Storm Stealer

Pesquisadores de cibersegurança confirmaram uma nova e sofisticada ameaça direcionada a usuários do Google Chrome, Microsoft Edge e Mozilla Firefox. Conhecida como Storm, essa avançada ferramenta de roubo de informações opera como uma plataforma de ataque multifuncional, combinando roubo de senhas, comprometimento de cookies de sessão para burlar a autenticação de dois fatores e coleta de dados de cartões de pagamento em um único serviço malicioso.

Oferecido como um conjunto de ferramentas para aluguel, o Storm reduz significativamente a barreira de entrada para cibercriminosos, ao mesmo tempo que coloca mais de um bilhão de usuários de navegadores em risco potencial.

Dentro da Tempestade: Um Ladrão de Informações Silencioso e Sofisticado

O Storm foi projetado para evitar a detecção e, ao mesmo tempo, maximizar a extração de dados. Ele burla as ferramentas de segurança de endpoints, descriptografa remotamente as credenciais do navegador e permite que os invasores restaurem sessões sequestradas sem levantar suspeitas.

Ao contrário dos malwares tradicionais, que dependiam de técnicas de descriptografia local, o Storm opera com uma arquitetura que prioriza a furtividade. Ele exfiltra silenciosamente dados sensíveis do navegador, incluindo credenciais, cookies de sessão e informações de carteiras de criptomoedas, para servidores controlados pelo atacante, onde a descriptografia ocorre longe do sistema infectado. Essa abordagem remota permite que ele evite acionar as defesas de segurança modernas.

A Evolução das Técnicas de Roubo de Credenciais

Os métodos de roubo de credenciais sofreram uma transformação significativa. Historicamente, os atacantes extraíam e descriptografavam dados diretamente nos dispositivos das vítimas usando bibliotecas SQLite para acessar os repositórios de credenciais do navegador. No entanto, com a melhoria das soluções de segurança, essa atividade tornou-se mais fácil de detectar.

A introdução da criptografia vinculada ao aplicativo pelo Google em 2024, a partir do Chrome 127, complicou ainda mais esses ataques, vinculando as chaves de criptografia ao próprio navegador. Mesmo quando os invasores tentavam explorar os protocolos de depuração do navegador ou injetar código malicioso, os sistemas de segurança geralmente conseguiam identificar comportamentos suspeitos.

Storm representa o próximo passo nessa evolução, abandonando completamente a descriptografia local e transferindo as operações para a infraestrutura controlada pelo atacante, minimizando assim os rastros detectáveis na máquina da vítima.

Decriptação no servidor e alcance entre navegadores

O Storm supera os programas anteriores de roubo de informações ao lidar completamente com a descriptografia em servidores remotos. Ele é compatível com navegadores baseados em Chromium e em Gecko, o que o torna altamente versátil em diferentes ambientes.

Uma vez que os dados roubados são descriptografados, eles são enviados para um painel de controle centralizado usado por cibercriminosos. Esse painel introduz a automação na fase de exploração, permitindo que os atacantes utilizem dados comprometidos em larga escala e de forma eficiente.

Sequestro automatizado de sessão e risco empresarial

Uma característica particularmente perigosa do Storm é sua capacidade de restaurar sessões autenticadas. Ao fornecer um token de atualização do Google juntamente com um proxy SOCKS5 geograficamente correspondente, os atacantes podem restabelecer silenciosamente a sessão ativa da vítima sem acionar desafios de autenticação.

Essa capacidade tem implicações sérias:

• Os ambientes corporativos podem ser expostos por meio de um único navegador comprometido, concedendo acesso a plataformas SaaS, sistemas internos e infraestrutura em nuvem.
• Usuários individuais enfrentam invasões de contas, fraudes financeiras e outros ataques direcionados sem precisar burlar a autenticação de dois fatores diretamente.

A reutilização de sessões já autenticadas anula efetivamente as proteções de login tradicionais.

Serviço de cibercrime de baixo custo e alto impacto

O Storm está disponível para cibercriminosos por apenas US$ 1.000 por mês, tornando-se uma ferramenta acessível e poderosa. Essa acessibilidade acelera a disseminação de recursos avançados de ataque, permitindo que agentes de ameaças menos sofisticados executem campanhas altamente eficazes.

A combinação de baixo custo, discrição e automação representa uma mudança significativa em direção a operações de cibercrime escaláveis e baseadas em serviços.

Medidas defensivas: Reduzindo a exposição à tempestade

Especialistas em segurança enfatizam a importância de fortalecer as práticas diárias de cibersegurança para mitigar os riscos representados por ameaças como o Storm:

• Evite baixar softwares de fontes não confiáveis ou não oficiais.
• Mantenha-se vigilante contra phishing e outras táticas de engenharia social.
• Use senhas exclusivas para cada conta e serviço.
• Habilite a autenticação de dois fatores sempre que possível e adote chaves de acesso quando houver suporte.

Embora nenhuma medida isolada garanta proteção completa, a segurança em camadas reduz significativamente a probabilidade de comprometimento.