Storm Stealer

Kibernetinio saugumo tyrėjai patvirtino naują sudėtingą grėsmę, nukreiptą prieš „Google Chrome“, „Microsoft Edge“ ir „Mozilla Firefox“ naudotojus. Ši pažangi informacijos vagystės programa, žinoma kaip „Storm“, veikia kaip daugiafunkcinė atakų platforma, apjungianti slaptažodžių vagystę, sesijos slapukų pažeidimą dviejų veiksnių autentifikavimo apėjimui ir mokėjimo kortelių duomenų rinkimą vienoje kenkėjiškoje paslaugoje.

Siūlomas kaip nuomojamas įrankių rinkinys, „Storm“ gerokai sumažina kibernetinių nusikaltėlių patekimo į rinką barjerą ir kelia potencialų pavojų daugiau nei milijardui naršyklės naudotojų.

„Inside Storm“: tylus ir rafinuotas informacijos vagis

„Storm“ sukurta taip, kad būtų išvengta aptikimo, tuo pačiu maksimaliai padidinant duomenų išgavimą. Ji apeina galinių taškų saugumo įrankius, nuotoliniu būdu iššifruoja naršyklės kredencialus ir leidžia užpuolikams atkurti užgrobtas sesijas nesukeliant pavojaus signalų.

Skirtingai nuo tradicinių kenkėjiškų programų, kurios rėmėsi vietiniais iššifravimo metodais, „Storm“ veikia slapta architektūra. Ji tyliai išfiltruoja jautrius naršyklės duomenis, įskaitant prisijungimo duomenis, sesijos slapukus ir kriptovaliutos piniginės informaciją, į užpuoliko kontroliuojamus serverius, kur iššifravimas vyksta ne užkrėstoje sistemoje. Šis nuotolinis metodas leidžia išvengti šiuolaikinių saugumo apsaugos priemonių suaktyvinimo.

Įgaliojimų vagystės technikų evoliucija

Kredencialų vagystės metodai gerokai pasikeitė. Istoriškai užpuolikai duomenis išgaudavo ir iššifruodavo tiesiai aukos įrenginiuose, naudodami „SQLite“ bibliotekas, kad pasiektų naršyklės kredencialų saugyklas. Tačiau tobulėjant saugumo sprendimams, tokią veiklą tapo lengviau aptikti.

„Google“ 2024 m. įdiegus programėlėms skirtą šifravimą, pradedant nuo „Chrome 127“, šios atakos buvo dar labiau komplikuotos, nes šifravimo raktai buvo susieti su pačia naršykle. Net kai užpuolikai bandė išnaudoti naršyklės derinimo protokolus arba įterpti kenkėjišką kodą, saugumo sistemos dažnai sugebėjo nustatyti įtartiną elgesį.

„Storm“ yra kitas šios evoliucijos žingsnis, visiškai atsisakant vietinio iššifravimo ir perkeliant operacijas į užpuoliko kontroliuojamą infrastruktūrą, taip sumažinant aptinkamų pėdsakų skaičių aukos kompiuteryje.

Serverio pusės iššifravimas ir pasiekiamumas skirtingose naršyklėse

„Storm“ pranoksta ankstesnes informacijos vagystes, visiškai tvarkydama iššifravimą nuotoliniuose serveriuose. Ji palaiko tiek „Chromium“, tiek „Gecko“ pagrindu veikiančias naršykles, todėl yra labai universali skirtingose aplinkose.

Kai pavogti duomenys iššifruojami, jie pristatomi į centralizuotą operatoriaus skydą, kurį naudoja kibernetiniai nusikaltėliai. Šis skydas automatizuoja išnaudojimo etapą, leisdamas užpuolikams efektyviai panaudoti pažeistus duomenis dideliu mastu.

Automatinis sesijos užgrobimas ir įmonės rizika

Ypač pavojinga „Storm“ funkcija yra jos gebėjimas atkurti autentifikuotas sesijas. Pateikdami „Google Refresh Token“ kartu su geografiškai suderintu SOCKS5 tarpiniu serveriu, užpuolikai gali tyliai atkurti aktyvią aukos sesiją nesukeldami autentifikavimo iššūkių.

Šis gebėjimas turi rimtų pasekmių:

• Įmonės aplinkos gali būti pažeidžiamos per vieną pažeistą naršyklę, suteikiančią prieigą prie SaaS platformų, vidinių sistemų ir debesijos infrastruktūros.
• Individualūs vartotojai susiduria su paskyrų perėmimu, finansiniu sukčiavimu ir tolesnėmis tikslinėmis atakomis, nereikalaujant tiesiogiai apeiti dviejų veiksnių autentifikavimo.

Jau autentifikuotų sesijų pakartotinis naudojimas efektyviai panaikina tradicines prisijungimo apsaugas.

Pigi, didelio poveikio kibernetinių nusikaltimų paslauga

„Storm“ kibernetiniams nusikaltėliams prieinama vos už 1000 USD per mėnesį, todėl tai yra lengvai prieinamas, bet galingas įrankis. Dėl šio prieinamumo paspartėja pažangių atakų plitimas, leidžiant mažiau sudėtingiems grėsmių veikėjams vykdyti labai veiksmingas kampanijas.

Mažų sąnaudų, slapto veikimo ir automatizavimo derinys žymi reikšmingą poslinkį link keičiamo mastelio, paslaugomis pagrįstų kibernetinių nusikaltimų operacijų.

Gynybinės priemonės: audros poveikio mažinimas

Saugumo ekspertai pabrėžia kasdienės kibernetinio saugumo praktikos stiprinimo svarbą siekiant sušvelninti tokių grėsmių kaip „Storm“ keliamą riziką:

• Venkite atsisiųsti programinę įrangą iš nepatikimų ar neoficialių šaltinių.
• Būkite budrūs dėl sukčiavimo apsimetant ir kitų socialinės inžinerijos taktikų.
• Kiekvienai paskyrai ir paslaugai naudokite unikalius slaptažodžius.
• Įjunkite dviejų veiksnių autentifikavimą, kai tik įmanoma, ir, jei palaikoma, naudokite prieigos raktus.

Nors nė viena priemonė negarantuoja visiškos apsaugos, daugiasluoksnis saugumas žymiai sumažina įsilaužimo tikimybę.