Storm Stealer

Исследователи в области кибербезопасности подтвердили наличие новой сложной угрозы, нацеленной на пользователей Google Chrome, Microsoft Edge и Mozilla Firefox. Этот продвинутый вредоносный сервис, известный как Storm, представляет собой многофункциональную платформу для атак, сочетающую кражу паролей, компрометацию сессионных cookie для обхода двухфакторной аутентификации и сбор данных платежных карт в рамках одной вредоносной программы.

Предлагаемый в виде арендуемого набора инструментов, Storm значительно снижает барьер для киберпреступников, подвергая при этом потенциальному риску более миллиарда пользователей браузеров.

Внутри бури: тихий и изощренный похититель информации

Storm разработан для того, чтобы избегать обнаружения, одновременно максимально эффективно извлекая данные. Он обходит средства защиты конечных точек, удаленно расшифровывает учетные данные браузера и позволяет злоумышленникам восстанавливать захваченные сессии, не поднимая тревогу.

В отличие от традиционных вредоносных программ, которые полагались на локальные методы расшифровки, Storm работает по скрытой архитектуре. Он незаметно переносит конфиденциальные данные браузера, включая учетные данные, сессионные cookie и информацию о криптовалютных кошельках, на контролируемые злоумышленниками серверы, где расшифровка происходит вне зараженной системы. Такой удаленный подход позволяет избежать срабатывания современных средств защиты.

Эволюция методов кражи учетных данных

Методы кражи учетных данных претерпели значительные изменения. Исторически злоумышленники извлекали и расшифровывали данные непосредственно на устройствах жертв, используя библиотеки SQLite для доступа к хранилищам учетных данных браузера. Однако по мере совершенствования решений в области безопасности подобную деятельность стало легче обнаружить.

Внедрение компанией Google технологии шифрования, привязанной к приложениям (App-Bound Encryption), в 2024 году, начиная с Chrome 127, еще больше усложнило эти атаки, поскольку ключи шифрования были привязаны к самому браузеру. Даже когда злоумышленники пытались использовать протоколы отладки браузера или внедрить вредоносный код, системы безопасности часто могли выявлять подозрительное поведение.

Storm представляет собой следующий шаг в этой эволюции, полностью отказываясь от локального дешифрования и перенося операции на инфраструктуру, контролируемую злоумышленником, тем самым сводя к минимуму обнаруживаемые следы на компьютере жертвы.

Расшифровка на стороне сервера и кроссбраузерная совместимость.

Storm превосходит более ранние программы для кражи информации, полностью обрабатывая расшифровку на удаленных серверах. Он поддерживает как браузеры на основе Chromium, так и на основе Gecko, что делает его очень универсальным в различных средах.

После расшифровки украденных данных они передаются в централизованную панель управления, используемую киберпреступниками. Эта панель автоматизирует этап эксплуатации, позволяя злоумышленникам эффективно использовать скомпрометированные данные в больших масштабах.

Автоматизированный перехват сессий и корпоративные риски

Особенно опасная особенность Storm — это его способность восстанавливать аутентифицированные сессии. Предоставив токен обновления Google вместе с географически соответствующим прокси-сервером SOCKS5, злоумышленники могут незаметно восстановить активную сессию жертвы, не вызывая запросов на аутентификацию.

Эта возможность имеет серьезные последствия:

• Корпоративная среда может быть уязвима из-за взлома одного-единственного браузера, предоставляющего доступ к платформам SaaS, внутренним системам и облачной инфраструктуре.
• Отдельные пользователи сталкиваются с захватом учетных записей, финансовым мошенничеством и другими целенаправленными атаками, даже не прибегая к прямому обходу двухфакторной аутентификации.

Повторное использование уже аутентифицированных сессий фактически сводит на нет традиционные средства защиты при входе в систему.

Недорогое и высокоэффективное решение для борьбы с киберпреступностью.

Программа Storm доступна киберпреступникам всего за 1000 долларов в месяц, что делает её доступным и одновременно мощным инструментом. Эта доступность ускоряет распространение сложных методов атак, позволяя менее искушенным злоумышленникам проводить высокоэффективные кампании.

Сочетание низкой стоимости, скрытности и автоматизации знаменует собой значительный сдвиг в сторону масштабируемых операций по борьбе с киберпреступностью, основанных на предоставлении услуг.

Меры защиты: снижение риска воздействия шторма

Эксперты по безопасности подчеркивают важность усиления повседневных мер кибербезопасности для снижения рисков, связанных с такими угрозами, как Storm:

• Избегайте загрузки программного обеспечения из ненадежных или неофициальных источников.
• Будьте бдительны в отношении фишинга и других методов социальной инженерии.
• Используйте уникальные пароли для каждой учетной записи и сервиса.
• По возможности внедряйте двухфакторную аутентификацию и используйте пароли, если они поддерживаются.

Хотя ни одна отдельная мера не гарантирует полной защиты, многоуровневая система безопасности значительно снижает вероятность компрометации.