Storm Stealer

Forskere på nettsikkerhet har bekreftet en sofistikert ny trussel som retter seg mot brukere av Google Chrome, Microsoft Edge og Mozilla Firefox. Denne avanserte informasjonstyveren, kjent som Storm, fungerer som en multifunksjonell angrepsplattform som kombinerer passordtyveri, kompromittering av øktinformasjonskapsler for omgåelse av tofaktorautentisering og innsamling av betalingskortdata i én enkelt ondsinnet tjeneste.

Storm tilbys som et verktøysett for utleie, og senker inngangsbarrieren for nettkriminelle betydelig, samtidig som det setter mer enn en milliard nettleserbrukere i potensiell risiko.

Inside Storm: En stille og sofistikert infotyver

Storm er utviklet for å unngå deteksjon samtidig som den maksimerer datautvinning. Den omgår verktøy for endepunktsikkerhet, dekrypterer nettleserlegitimasjon eksternt og lar angripere gjenopprette kaprede økter uten å utløse alarmer.

I motsetning til tradisjonell skadelig programvare, som var avhengig av lokale dekrypteringsteknikker, opererer Storm med en stealth-first-arkitektur. Den ekspanderer i stillhet sensitive nettleserdata, inkludert legitimasjon, øktinformasjonskapsler og informasjon om kryptovalutalommebøker, til angriperkontrollerte servere, hvor dekrypteringen skjer borte fra det infiserte systemet. Denne eksterne tilnærmingen gjør at den unngår å utløse moderne sikkerhetsforsvar.

Utviklingen av teknikker for legitimasjonstyveri

Metoder for påloggingstyveri har gjennomgått en betydelig transformasjon. Historisk sett har angripere hentet ut og dekryptert data direkte på offerets enheter ved hjelp av SQLite-biblioteker for å få tilgang til nettleserens påloggingsinformasjonslagre. Men etter hvert som sikkerhetsløsningene ble bedre, ble slik aktivitet lettere å oppdage.

Googles introduksjon av appbundet kryptering i 2024, som startet med Chrome 127, kompliserte disse angrepene ytterligere ved å binde krypteringsnøkler til selve nettleseren. Selv når angripere forsøkte å utnytte feilsøkingsprotokoller i nettleseren eller injisere ondsinnet kode, var sikkerhetssystemer ofte i stand til å identifisere mistenkelig atferd.

Storm representerer det neste trinnet i denne utviklingen ved å forlate lokal dekryptering helt og flytte driften til angriperkontrollert infrastruktur, og dermed minimere sporbare spor på offerets maskin.

Serversidedekryptering og rekkevidde på tvers av nettlesere

Storm går videre enn tidligere infostealere ved å håndtere dekryptering fullt ut på eksterne servere. Den støtter både Chromium-baserte og Gecko-baserte nettlesere, noe som gjør den svært allsidig på tvers av forskjellige miljøer.

Når de stjålne dataene er dekryptert, leveres de til et sentralisert operatørpanel som brukes av nettkriminelle. Dette panelet introduserer automatisering i utnyttelsesfasen, slik at angripere effektivt kan utnytte kompromitterte data i stor skala.

Automatisert øktkapring og bedriftsrisiko

En spesielt farlig funksjon ved Storm er dens evne til å gjenopprette autentiserte økter. Ved å levere en Google Refresh Token sammen med en geografisk matchet SOCKS5-proxy, kan angripere stille gjenopprette offerets aktive økt uten å utløse autentiseringsutfordringer.

Denne evnen har alvorlige implikasjoner:

• Bedriftsmiljøer kan bli eksponert gjennom én enkelt kompromittert nettleser, noe som gir tilgang til SaaS-plattformer, interne systemer og skyinfrastruktur.
• Individuelle brukere står overfor kontoovertakelser, økonomisk svindel og ytterligere målrettede angrep uten å måtte omgå tofaktorautentisering direkte.

Gjenbruk av allerede autentiserte økter opphever effektivt tradisjonell påloggingsbeskyttelse.

Lavkostnads, høykonsekvens nettkriminalitet som en tjeneste

Storm er tilgjengelig for nettkriminelle for så lite som 1000 dollar per måned, noe som gjør det til et tilgjengelig, men kraftig verktøy. Denne overkommelige prisen akselererer spredningen av avanserte angrepsmuligheter, slik at mindre sofistikerte trusselaktører kan utføre svært effektive kampanjer.

Kombinasjonen av lave kostnader, stealth og automatisering markerer et betydelig skifte mot skalerbare, tjenestebaserte nettkriminalitetsoperasjoner.

Forsvarstiltak: Redusere eksponering for storm

Sikkerhetseksperter understreker viktigheten av å styrke hverdagens cybersikkerhetspraksis for å redusere risikoen som trusler som Storm utgjør:

• Unngå å laste ned programvare fra upålitelige eller uoffisielle kilder.
• Vær årvåken mot phishing og andre sosial manipuleringstaktikker.
• Bruk unike passord for hver konto og tjeneste.
• Aktiver tofaktorautentisering der det er mulig, og bruk passord når det støttes.

Selv om ingen enkeltstående tiltak garanterer fullstendig beskyttelse, reduserer lagdelt sikkerhet sannsynligheten for kompromittering betydelig.