# Criptovirologia

Criptovirologia refere-se ao estudo do uso de criptografia em malware, como backdoors assimétricos e ransomware. Tradicionalmente, a criptografia e suas aplicações são de natureza defensiva e fornecem privacidade, autenticação e segurança aos usuários. A criptovirologia emprega uma variação na criptografia, mostrando que ela também pode ser usada de forma ofensiva. Ele pode ser usado para montar ataques baseados em extorsão que causam perda de acesso a informações, perda de confidencialidade e vazamento de informações, tarefas que a criptografia normalmente evita.
O campo nasceu com a observação de que a criptografia de chave pública pode ser usada para quebrar a simetria entre o que um analista de antivírus vê em relação ao malware e o que o invasor vê. O analista de antivírus vê uma chave pública contida no malware, enquanto o invasor vê a chave pública contida no malware, bem como a chave privada correspondente (fora do malware), já que o invasor criou o par de chaves para o ataque. A chave pública permite que o malware execute operações alçapão unilaterais no computador da vítima que apenas o invasor pode desfazer.

## Visão geral

O campo abrange ataques secretos de malware nos quais o invasor seguramente rouba informações privadas, como chaves simétricas, chaves privadas, estado do P.R.N.G. e dados da vítima. Exemplos de tais ataques secretos são portas dos fundos assimétricas. Uma porta dos fundos assimétrica é uma porta dos fundos (em um sistema criptográfico, por exemplo) que pode ser usada apenas pelo invasor, mesmo depois de ser encontrada. Isso contrasta com a porta dos fundos tradicional que é simétrica, ou seja, qualquer pessoa que a encontre pode usá-la. A cleptografia [en], um subcampo da criptovirologia, é o estudo de backdoors assimétricos em algoritmos de geração de chaves, algoritmos de assinatura digital, trocas de chaves, geradores de números pseudoaleatórios, algoritmos de criptografia e outros algoritmos criptográficos. O gerador de bits aleatórios "Dual E.C. D.R.B.G." [en] do N.I.S.T. possui uma porta dos fundos assimétrica. O algoritmo do E.C.-D.R.B.G. utiliza o cleptograma de logaritmo discreto da cleptografia, que, por definição, torna o E.C.-D.R.B.G. um cavalo de Tróia criptográfico. Como o ransomware, o cavalo de Tróia criptográfico do E.C.-D.R.B.G. contém e usa a chave pública do invasor para atacar o sistema hospedeiro. O criptógrafo Ari Juels indicou que a N.S.A.orquestrou efetivamente um ataque cleptográfico aos usuários do algoritmo de geração de número pseudoaleatório Dual E.C. D.R.B.G. e que, embora profissionais de segurança e desenvolvedores tenham testado e implementado ataques cleptográficos desde 1996, "você teria dificuldade em encontrar um em uso real até agora." Devido ao clamor público sobre este ataque de criptovirologia, o N.I.S.T. rescindiu o algoritmo do E.C.-D.R.B.G. do padrão NIST SP 800-90.
Ataques secretos de vazamento de informações realizados por criptovírus, criptotrojans e criptoworms que, por definição, contêm e usam a chave pública do invasor são um tema importante na criptovirologia. Na "captura de senha negável", um criptovírus instala um criptotrojan que criptografa assimetricamente os dados do hospedeiro e os transmite secretamente. Isso o torna disponível para todos, perceptível por ninguém (exceto o invasor)$^[$ e decifrável apenas pelo invasor. Um invasor pego instalando o criptotrojan pode afirmar ser uma vítima do vírus.$^[$ Um invasor observado recebendo a transmissão assimétrica encoberta é um dos milhares, senão milhões de receptores, e pode não exibir nenhuma informação de identificação. O ataque de criptovirologia atinge "negação de ponta a ponta". É uma transmissão assimétrica encoberta dos dados da vítima. A criptovirologia também abrange o uso de recuperação de informação privada (P.I.R.) para permitir que os criptovírus pesquisem e roubem dados do hospedeiro sem revelar os dados pesquisados, mesmo quando o criptotrojan está sob vigilância constante. Por definição, esse criptovírus carrega em sua própria sequência de codificação a consulta do invasor e a lógica de recuperação de informação privada (P.I.R.) necessária para aplicar a consulta aos sistemas hospedeiros.

