Storm Stealer

Cybersäkerhetsforskare har bekräftat ett sofistikerat nytt hot som riktar sig mot användare av Google Chrome, Microsoft Edge och Mozilla Firefox. Denna avancerade informationstjuv, känd som Storm, fungerar som en multifunktionell attackplattform som kombinerar lösenordsstöld, sessionscookie-kompromettering för att kringgå tvåfaktorsautentisering och insamling av betalkortsdata i en enda skadlig tjänst.

Storm erbjuds som en uthyrningsbar verktygslåda och sänker avsevärt inträdesbarriären för cyberbrottslingar samtidigt som den utsätter mer än en miljard webbläsaranvändare för potentiell risk.

Inside Storm: En tyst och sofistikerad informationstjuv

Storm är utformad för att undvika upptäckt samtidigt som den maximerar datautvinningen. Den kringgår verktyg för slutpunktssäkerhet, dekrypterar webbläsaruppgifter på distans och gör det möjligt för angripare att återställa kapade sessioner utan att utlösa larm.

Till skillnad från traditionell skadlig kod, som förlitade sig på lokala dekrypteringstekniker, använder Storm en stealth-first-arkitektur. Den filtrerar i tysthet känslig webbläsardata, inklusive inloggningsuppgifter, sessionscookies och information om kryptovalutaplånböcker, till angriparstyrda servrar, där dekrypteringen sker på avstånd från det infekterade systemet. Denna fjärrstyrda metod gör att den undviker att utlösa moderna säkerhetsförsvar.

Utvecklingen av tekniker för stöld av autentiseringsuppgifter

Metoder för stöld av autentiseringsuppgifter har genomgått en betydande förändring. Historiskt sett extraherade och dekrypterade angripare data direkt på offrens enheter med hjälp av SQLite-bibliotek för att komma åt webbläsarens autentiseringsuppgifter. Men i takt med att säkerhetslösningarna förbättrades blev sådan aktivitet lättare att upptäcka.

Googles introduktion av appbunden kryptering år 2024, med början i Chrome 127, komplicerade dessa attacker ytterligare genom att binda krypteringsnycklar till själva webbläsaren. Även när angripare försökte utnyttja webbläsarens felsökningsprotokoll eller injicera skadlig kod kunde säkerhetssystem ofta identifiera misstänkt beteende.

Storm representerar nästa steg i denna utveckling genom att helt överge lokal dekryptering och flytta verksamheten till angriparkontrollerad infrastruktur, vilket minimerar detekterbara spår på offrets maskin.

Server-sidesdekryptering och räckvidd över flera webbläsare

Storm går längre än tidigare informationsstjälare genom att hantera dekryptering fullt ut på fjärrservrar. Den stöder både Chromium-baserade och Gecko-baserade webbläsare, vilket gör den mycket mångsidig i olika miljöer.

När den stulna informationen har dekrypterats levereras den till en centraliserad operatörspanel som används av cyberbrottslingar. Denna panel introducerar automatisering i utnyttjandefasen, vilket gör det möjligt för angripare att effektivt utnyttja komprometterad data i stor skala.

Automatiserad sessionskapning och företagsrisk

En särskilt farlig funktion hos Storm är dess förmåga att återställa autentiserade sessioner. Genom att tillhandahålla en Google Refresh Token tillsammans med en geografiskt matchad SOCKS5-proxy kan angripare tyst återupprätta ett offers aktiva session utan att utlösa autentiseringsutmaningar.

Denna förmåga har allvarliga konsekvenser:

• Företagsmiljöer kan exponeras via en enda komprometterad webbläsare, vilket ger åtkomst till SaaS-plattformar, interna system och molninfrastruktur.
• Enskilda användare utsätts för kontoövertaganden, ekonomiska bedrägerier och ytterligare riktade attacker utan att behöva kringgå tvåfaktorsautentisering direkt.

Återanvändningen av redan autentiserade sessioner upphäver effektivt traditionella inloggningsskydd.

Låg kostnad, hög påverkan på cyberbrottslighet som tjänst

Storm är tillgängligt för cyberbrottslingar för så lite som 1 000 dollar per månad, vilket gör det till ett lättillgängligt men kraftfullt verktyg. Denna överkomliga kostnad accelererar spridningen av avancerade attackfunktioner, vilket gör det möjligt för mindre sofistikerade hotaktörer att genomföra mycket effektiva kampanjer.

Kombinationen av låg kostnad, stealth och automatisering markerar ett betydande skifte mot skalbara, tjänstebaserade cyberbrottsoperationer.

Försvarsåtgärder: Minska exponeringen för stormar

Säkerhetsexperter betonar vikten av att stärka dagliga cybersäkerhetspraxis för att minska riskerna med hot som Storm:

• Undvik att ladda ner programvara från opålitliga eller inofficiella källor.
• Var vaksam mot nätfiske och andra sociala ingenjörskonstmetoder.
• Använd unika lösenord för varje konto och tjänst.
• Aktivera tvåfaktorsautentisering där det är möjligt och använd lösenord när det stöds.

Även om ingen enskild åtgärd garanterar fullständigt skydd, minskar säkerhet på flera skikt avsevärt sannolikheten för kompromisser.