Storm Stealer

Kyberturvallisuustutkijat ovat vahvistaneet uuden hienostuneen uhan, joka kohdistuu Google Chromen, Microsoft Edgen ja Mozilla Firefoxin käyttäjiin. Storm-niminen edistynyt tiedonvarasohjelma toimii monitoimisena hyökkäysalustana, joka yhdistää salasanavarkaudet, istuntoevästeiden vaarantamisen kaksivaiheisen todennuksen ohittamiseksi ja maksukorttitietojen keräämisen yhdeksi haitalliseksi palveluksi.

Vuokrattavana työkalupakkina tarjottava Storm madaltaa merkittävästi kyberrikollisten pääsyn kynnystä ja asettaa samalla yli miljardin selainkäyttäjän potentiaaliseen vaaraan.

Inside Storm: Hiljainen ja hienostunut tiedonvaras

Storm on suunniteltu välttämään havaitsemista ja maksimoimaan samalla tiedonkeruun. Se ohittaa päätepisteiden tietoturvatyökalut, purkaa selaimen tunnistetiedot etänä ja mahdollistaa hyökkääjien palauttaa kaapatut istunnot ilman hälytyksiä.

Toisin kuin perinteiset haittaohjelmat, jotka perustuivat paikallisiin salauksen purkutekniikoihin, Storm toimii piilotuslähtöisellä arkkitehtuurilla. Se vie huomaamattomasti arkaluonteisia selaintietoja, kuten tunnistetietoja, istuntoevästeitä ja kryptovaluuttalompakon tietoja, hyökkääjän hallitsemille palvelimille, joissa salauksen purku tapahtuu tartunnan saaneen järjestelmän ulkopuolella. Tämä etälähestymistapa estää nykyaikaisten tietoturvatoimenpiteiden käynnistymisen.

Valtakirjavarkaustekniikoiden kehitys

Tunnistetietojen varkausmenetelmät ovat kokeneet merkittävän muutoksen. Historiallisesti hyökkääjät ovat purkaneet ja purkaneet tietoja suoraan uhrin laitteilla käyttämällä SQLite-kirjastoja päästäkseen käsiksi selaimen tunnistetietosäilöihin. Turvallisuusratkaisujen parantuessa tällaisen toiminnan havaitseminen on kuitenkin helpottunut.

Googlen vuonna 2024 Chrome 127:stä alkaen käyttöönottama sovellussidonta-salauksen (App-Bound Encryption) monimutkaisti näitä hyökkäyksiä entisestään sitomalla salausavaimet itse selaimeen. Vaikka hyökkääjät yrittivät hyödyntää selaimen virheenkorjausprotokollia tai lisätä haitallista koodia, turvajärjestelmät pystyivät usein tunnistamaan epäilyttävän toiminnan.

Storm edustaa seuraavaa askelta tässä kehityksessä, sillä se luopuu kokonaan paikallisesta salauksen purkamisesta ja siirtää toiminnot hyökkääjän hallitsemaan infrastruktuuriin, mikä minimoi havaittavissa olevat jäljet uhrin koneella.

Palvelinpuolen salauksen purku ja selainten välinen ulottuvuus

Storm päihittää aiemmat infostealers-ohjelmistot käsittelemällä salauksen purkamisen täysin etäpalvelimilla. Se tukee sekä Chromium- että Gecko-pohjaisia selaimia, mikä tekee siitä erittäin monipuolisen eri ympäristöissä.

Kun varastettujen tietojen salaus on purettu, ne toimitetaan kyberrikollisten käyttämään keskitettyyn käyttöpaneeliin. Tämä paneeli tuo automaatiota hyväksikäyttövaiheeseen, minkä ansiosta hyökkääjät voivat hyödyntää vaarantuneita tietoja tehokkaasti ja laaja-alaisesti.

Automaattinen istunnon kaappaaminen ja yritysriski

Stormin erityisen vaarallinen ominaisuus on sen kyky palauttaa todennetut istunnot. Antamalla Google Refresh Tokenin maantieteellisesti yhteensopivan SOCKS5-välityspalvelimen rinnalla hyökkääjät voivat hiljaa palauttaa uhrin aktiivisen istunnon laukaisematta todennushaasteita.

Tällä kyvyllä on vakavia seurauksia:

• Yritysympäristöt voivat altistua yhdenkin vaarantuneen selaimen kautta, mikä antaa pääsyn SaaS-alustoille, sisäisille järjestelmille ja pilvi-infrastruktuurille.
• Yksittäiset käyttäjät kohtaavat tilien kaappauksia, talouspetoksia ja muita kohdennettuja hyökkäyksiä ilman, että heidän tarvitsee ohittaa kaksivaiheista todennusta suoraan.

Jo todennettujen istuntojen uudelleenkäyttö mitätöi tehokkaasti perinteiset kirjautumissuojaukset.

Edullinen ja vaikuttava kyberrikollisuuden torjunta palveluna

Storm on kyberrikollisten saatavilla niinkin edulliseen hintaan kuin 1 000 dollaria kuukaudessa, mikä tekee siitä helppokäyttöisen mutta tehokkaan työkalun. Edullisuus nopeuttaa edistyneiden hyökkäysominaisuuksien leviämistä, jolloin vähemmän kehittyneet uhkatoimijat voivat toteuttaa erittäin tehokkaita kampanjoita.

Alhaisten kustannusten, häiveiden ja automaation yhdistelmä merkitsee merkittävää siirtymistä kohti skaalautuvia, palveluihin perustuvia kyberrikollisuuden torjuntaoperaatioita.

Puolustustoimenpiteet: Myrskyille altistumisen vähentäminen

Tietoturva-asiantuntijat korostavat päivittäisten kyberturvallisuuskäytäntöjen vahvistamisen tärkeyttä Stormin kaltaisten uhkien aiheuttamien riskien lieventämiseksi:

• Vältä ohjelmistojen lataamista epäluotettavista tai epävirallisista lähteistä.
• Pysy valppaana tietojenkalastelua ja muita sosiaalisen manipuloinnin taktiikoita vastaan.
• Käytä jokaiselle tilille ja palvelulle yksilöllisiä salasanoja.
• Ota kaksivaiheinen todennus käyttöön aina kun mahdollista ja käytä todentamisavaimia, jos niitä tuetaan.

Vaikka mikään yksittäinen toimenpide ei takaa täydellistä suojaa, kerrostettu suojaus vähentää merkittävästi tietomurron todennäköisyyttä.