Storm Stealer

Истраживачи сајбер безбедности потврдили су софистицирану нову претњу усмерену на кориснике Google Chrome-а, Microsoft Edge-а и Mozilla Firefox-а. Познат као Storm, овај напредни инфостејлер функционише као мултифункционална платформа за напад, комбинујући крађу лозинки, компромитовање колачића сесије ради заобилажења двофакторске аутентификације и прикупљање података о платним картицама у једну злонамерну услугу.

Понуђен као комплет алата за изнајмљивање, Storm значајно смањује баријеру за улазак сајбер криминалаца, док истовремено излаже више од милијарду корисника прегледача потенцијалном ризику.

Унутар Сторма: Тихи и софистицирани крадљивац информација

Сторм је дизајниран да избегне откривање уз максимално издвајање података. Заобилази алате за безбедност крајњих тачака, даљински дешифрује акредитиве прегледача и омогућава нападачима да обнове отете сесије без подизања аларма.

За разлику од традиционалног малвера, који се ослањао на локалне технике дешифровања, Сторм ради са архитектуром која је првенствено прикривена. Он тихо извлачи осетљиве податке прегледача, укључујући акредитиве, колачиће сесије и информације о криптовалутним новчаницима, на сервере које контролише нападач, где се дешифровање одвија ван зараженог система. Овај удаљени приступ му омогућава да избегне активирање модерних безбедносних одбрана.

Еволуција техника крађе акредитива

Методе крађе акредитива су претрпеле значајну трансформацију. Историјски гледано, нападачи су издвајали и дешифровали податке директно на уређајима жртава користећи SQLite библиотеке за приступ складиштима акредитива прегледача. Међутим, како су се безбедносна решења побољшавала, такве активности је постајало лакше открити.

Увођење шифровања везаног за апликације од стране компаније Google 2024. године, почевши од верзије Chrome 127, додатно је закомпликовало ове нападе везивањем кључева за шифровање за сам прегледач. Чак и када су нападачи покушали да искористе протоколе за отклањање грешака у прегледачу или убаце злонамерни код, безбедносни системи су често били у стању да идентификују сумњиво понашање.

Сторм представља следећи корак у овој еволуцији потпуним напуштањем локалне дешифрације и пребацивањем операција на инфраструктуру коју контролише нападач, чиме се минимизирају трагови који се могу открити на машини жртве.

Дешифровање на страни сервера и досег у више прегледача

Сторм је напреднији од ранијих крађа информација јер у потпуности обрађује дешифровање на удаљеним серверима. Подржава прегледаче засноване на Chromium-у и Gecko-у, што га чини веома свестраним у различитим окружењима.

Када се украдени подаци дешифрују, они се достављају централизованом операторском панелу који користе сајбер криминалци. Овај панел уводи аутоматизацију у фазу експлоатације, омогућавајући нападачима да ефикасно искористе угрожене податке у великим размерама.

Аутоматизована отмица сесија и ризик за предузећа

Посебно опасна карактеристика Storm-а је његова способност да обнови аутентифициране сесије. Достављањем Google Refresh токена заједно са географски упареним SOCKS5 проксијем, нападачи могу неприметно поново успоставити активну сесију жртве без покретања изазова за аутентификацију.

Ова способност има озбиљне импликације:

• Пословна окружења могу бити изложена путем једног компромитованог прегледача, омогућавајући приступ SaaS платформама, интерним системима и cloud инфраструктури.
• Појединачни корисници се суочавају са преузимањем налога, финансијским преварама и даљим циљаним нападима без потребе да директно заобилазе двофакторску аутентификацију.

Поновна употреба већ аутентификованих сесија ефикасно поништава традиционалне заштите пријављивања.

Јефтина цена, велики утицај сајбер криминала као услуга

Сторм је доступан сајбер криминалцима за само 1.000 долара месечно, што га чини приступачним, али моћним алатом. Ова приступачна цена убрзава ширење напредних могућности напада, омогућавајући мање софистицираним актерима претњи да извршавају веома ефикасне кампање.

Комбинација ниских трошкова, прикривености и аутоматизације означава значајан помак ка скалабилним операцијама сајбер криминала заснованим на услугама.

Одбрамбене мере: Смањење изложености олуји

Стручњаци за безбедност наглашавају важност јачања свакодневних пракси сајбер безбедности како би се ублажили ризици које представљају претње попут Сторм-а:

• Избегавајте преузимање софтвера из непоузданих или незваничних извора.
• Будите опрезни против фишинга и других тактика друштвеног инжењеринга.
• Користите јединствене лозинке за сваки налог и услугу.
• Омогућите двофакторску аутентификацију где год је то могуће и усвојите лозинке када је то подржано.

Иако ниједна појединачна мера не гарантује потпуну заштиту, слојевита безбедност значајно смањује вероватноћу компромитовања.