Sobre analisadores de pacotes: definição, tipos e proteção

O que é um analisador de pacotes?

Um sniffer (farejador), ou analisador de pacotes, é um método de detecção e avaliação de pacotes de dados enviados por uma rede. Ele pode ser usado por administradores para monitoramento e segurança da rede. No entanto, as ferramentas de análise de pacotes também podem ser usadas por cibercriminosos para espionagem ou roubo de dados confidenciais.

Este artigo contém:

Este artigo contém:

Ver tudo Security articles

Este artigo contém:

O processo de sniffing, ou "farejamento" de pacotes, é realizado por meio da análise de pacotes de dados enviados pelo Protocolo de controle de transmissão/Protocolo de Internet (TCP/IP), protocolo que faz conexão de dispositivos a redes com ou sem fio. Esses pacotes de dados podem incluir diferentes tipos de tráfego enviados por uma rede, como informações de login e senhas, além de dados técnicos, como endereços IP.

Os profissionais de TI usam analisadores de pacote para solucionar problemas de rede, verificando se há pacotes de dados prejudiciais. Eles também obtêm insights sobre o uso da largura de banda – por exemplo, revelando quais aplicativos são os mais intensivos – para detectar problemas ocultos, que afetam o desempenho da rede.

Os administradores de rede também podem usar analisadores de pacotes para “farejar” sites que estão sendo visitados, o tipo de conteúdo sendo consumido e comunicações como e-mails.

O uso de analisadores de pacotes é legal?

A análise de pacotes é legal para fins de gerenciamento de rede, e quando usado somente na parte da rede pela qual a pessoa ou organização que executa a análise é responsável. A análise de pacotes é ilegal quando o acesso aos pacotes de dados não é autorizado. Cibercriminosos usam analisadores de pacotes para monitorar e roubar dados, o que também é um uso ilegal desses sniffers.

Como funciona o analisador de pacotes?

Os analisadores de pacotes podem ser uma peça de hardware ou software que funciona observando a movimentação de dados entre computadores em rede, e entre esses dispositivos e a Internet.

Normalmente, as redes enviam e recebem dados como pacotes – segmentos de informações divididas – para torná-los mais rápidos e fáceis de gerenciar. Em seguida, as informações são montadas novamente a partir dos pacotes após a conclusão da transferência.

Os dispositivos conectados a um hub de rede específico observam todos os pacotes de dados que passam pela rede, e simplesmente desconsideram os pacotes que não são designados a esse destino. Um analisador de pacotes não é configurado da mesma forma e, em vez disso, pode receber todos os pacotes.

Algumas redes maiores são “comutadas”, ou seja, usam um comutador de rede para encaminhar dados específicos somente para o dispositivo designado, e não para todos os dispositivos da rede. A análise de pacotes em uma rede comutada requer protocolos adicionais para garantir que o sniffer possa ser monitorado.

Existem dois tipos principais de análise de pacotes em segurança cibernética:

• A análise de pacotes por hardware usa um dispositivo físico que se conecta diretamente a uma interface de rede, ou seja, o ponto de conexão entre o computador e uma rede. Esse método é o favorito dos especialistas em TI que desejam acessar partes específicas de uma rede.

• A análise de pacotes por software usa um programa para capturar todo o tráfego enviado pela rede. Esse tipo é muito mais popular atualmente do que o sniffer por hardware.

Os usuários também podem decidir se desejam que todos os pacotes de dados sejam capturados e analisados posteriormente (conhecido como analisador de pacotes não filtrados), ou se desejam capturar apenas os pacotes de dados que atendam a critérios específicos (conhecido como analisador de pacotes filtrados).

O que é um ataque de sniffer?

Um ataque de sniffer é quando um cibercriminoso usa um analisador de pacotes para capturar e acessar pacotes de dados confidenciais e não criptografados para fins maliciosos. Esse tipo de dados pode incluir tanto dados pessoais (nome, endereço, número de telefone) quanto informações financeiras (dados bancários e credenciais de acesso).

Sem ferramentas robustas de segurança cibernética, o farejador de pacotes malicioso pode ser usado para executar outros ataques, como ARP ou spoofing de DNS, ou inserir código malicioso em pacotes de dados por meio da injeção de SQL. Se você acidentalmente baixar um arquivo infectado da Internet ou abrir um anexo corrompido com malware, um analisador de pacotes poderá ser instalado em seu dispositivo.

Como funciona um ataque de farejamento de pacotes?

Um ataque de farejamento de pacotes é realizado por um cibercriminoso que usa um sniffer para capturar maliciosamente e ler os dados que fluem pela rede. Os pacotes de dados direcionados geralmente incluem informações de conta, informações pessoais ou mensagens privadas.

