Storm Stealer

Výskumníci v oblasti kybernetickej bezpečnosti potvrdili sofistikovanú novú hrozbu zameranú na používateľov prehliadačov Google Chrome, Microsoft Edge a Mozilla Firefox. Tento pokročilý informačný vírus, známy ako Storm, funguje ako multifunkčná útočná platforma, ktorá kombinuje krádež hesla, kompromitáciu súborov cookie relácie na obídenie dvojfaktorového overenia a zber údajov o platobných kartách do jednej škodlivej služby.

Storm, ponúkaný ako prenajímateľná sada nástrojov, výrazne znižuje vstupnú bariéru pre kyberzločincov a zároveň vystavuje potenciálnemu riziku viac ako miliardu používateľov prehliadačov.

Inside Storm: Tichý a sofistikovaný zlodej informácií

Rôzne riešenie Storm je navrhnuté tak, aby sa vyhýbalo detekcii a zároveň maximalizovalo extrakciu dát. Obchádza nástroje zabezpečenia koncových bodov, na diaľku dešifruje prihlasovacie údaje prehliadača a umožňuje útočníkom obnoviť napadnuté relácie bez spustenia poplachu.

Na rozdiel od tradičného malvéru, ktorý sa spoliehal na lokálne dešifrovacie techniky, Storm funguje s architektúrou založenou na nenápadnosti. Nenápadne odosiela citlivé údaje prehliadača vrátane prihlasovacích údajov, súborov cookie relácie a informácií o kryptomenových peňaženkách na servery kontrolované útočníkom, kde k dešifrovaniu dochádza mimo infikovaného systému. Tento vzdialený prístup mu umožňuje vyhnúť sa spusteniu moderných bezpečnostných obranných mechanizmov.

Vývoj techník krádeže poverení

Metódy krádeže poverení prešli významnou transformáciou. Historicky útočníci extrahovali a dešifrovali dáta priamo na zariadeniach obetí pomocou knižníc SQLite na prístup k úložiskám poverení prehliadača. S vylepšením bezpečnostných riešení sa však takáto aktivita stala ľahšie odhaľovateľnou.

Zavedenie šifrovania viazaného na aplikácie spoločnosťou Google v roku 2024, počnúc prehliadačom Chrome 127, tieto útoky ešte viac skomplikovalo viazaním šifrovacích kľúčov na samotný prehliadač. Aj keď sa útočníci pokúsili zneužiť ladiace protokoly prehliadača alebo vložiť škodlivý kód, bezpečnostné systémy boli často schopné identifikovať podozrivé správanie.

Storm predstavuje ďalší krok v tomto vývoji tým, že úplne opúšťa lokálne dešifrovanie a presúva operácie na infraštruktúru kontrolovanú útočníkom, čím minimalizuje detekovateľné stopy na počítači obete.

Dešifrovanie na strane servera a dosah naprieč prehliadačmi

Storm prekonáva predchádzajúce informačno-kradnúce programy tým, že plne zvláda dešifrovanie na vzdialených serveroch. Podporuje prehliadače založené na prehliadačoch Chromium aj Gecko, vďaka čomu je veľmi všestranný v rôznych prostrediach.

Po dešifrovaní ukradnutých údajov sa doručia do centralizovaného ovládacieho panela, ktorý používajú kyberzločinci. Tento panel zavádza automatizáciu do fázy zneužívania, čo útočníkom umožňuje efektívne využívať kompromitované údaje vo veľkom rozsahu.

Automatizované únosy relácií a podnikové riziko

Obzvlášť nebezpečnou vlastnosťou vírusu Storm je jeho schopnosť obnoviť overené relácie. Poskytnutím tokenu Google Refresh spolu s geograficky zhodným proxy serverom SOCKS5 môžu útočníci ticho obnoviť aktívnu reláciu obete bez spustenia overovacích výziev.

Táto schopnosť má vážne dôsledky:

• Podnikové prostredia môžu byť odhalené prostredníctvom jediného napadnutého prehliadača, ktorý poskytuje prístup k platformám SaaS, interným systémom a cloudovej infraštruktúre.
• Jednotliví používatelia čelia prevzatiu kontroly nad účtami, finančným podvodom a ďalším cieleným útokom bez toho, aby museli priamo obísť dvojfaktorové overenie.

Opätovné použitie už overených relácií efektívne ruší tradičné ochrany prihlásenia.

Nízkonákladová kybernetická kriminalita ako služba s vysokým dopadom

Storm je pre kyberzločincov dostupný už od 1 000 dolárov mesačne, čo z neho robí dostupný, ale zároveň výkonný nástroj. Táto cenová dostupnosť urýchľuje šírenie pokročilých útočných schopností a umožňuje menej sofistikovaným aktérom hrozby vykonávať vysoko efektívne kampane.

Kombinácia nízkych nákladov, utajenia a automatizácie predstavuje významný posun smerom k škálovateľným operáciám v oblasti kybernetickej kriminality založeným na službách.

Obranné opatrenia: Zníženie vystavenia sa búrke

Bezpečnostní experti zdôrazňujú dôležitosť posilnenia každodenných postupov kybernetickej bezpečnosti s cieľom zmierniť riziká, ktoré predstavujú hrozby ako Storm:

• Vyhnite sa sťahovaniu softvéru z nedôveryhodných alebo neoficiálnych zdrojov.
• Buďte ostražití voči phishingu a iným taktikám sociálneho inžinierstva.
• Používajte jedinečné heslá pre každý účet a službu.
• Všade, kde je to možné, povoľte dvojfaktorové overenie a v prípade podpory používajte prístupové kľúče.

Hoci žiadne jednotlivé opatrenie nezaručuje úplnú ochranu, vrstvené zabezpečenie výrazne znižuje pravdepodobnosť kompromitácie.