## História

O primeiro ataque de criptovirologia e a discussão do conceito foram feitos por Adam L. Young e Moti Yung [en], na época chamado de "extorsão criptoviral" e foi apresentado na Conferência do I.E.E.E. de segurança e privacidade de 1996. Neste ataque, um criptovirus, criptoworm ou criptotrojan contém a chave pública do invasor e criptografa de maneira híbrida [en] os arquivos da vítima. O malware solicita que o usuário envie o texto cifrado assimétrico ao invasor, que o decifrará e retornará a chave de descriptografia simétrica que ele contém por uma taxa. A vítima precisa da chave simétrica para descriptografar os arquivos criptografados se não houver maneira de recuperar os arquivos originais (a partir de cópias de segurança, por exemplo). O artigo do I.E.E.E. de 1996 previu que os invasores de extorsão de criptovírus um dia exigiriam dinheiro eletrônico [en], muito antes do Bitcoin existir. Muitos anos depois, a mídia renomeou a extorsão criptoviral como ransomware. Em 2016, os ataques de criptovirologia a prestadores de serviços de saúde atingiram níveis epidêmicos, levando o Departamento de saúde e serviços humanos dos Estados Unidos da América a emitir um folheto informativo sobre ransomware e a H.I.P.A.A. [en]. A ficha informativa afirma que, quando as informações eletrônicas de saúde protegidas são criptografadas por ransomware, ocorre uma violação e, portanto, o ataque constitui uma divulgação que não é permitida pela H.I.P.A.A., com base no argumento de que um adversário assumiu o controle das informações. Os dados confidenciais podem nunca ter saído da organização da vítima, mas a invasão pode ter permitido que os dados fossem enviados sem serem detectados. A Califórnia promulgou uma lei que define a introdução de ransomware em um sistema de computador com a intenção de extorsão como sendo contra a lei.

## Contramedidas

De acordo com uma revisão de criptovirologia de 2018, especula-se que a disponibilidade de ferramentas criptográficas para os processos do usuário reduza a segurança do sistema, pois pode reduzir o tamanho do vírus e melhorar seu desempenho, além de tornar os vírus mais fáceis de escrever. Sistemas de detecção de intrusão também são sugeridos como um fator atenuante concreto.

## Exemplos
### Vírus Tremor

Embora os vírus em liberdade tenham usado criptografia no passado, o único propósito desse uso de criptografia era evitar a detecção por software antivírus. Por exemplo, o vírus Tremor usava o polimorfismo como técnica defensiva na tentativa de evitar a detecção por software antivírus. Embora a criptografia ajude a aumentar a longevidade de um vírus nesses casos, os recursos da criptografia não são usados na carga útil. O vírus One-half foi um dos primeiros vírus conhecidos por criptografar arquivos afetados.

### Vírus Tro_Ransom.A

Um exemplo de vírus que informa o dono da máquina infectada a pagar um resgate é o vírus apelidado de Tro_Ransom.A. Este vírus pede ao proprietário da máquina infectada para enviar $ 10,99 para uma determinada conta através da Western Union. O Virus.Win32.Gpcode.ag é um criptovírus clássico. Este vírus usa parcialmente uma versão do RSA de 660 bits e criptografa arquivos com muitas extensões diferentes. Ele instrui o proprietário da máquina a enviar uma correspondência eletrônica (e-mail) com uma determinada ID de correio se o proprietário desejar o descriptografador. Se contatado por correspondência eletrônica (e-mail), o usuário deverá pagar uma determinada quantia como resgate em troca do descriptografador.

### C.A.P.I.

Foi demonstrado que usando apenas 8 chamadas diferentes para a Interface de programação de aplicação criptográfica (C.A.P.I.) da Microsoft, um criptovírus pode satisfazer todas as suas necessidades de criptografia.

## Outros usos de malware com criptografia habilitada

Além da extorsão de criptovírus, existem outros usos potenciais de criptovírus, tais como roubo de senha negável, criptocontadores, recuperação de informação privada e na comunicação segura entre diferentes instâncias de um criptovírus distribuído.