Objetivos
O projeto pretende facilitar a adoção generalizada de soluções de cibersegurança inovadoras e eficazes, visando especificamente os principais desafios na prevenção de ataques de phishing, através dos seguintes objetivos.
- Analisar o panorama atual das soluções de proteção contra phishing, identificar tendências e barreiras à sua adoção em larga escala, definir casos de uso, conceber a arquitetura da plataforma e delinear os componentes necessários e as respetivas interfaces de utilizador (WP2).1
- Desenvolver o componente de Recolha de Dados para reunir e integrar diversos dados relacionados com phishing, implementar o formato MISP e disponibilizar um conjunto de ferramentas unificado para a gestão de conjuntos de dados estruturados e pesquisáveis. Isto incluirá uma interface gráfica e uma API RESTful (WP3).2
- Construir o componente de Deteção e Análise para identificar, analisar e rastrear tentativas de phishing (WP4).3
- Criar o serviço de Mitigação e Notificação para combater os efeitos do phishing (WP5).4
- Integrar todos os componentes numa plataforma unificada, implementá-la em locais de teste, realizar ensaios com utilizadores e oferecer apoio à sensibilização e formação (WP6).5
A plataforma ThreatChase será composta por três componentes principais: 1) Recolha de Dados, 2) Módulo de Análise e Deteção e 3) Serviço de Mitigação e Notificação. Estes serviços estarão acessíveis através de interfaces de utilizador e de programação.
Recolha de Dados
A Recolha de Dados tem como objetivo reunir sistematicamente URLs e nomes de domínio suspeitos de diversas fontes, incluindo feeds abertos, para apoiar a investigação de atividades de phishing, spam e distribuição de malware. Dado o vasto volume de dados envolvido, é crucial garantir que o processo de recolha seja rastreável e escalável.
Para o efeito, os dados recolhidos serão organizados em conjuntos de dados estruturados, agregados e pesquisáveis, utilizando o formato da Malware Information Sharing Platform (MISP). Reconhecendo que os atributos MISP padrão podem não abranger todos os pontos de dados necessários, alargaremos o formato com a introdução de novos atributos de metadados. Estes melhoramentos facilitarão a análise e atribuição abrangentes de eventos maliciosos, proporcionando informações valiosas aos utilizadores e administradores de recursos comprometidos ou abusados.
Além disso, para responder a cenários de ameaça complexos, desenvolveremos objetos MISP avançados. Estes objetos permitirão expressar relações complexas no âmbito da inteligência de ameaças, reforçando a capacidade da plataforma para modelar e partilhar informações de segurança detalhadas de forma eficaz.
Módulo de Análise e Deteção
O Módulo de Análise e Deteção da plataforma ThreatChase foi concebido para tirar partido de algoritmos avançados, como aprendizagem automática (ML) e aprendizagem profunda (DL), para identificar e categorizar eficazmente URLs e domínios de phishing, bem como os relacionados com a distribuição de malware. O processo de classificação, que responde ao desafio de distinguir entre sites fraudulentos e legítimos, recorrerá a algoritmos de aprendizagem automatizada e será rigorosamente testado com dados de referência validados.
Um foco essencial será a identificação de URLs maliciosos dissimulados, como pequenas variações em nomes de domínio que se assemelham a nomes legítimos (por exemplo, "G0ogle" em vez de "Google"). O sistema criará um conjunto de dados abrangente de domínios com base em URLs frequentemente pesquisados, serviços essenciais e infraestruturas críticas. Este conjunto de dados será continuamente atualizado com monitorização DNS ativa para detetar variações e anomalias.
Depois de identificados domínios suspeitos, será realizada uma análise de segundo nível para reduzir os falsos positivos. Esta análise envolverá medições passivas e ativas, como a validação da integridade dos URLs e a inspeção de assinaturas digitais, endereços IP, números de AS e outros metadados relevantes. Consoante os resultados desta análise, os domínios serão categorizados como:
- Registado Maliciosamente
- Legítimo Comprometido
- Legítimo
Cada categoria desencadeará ações de mitigação específicas, como o bloqueio do registo de domínios maliciosos ou o pedido às organizações de alojamento para removerem conteúdo prejudicial. Esta abordagem multicamada assegura uma deteção e análise abrangentes e adaptáveis de phishing e de outras ciberameaças.
Serviço de Mitigação e Notificação
O principal objetivo do Serviço de Mitigação e Notificação é combater proativamente os ataques de phishing e impedir a exploração de credenciais comprometidas. Este serviço baseia-se nas lições aprendidas com a aplicação Orange Plumber, que anteriormente se centrava na proteção de sistemas contra ciberataques que utilizavam credenciais divulgadas.