Os ataques de sniffer são ativos ou passivos:

• Análise passiva: Quando vários dispositivos estão conectados à sua rede local (LAN) ou rede sem fio, um cibercriminoso também pode se conectar e monitorar passivamente o tráfego que passa por esse hub. Esse tipo de analisador de pacotes pode ser muito difícil de detectar – pense nele como uma espionagem secreta ou uma escuta telefônica.

• Análise ativa: Esse método é usado em redes comutadas, onde somente o destino do pacote pode receber os dados. Os cibercriminosos precisam contornar isso adicionando tráfego à rede.

Os analisadores de pacotes coletam secretamente os dados que trafegam entre os dispositivos de rede e a Internet.

Por que os cibercriminosos usam sniffers?

Os cibercriminosos usam ataques de sniffers por vários motivos, como gravar as atividades online, ler e-mails e visualizar senhas e informações bancárias de suas vítimas. Analisadores de pacotes permitem que um invasor espione determinada pessoa ou organização, obtendo informações valiosas sobre qualquer aspecto de sua vida que seja gerenciado ou compartilhado na Internet.

Além de ser uma violação de privacidade, as informações que um cibercriminoso pode obter com o farejamento de pacotes podem ser usadas para realizar outros ataques, inclusive:

• Infectar uma rede com vírus ou malware

• Sequestrar arquivos importantes usando um ransomware

• Acessar contas para roubar dinheiro e assinaturas de serviços

• Usar informações para ajudar em um ataque a uma organização

Tipos de ataques de sniffer

Aqui estão alguns dos diferentes tipos de métodos e técnicas de análise de pacotes que os cibercriminosos utilizam:

Analisador de pacotes por Wi-Fi

Você já precisou se conectar a uma rede Wi-Fi pública gratuita em uma cafeteria, estação de trem ou centro da cidade enquanto viajava? Os cibercriminosos podem implantar um analisador de Wi-Fi em uma rede não segura para monitorar os dados que passam por ela, tornando qualquer dispositivo conectado a esta rede mais vulnerável a olhares curiosos.

Analisadores de pacotes são apenas um dos motivos para evitar o acesso a redes Wi-Fi desprotegidas sem o uso de uma VPN. O Avast SecureLine VPN criptografa seus dados na Internet, ajudando a proteger seu endereço IP e tráfego de rede pessoal contra sniffers.

Analisador de histórico do navegador

Seu navegador da Internet pode armazenar determinadas informações, como dados de formulários salvos ou credenciais de acesso. Embora isso possa ser conveniente para fazer login em seus sites favoritos, os cibercriminosos podem tirar proveito da situação usando um analisador de pacotes. E o Google salva alguns dados de navegação, mesmo depois que você exclui os cookies e o histórico do navegador.

Analisadores de JavaScript

Em um ataque de sniffer de JavaScript, um script malicioso pode ser inserido em um site para coletar suas informações privadas quando você as insere em um site ou em um formulário online. Esse código pode ser usado para interceptar números de telefone, endereços de e-mail, informações bancárias, senhas e muito mais.

Sequestro de sessão

Também conhecido como sequestro de sessão TCP, esse método de análise de pacotes permite que um cibercriminoso obtenha seu ID de sessão, um número individual que um servidor fornece para cada usuário ao visitar um site durante uma sessão online. Ao sequestrar uma ID de sessão legítima, um cibercriminoso pode concluir uma atividade “autorizada” na rede para fins nefastos.

Analisador de pacotes de senhas

A análise de senhas é usada para coletar pacotes de dados não criptografados que contêm informações de senhas. Esse é um tipo de ataque man-in-the-middle em que o cibercriminoso rouba os dados à medida que eles se movimentam entre o dispositivo e seu destino.

Envenenamento do sistema de nomes de domínio (DNS)

O envenenamento de DNS, uma forma sofisticada e em grande escala de pharming, pode permitir que os cibercriminosos redirecionem o tráfego da Internet de um site legítimo para um site falso convincente. Como esses sites são muito semelhantes, os usuários podem ser facilmente induzidos a inserir credenciais de acesso, como fariam normalmente no site real.

Farejamento do protocolo de resolução de endereços (ARP)

O protocolo de resolução de endereços (ARP) normalmente funciona alterando os endereços entre várias redes. Isso inclui a transformação de um endereço IP (seu endereço de Internet, que pode ser identificado globalmente) em um endereço de controle de acesso à mídia (MAC), o endereço exclusivo do dispositivo que você está usando.

