Storm Stealer

Výzkumníci v oblasti kybernetické bezpečnosti potvrdili novou sofistikovanou hrozbu zaměřenou na uživatele prohlížečů Google Chrome, Microsoft Edge a Mozilla Firefox. Tento pokročilý informační krádež, známý jako Storm, funguje jako multifunkční útočná platforma, která kombinuje krádež hesel, kompromitaci souborů cookie relace pro obcházení dvoufaktorového ověřování a sběr dat z platebních karet do jediné škodlivé služby.

Storm, nabízený jako pronajímatelná sada nástrojů, výrazně snižuje vstupní bariéru pro kyberzločince a zároveň vystavuje potenciálnímu riziku více než miliardu uživatelů prohlížečů.

Inside Storm: Tichý a sofistikovaný zloděj informací

Thruster Storm je navržen tak, aby se vyhýbal detekci a zároveň maximalizoval extrakci dat. Obchází nástroje zabezpečení koncových bodů, vzdáleně dešifruje přihlašovací údaje prohlížeče a umožňuje útočníkům obnovit unesené relace bez spuštění poplachu.

Na rozdíl od tradičního malwaru, který se spoléhal na lokální dešifrovací techniky, Storm pracuje s architekturou založenou na nenápadnosti. Nenápadně odesílá citlivá data prohlížeče, včetně přihlašovacích údajů, souborů cookie relace a informací o kryptoměnových peněženkách, na servery ovládané útočníkem, kde k dešifrování dochází mimo infikovaný systém. Tento vzdálený přístup mu umožňuje vyhnout se spuštění moderních bezpečnostních obran.

Vývoj technik krádeže přihlašovacích údajů

Metody krádeže přihlašovacích údajů prošly významnou transformací. Historicky útočníci extrahovali a dešifrovali data přímo na zařízeních obětí pomocí knihoven SQLite pro přístup k úložištím přihlašovacích údajů prohlížeče. S tím, jak se však bezpečnostní řešení zlepšovala, se však taková aktivita stala snadněji odhalitelnou.

Zavedení šifrování vázaného na aplikace (App-Bound Encryption) společností Google v roce 2024, počínaje Chromem 127, tyto útoky dále zkomplikovalo vázáním šifrovacích klíčů na samotný prohlížeč. I když se útočníci pokusili zneužít ladicí protokoly prohlížeče nebo vložit škodlivý kód, bezpečnostní systémy byly často schopny identifikovat podezřelé chování.

Storm představuje další krok v tomto vývoji tím, že zcela opustí lokální dešifrování a přesune operace na infrastrukturu kontrolovanou útočníkem, čímž minimalizuje detekovatelné stopy na počítači oběti.

Dešifrování na straně serveru a dosah napříč prohlížeči

Storm posouvá své znalosti oproti dřívějším informačním krádežím tím, že plně zvládá dešifrování na vzdálených serverech. Podporuje prohlížeče založené na Chromu i Gecku, což ho činí velmi všestranným v různých prostředích.

Jakmile jsou ukradená data dešifrována, jsou doručena do centralizovaného ovládacího panelu, který používají kyberzločinci. Tento panel zavádí automatizaci do fáze zneužití, což útočníkům umožňuje efektivně využívat kompromitovaná data ve velkém měřítku.

Automatické únosy relací a podnikové riziko

Obzvláště nebezpečnou vlastností frakce Storm je její schopnost obnovit ověřené relace. Poskytnutím tokenu Google Refresh spolu s geograficky odpovídající proxy SOCKS5 mohou útočníci tiše obnovit aktivní relaci oběti, aniž by spustili ověřovací výzvy.

Tato schopnost má vážné důsledky:

• Podniková prostředí mohou být odhalena prostřednictvím jediného napadeného prohlížeče, který umožňuje přístup k platformám SaaS, interním systémům a cloudové infrastruktuře.
• Jednotliví uživatelé čelí převzetí účtů, finančním podvodům a dalším cíleným útokům, aniž by museli přímo obejít dvoufaktorové ověřování.

Opětovné použití již ověřených relací efektivně ruší tradiční ochranu přihlášení.

Nízké náklady, vysoký dopad Kyberkriminalita jako služba

Storm je kyberzločincům k dispozici již od 1 000 dolarů měsíčně, což z něj činí dostupný, ale zároveň účinný nástroj. Tato cenová dostupnost urychluje šíření pokročilých útočných schopností a umožňuje méně sofistikovaným aktérům útoků provádět vysoce efektivní kampaně.

Kombinace nízkých nákladů, utajení a automatizace představuje významný posun směrem k škálovatelným operacím v oblasti kybernetické kriminality založeným na službách.

Obranná opatření: Snížení vystavení bouři

Bezpečnostní experti zdůrazňují důležitost posílení každodenních postupů kybernetické bezpečnosti pro zmírnění rizik představovaných hrozbami, jako je Storm:

• Vyhněte se stahování softwaru z nedůvěryhodných nebo neoficiálních zdrojů.
• Buďte ostražití vůči phishingu a dalším taktikám sociálního inženýrství.
• Používejte jedinečná hesla pro každý účet a službu.
• Kdykoli je to možné, povolte dvoufaktorové ověřování a používejte přístupové klíče, pokud jsou podporovány.

I když žádné jednotlivé opatření nezaručuje úplnou ochranu, vrstvené zabezpečení výrazně snižuje pravděpodobnost kompromitace.