Storm Stealer

Istraživači kibernetičke sigurnosti potvrdili su sofisticiranu novu prijetnju usmjerenu na korisnike Google Chromea, Microsoft Edgea i Mozilla Firefoxa. Poznat kao Storm, ovaj napredni kradljivac informacija djeluje kao višenamjenska platforma za napad, kombinirajući krađu lozinki, kompromitiranje kolačića sesije za zaobilaženje dvofaktorske autentifikacije i prikupljanje podataka o platnim karticama u jednu zlonamjernu uslugu.

Ponuđen kao alat za najam, Storm značajno smanjuje prepreku ulasku za kibernetičke kriminalce, a istovremeno izlaže više od milijardu korisnika preglednika potencijalnom riziku.

Inside Storm: Tihi i sofisticirani kradljivac informacija

Storm je dizajniran da izbjegne otkrivanje uz maksimiziranje izdvajanja podataka. Zaobilazi alate za sigurnost krajnjih točaka, daljinski dešifrira vjerodajnice preglednika i omogućuje napadačima da vrate otete sesije bez aktiviranja alarma.

Za razliku od tradicionalnog zlonamjernog softvera, koji se oslanjao na lokalne tehnike dešifriranja, Storm djeluje s arhitekturom usmjerenom na prikrivenost. Tiho izvlači osjetljive podatke preglednika, uključujući vjerodajnice, kolačiće sesije i podatke o kriptovalutnim novčanicima, na poslužitelje koje kontroliraju napadači, gdje se dešifriranje odvija izvan zaraženog sustava. Ovaj udaljeni pristup omogućuje mu izbjegavanje aktiviranja modernih sigurnosnih obrana.

Evolucija tehnika krađe vjerodajnica

Metode krađe vjerodajnica doživjele su značajnu transformaciju. Povijesno gledano, napadači su izdvajali i dešifrirali podatke izravno na uređajima žrtava koristeći SQLite biblioteke za pristup pohrani vjerodajnica preglednika. Međutim, kako su se sigurnosna rješenja poboljšavala, takve su aktivnosti postale lakše otkriti.

Uvođenje šifriranja vezanog uz aplikaciju od strane Googlea 2024. godine, počevši s Chromeom 127, dodatno je zakompliciralo ove napade vezanjem ključeva za šifriranje na sam preglednik. Čak i kada su napadači pokušali iskoristiti protokole za otklanjanje pogrešaka preglednika ili ubrizgati zlonamjerni kod, sigurnosni sustavi često su uspjeli prepoznati sumnjivo ponašanje.

Storm predstavlja sljedeći korak u ovoj evoluciji potpunim napuštanjem lokalne dekripcije i preusmjeravanjem operacija na infrastrukturu koju kontrolira napadač, čime se minimiziraju uočljivi tragovi na računalu žrtve.

Dešifriranje na strani poslužitelja i doseg među preglednicima

Storm napreduje u odnosu na ranije infostealere tako što u potpunosti obrađuje dešifriranje na udaljenim poslužiteljima. Podržava preglednike temeljene na Chromiumu i Gecku, što ga čini vrlo svestranim u različitim okruženjima.

Nakon što se ukradeni podaci dešifriraju, dostavljaju se centraliziranoj operatorskoj ploči koju koriste kibernetički kriminalci. Ova ploča uvodi automatizaciju u fazu iskorištavanja, omogućujući napadačima da učinkovito iskoriste kompromitirane podatke u velikim razmjerima.

Automatizirana krađa sesija i poslovni rizik

Posebno opasna značajka Storma je njegova sposobnost vraćanja autentificiranih sesija. Pružanjem Google Refresh tokena uz geografski usklađeni SOCKS5 proxy, napadači mogu tiho ponovno uspostaviti aktivnu sesiju žrtve bez pokretanja izazova za autentifikaciju.

Ova sposobnost ima ozbiljne implikacije:

• Poslovna okruženja mogu biti izložena putem jednog kompromitiranog preglednika, što omogućuje pristup SaaS platformama, internim sustavima i cloud infrastrukturi.
• Pojedinačni korisnici suočavaju se s preuzimanjem računa, financijskim prijevarama i daljnjim ciljanim napadima bez potrebe da izravno zaobiđu dvofaktorsku autentifikaciju.

Ponovna upotreba već autentificiranih sesija učinkovito poništava tradicionalne zaštite prijave.

Niska cijena, veliki utjecaj kibernetičkog kriminala kao usluge

Storm je dostupan kibernetičkim kriminalcima za samo 1000 dolara mjesečno, što ga čini pristupačnim, ali moćnim alatom. Ova pristupačnost ubrzava širenje naprednih mogućnosti napada, omogućujući manje sofisticiranim akterima prijetnji da provode vrlo učinkovite kampanje.

Kombinacija niskih troškova, prikrivenosti i automatizacije označava značajan pomak prema skalabilnim operacijama kibernetičkog kriminala temeljenim na uslugama.

Obrambene mjere: Smanjenje izloženosti oluji

Sigurnosni stručnjaci naglašavaju važnost jačanja svakodnevnih praksi kibernetičke sigurnosti kako bi se ublažili rizici koje predstavljaju prijetnje poput Storma:

• Izbjegavajte preuzimanje softvera iz nepouzdanih ili neslužbenih izvora.
• Ostanite oprezni protiv phishinga i drugih taktika društvenog inženjeringa.
• Koristite jedinstvene lozinke za svaki račun i uslugu.
• Omogućite dvofaktorsku autentifikaciju gdje god je to moguće i usvojite lozinke kada su podržane.

Iako nijedna pojedinačna mjera ne jamči potpunu zaštitu, slojevita sigurnost značajno smanjuje vjerojatnost kompromitiranja.