Também conhecido como spoofing de ARP, envenenamento de cache por ARP e roteamento de veneno de ARP, o sniffer de ARP permite que cibercriminosos interceptem pacotes de dados e enviem mensagens falsas em sua rede, redirecionando o tráfego de seu endereço IP para o deles. Ele é geralmente combinado com outros ataques, como ataques man-in-the-middle ou ataques de sequestro de sessão.

Sniffer de detecção de protocolo de configuração dinâmica de host (DHCP)

O protocolo de configuração dinâmica de host (DHCP) atribui um endereço IP a um dispositivo que se conecta a uma rede. Durante um ataque de análise de pacotes DHCP, ou ataque de espionagem DHCP, cibercriminosos configuram seu próprio servidor DHCP, inundando o servidor real com várias solicitações de endereços IP até que ele não possa mais distribuir nada. O DHCP dos bandidos assume seu lugar, permitindo que os analisadores de pacotes monitorem os dados que fluem pela rede.

Todo tipo de analisador de pacotes coleta pacotes de dados que trafegam em uma rede.

Exemplos de ataques de sniffers

• Violação de dados Heartland Payment Systems (2009)

  Uma empresa de processamento de pagamentos dos EUA, a Heartland Payment Systems, foi atacada por um malware que permitiu que as informações financeiras confidenciais de seus clientes fossem interceptadas à medida que os dados cruzavam a rede. A violação custou US$ 12,6 milhões à empresa.

• Flame (2012)

  O Flame é um tipo sofisticado de malware que inclui um sniffer. O analisador de pacotes coletou grandes quantidades de dados confidenciais, incluindo capturas de tela e arquivos de áudio de países do Oriente Médio. Acredita-se que o Flame seja uma forma de espionagem patrocinada pelo estado ou de guerra cibernética, embora sua origem exata continue desconhecida.

• Ataque APT28 a hóspedes de hotéis (2017)

  Um grupo de cibercriminosos russos conhecido como APT28, ou “Fancy Bear”, usou um sniffer de Wi-Fi para roubar nomes de usuário, senhas e outros dados de hóspedes de hotéis na Europa e no Oriente Médio. O ataque também usou malwares e o EternalBlue, que explorou vulnerabilidades no Windows.

  Mais recentemente, em 2021, descobriu-se que o APT28 também disseminava malwares por meio de vulnerabilidades não corrigidas em roteadores Cisco.

• BIOPASS RAT (2021)

  Isso começou como um ataque watering hole (no qual sites visitados com frequência são comprometidos) em empresas chinesas de jogos de azar online. Usando técnicas de engenharia social, os cibercriminosos enganaram os usuários do site para que fizessem o download de um software que continha a ferramenta de software Cobalt Blue, ou BIOPASS RAT, um cavalo de Troia de acesso remoto. O software infectado permitia que os cibercriminosos capturassem dados de suas vítimas usando o Open Broadcaster Software (OBS) Studio, um aplicativo de vídeo e transmissão ao vivo.

Qual é a melhor defesa contra analisadores de pacotes?

Aqui estão algumas formas que podem ajudar a proteger sua rede contra analisadores de pacotes indesejados:

• Mantenha os softwares atualizados. Atualize regularmente seu software e sistemas operacionais para corrigir vulnerabilidades e evitar que sejam exploradas por diferentes tipos de cibercriminosos.

• Implemente camadas adicionais de seguraça. Crie senhas fortes e ative ferramentas de autenticação adicionais, como a autenticação de dois fatores, para obter camadas de proteção adicionais.

• Tenha cuidado ao abrir e-mails de endereços desconhecidos. Não clique em anexos ou links estranhos, pois eles podem fazer parte de uma campanha de phishing que leva a um ataque de farejamento de pacotes.

• Conecte-se à Internet com uma VPN. O uso de uma rede privada virtual (VPN) durante a navegação na Web envia seus dados por meio de um túnel criptografado, protegendo suas atividades online. Isso é particularmente importante ao acessar uma rede Wi-Fi pública, que geralmente tem proteções mais fracas que podem aumentar o risco de um ataque de sniffer.

• Visite apenas sites seguros. Verifique se os sites que você visita estão protegidos com o protocolo HTTPS, pois o protocolo HTTP oferece menor proteção. Hoje em dia, a maioria dos navegadores indica sites não seguros na barra de endereços antes que você os acesse.

Proteja sua rede com o Avast SecureLine VPN

Ajude a proteger sua rede contra analisadores de pacotes e proteja suas informações pessoais com o Avast SecureLine VPN. Criado com base no OpenVPN e no OpenSSL, os protocolos de proteção de privacidade mais confiáveis do mercado, seus dados são protegidos contra terceiros indesejados que tentam coletar suas inforções. Experimente o Avast SecureLine VPN hoje mesmo e mantenha a privacidade de suas conexões de rede e dados pessoais.