Tradicionalmente, os administradores só recebem alertas sobre ciberataques depois de estes ocorrerem, normalmente através de notificações de tentativas de início de sessão falhadas. Esta abordagem reativa deixa os sistemas vulneráveis a ataques. Em contrapartida, o Serviço de Mitigação e Notificação permite aos administradores prever e prevenir ciberataques, identificando credenciais comprometidas antes de serem exploradas.
O serviço monitoriza fugas de dados à escala global e identifica se endereços de e-mail corporativos ou pessoais apareceram nessas fugas, proporcionando avisos antecipados aos utilizadores. Ao subscreverem este serviço, as empresas, em particular as PME e outros clientes B2B, podem receber alertas caso os seus endereços de e-mail corporativos sejam detetados em bases de dados divulgadas. Isto permite uma ação rápida para mitigar o risco de acesso não autorizado e proteger as contas antes de serem comprometidas.
Além disso, os particulares podem subscrever notificações para monitorizar os seus endereços de e-mail pessoais em busca de indícios de fuga de credenciais. Se forem identificados endereços de e-mail comprometidos, o sistema notifica imediatamente os administradores de sistema competentes, permitindo-lhes tomar ações rápidas e predefinidas, como bloquear o acesso até as palavras-passe serem alteradas ou notificar diretamente os utilizadores finais.
O serviço funciona através da análise contínua de bases de dados publicamente disponíveis de credenciais divulgadas em ataques de phishing e outros ciberataques. Analisa os dados, verificando a existência de endereços de e-mail comprometidos e comparando-os com domínios conhecidos (por exemplo, domínios empresariais como "orange.com"). Os alertas são então enviados aos administradores para suscitar ações imediatas em conformidade com os procedimentos internos da empresa, como a reposição de palavras-passe ou a notificação dos utilizadores.
Para garantir a conformidade com o Regulamento Geral sobre a Proteção de Dados (RGPD), todos os endereços de e-mail são anonimizados no sistema, protegendo os dados pessoais dos utilizadores e continuando a fornecer alertas de segurança essenciais.
Interface de Utilizador e de Programação
A plataforma ThreatChase disponibiliza duas interfaces principais aos utilizadores:
Interface de Utilizador:
Os utilizadores podem verificar se um URL ou domínio é malicioso através de um sistema de classificação em tempo real. Podem também consultar as provas de abuso recolhidas, incluindo detalhes de registo de domínios, capturas de ecrã e informações de contacto dos intermediários relevantes (por exemplo, registadores de domínios ou fornecedores de alojamento). Além disso, os utilizadores podem submeter domínios para monitorizar máquinas comprometidas que se ligam a um domínio registado, desencadeando notificações aos fornecedores de serviços de Internet (ISP) para limpeza das máquinas dos utilizadores finais. Os particulares podem ainda verificar potenciais fugas dos seus dados pessoais ou credenciais.
Interface de Programação:
A plataforma disponibiliza também uma API RESTful para aplicações e ferramentas de segurança que pretendam integrar conjuntos de dados em formato MISP. Isto permite uma partilha de dados fluida e análises adicionais.
Além disso, a plataforma inclui uma interface dedicada para verificar se um endereço de e-mail apareceu em bases de dados divulgadas. As empresas podem também subscrever um serviço de alertas para serem notificadas caso os seus endereços de e-mail corporativos sejam encontrados nessas fugas.
Financiamento
O projeto, financiado pela União Europeia ao abrigo do Acordo de Subvenção n.º 101128042, é apoiado pelo Centro Europeu de Competências em Cibersegurança. Os pontos de vista e as opiniões expressos são da exclusiva responsabilidade dos autores e não refletem necessariamente os da União Europeia ou do Centro Europeu de Competências em Cibersegurança. Nem a União Europeia nem o Centro Europeu de Competências em Cibersegurança podem ser responsabilizados pelos mesmos.
Detalhes do projeto
- Número do projeto:101128042
- Convite:DIGITAL-ECCC-2022-CYBER-03
- Tópico:DIGITAL-ECCC-2022-CYBER-03-UPTAKE-CYBERSOLUTIONS
- Tipo de ação:DIGITAL JU — Ações de apoio às PME
- Data de início do projeto:1 de outubro de 2023
- Data de fim do projeto:30 de setembro de 2026
Contacto
- Parceiro coordenador: KOR Labs
- Email: contact@threatchase.eu
Comece a testar o ThreatChase
Estamos numa fase de testes aberta. Experimente a plataforma gratuitamente e explore inteligência de ameaças de phishing em tempo real, dados sobre URLs maliciosos e notificações de fuga de credenciais.
Experimentar a aplicação