com muitas extensões diferentes. Ele instrui o proprietário da máquina a enviar um e-mail para um ID de e-mail dado se o proprietário desejar o decifrador. Se contatado por e-mail, será solicitado ao usuário que pague uma certa quantia como resgate em troca do decifrador.
CAPI Foi demonstrado que usando apenas 8 chamadas diferentes para a Cryptographic API (CAPI) da Microsoft, um criptovírus pode satisfazer todas as suas necessidades de criptografia.
Outros usos de malware habilitado por criptografia Além da extorsão criptoviral, existem outros usos potenciais de criptovírus, como roubo negável de senha, criptocontadores, recuperação de informação privada (PIR), e em comunicação segura entre diferentes instâncias de um criptovírus distribuído.
Ver também Malware Referências