Storm Stealer

Cercetătorii în domeniul securității cibernetice au confirmat o nouă amenințare sofisticată care vizează utilizatorii Google Chrome, Microsoft Edge și Mozilla Firefox. Cunoscut sub numele de Storm, acest atac informatic avansat funcționează ca o platformă de atac multifuncțională, combinând furtul de parole, compromiterea cookie-urilor de sesiune pentru ocolirea autentificării cu doi factori și colectarea datelor cardurilor de plată într-un singur serviciu rău intenționat.

Oferită ca un set de instrumente închiriabil, Storm reduce semnificativ bariera de acces pentru infractorii cibernetici, expunând în același timp peste un miliard de utilizatori de browser la riscuri potențiale.

În interiorul furtunii: Un hoț de informații tăcut și sofisticat

Storm este conceput pentru a evita detectarea, maximizând în același timp extragerea datelor. Ocolește instrumentele de securitate endpoint, decriptează de la distanță acreditările browserului și permite atacatorilor să restaureze sesiunile deturnate fără a declanșa alarme.

Spre deosebire de programele malware tradiționale, care se bazau pe tehnici locale de decriptare, Storm funcționează cu o arhitectură stealth-first. Exfiltrează în liniște datele sensibile ale browserului, inclusiv acreditările, cookie-urile de sesiune și informațiile despre portofelul de criptomonede, către servere controlate de atacatori, unde decriptarea are loc departe de sistemul infectat. Această abordare la distanță îi permite să evite declanșarea apărărilor de securitate moderne.

Evoluția tehnicilor de furt de acreditări

Metodele de furt al acreditărilor au suferit o transformare semnificativă. Din punct de vedere istoric, atacatorii extrageau și decriptau datele direct de pe dispozitivele victimelor folosind biblioteci SQLite pentru a accesa depozitele de acreditări ale browserului. Cu toate acestea, pe măsură ce soluțiile de securitate s-au îmbunătățit, o astfel de activitate a devenit mai ușor de detectat.

Introducerea criptării legate de aplicații de către Google în 2024, începând cu Chrome 127, a complicat și mai mult aceste atacuri prin legarea cheilor de criptare de browserul în sine. Chiar și atunci când atacatorii încercau să exploateze protocoalele de depanare a browserului sau să injecteze cod rău intenționat, sistemele de securitate au reușit adesea să identifice comportamente suspecte.

Storm reprezintă următorul pas în această evoluție prin abandonarea completă a decriptării locale și mutarea operațiunilor către o infrastructură controlată de atacator, reducând astfel la minimum urmele detectabile pe mașina victimei.

Decriptare pe partea serverului și acoperire cross-browser

Storm avansează față de programele anterioare de tip infostealer, gestionând complet decriptarea pe servere la distanță. Acceptă atât browsere bazate pe Chromium, cât și pe Gecko, ceea ce îl face extrem de versatil în diferite medii.

Odată ce datele furate sunt decriptate, acestea sunt livrate către un panou centralizat de operare utilizat de infractorii cibernetici. Acest panou introduce automatizarea în faza de exploatare, permițând atacatorilor să utilizeze eficient datele compromise la scară largă.

Deturnarea automată a sesiunilor și riscul întreprinderii

O caracteristică deosebit de periculoasă a Storm este capacitatea sa de a restaura sesiunile autentificate. Prin furnizarea unui Google Refresh Token alături de un proxy SOCKS5 potrivit geografic, atacatorii pot restabili în mod silențios sesiunea activă a unei victime fără a declanșa provocări de autentificare.

Această capacitate are implicații serioase:

• Mediile de întreprindere pot fi expuse prin intermediul unui singur browser compromis, acordând acces la platforme SaaS, sisteme interne și infrastructură cloud.
• Utilizatorii individuali se confruntă cu furtul de conturi, fraude financiare și alte atacuri direcționate fără a fi nevoie să ocolească direct autentificarea cu doi factori.

Reutilizarea sesiunilor deja autentificate anulează efectiv protecțiile tradiționale de conectare.

Cost redus, impact ridicat, infracțiuni cibernetice ca serviciu

Storm este disponibil infractorilor cibernetici pentru doar 1.000 de dolari pe lună, ceea ce îl face un instrument accesibil, dar puternic. Această accesibilitate accelerează răspândirea capabilităților avansate de atac, permițând actorilor de amenințare mai puțin sofisticați să execute campanii extrem de eficiente.

Combinația dintre costul redus, discretizare și automatizare marchează o trecere semnificativă către operațiuni scalabile, bazate pe servicii, de combatere a criminalității cibernetice.

Măsuri defensive: Reducerea expunerii la furtună

Experții în securitate subliniază importanța consolidării practicilor zilnice de securitate cibernetică pentru a atenua riscurile reprezentate de amenințări precum Storm:

• Evitați descărcarea de software din surse neîncrezătoare sau neoficiale.
• Rămâneți vigilenți împotriva phishing-ului și a altor tactici de inginerie socială.
• Folosește parole unice pentru fiecare cont și serviciu.
• Activați autentificarea cu doi factori oriunde este posibil și adoptați chei de acces atunci când este acceptată.

Deși nicio măsură singulară nu garantează o protecție completă, securitatea stratificată reduce semnificativ probabilitatea compromiterii.