Когато кибератака попадне в заглавията, обикновено става дума за ransomware, голямо изтичане на данни или измамен банков превод. Рядко се споменава как нападателят изобщо е влязъл. Все по-често отговорът е злонамерен софтуер за кражба на данни: тиха, невзрачна програма, създадена да върши едно нещо изключително добре – да събира потребителски имена, пароли, бисквитки на браузъра и финансови данни от заразено устройство, без жертвата изобщо да забележи.

Да разберем как действа злонамереният софтуер за кражба на данни и защо се е превърнал в предпочитаната входна точка за киберпрестъпниците, е първата стъпка към защита срещу вълната от пробиви, базирани на идентификационни данни, които сега доминират в докладите за сигурност.

Как злонамереният софтуер за кражба на данни всъщност краде вашите данни

Злонамереният софтуер за кражба не е показен. Той не заключва файловете ви и не иска откуп веднага. Вместо това се промъква на устройството чрез изтегляне на кракнат софтуер, злонамерен прикачен файл към имейл, фалшива актуализация на браузъра или компрометирана реклама и след това започва да работи тихо във фонов режим.

Веднъж инсталиран, зловредният софтуер сканира записаните пароли в браузъра, кешираните бисквитки за вход, данните за автоматично попълване и дори файловете на портфейли за криптовалута. Той пакетира всичко, което намери, в нещо, което изследователите по сигурността наричат „дневник на крадец“ (stealer log), след което предава този дневник на нападателя, който често го препродава на едро на престъпни пазари. Една-единствена заразена машина може да предостави десетки активни сесии – от имейл и банкиране до корпоративен VPN и администраторски панели за облачни услуги – без да задейства нито едно предупреждение от антивирусната програма, ако зловредният софтуер е добре направен.

Точно този модел се наблюдава при излагането на дневник на крадец от SunCloudNew, където близо 6 000 записа, съдържащи пароли в чист текст, имейл адреси и URL адреси за вход, изплуваха от един компрометиран набор от данни. Жертвите в този случай вероятно никога не са кликвали върху фишинг линк, свързан с конкретен акаунт; зловредният софтуер просто е изсмукал всички идентификационни данни, които са се намирали в браузърите им.

Защо откраднатите идентификационни данни вече са причина за повечето пробиви и атаки с ransomware

В продължение на години фишинг имейлите и некоригираните софтуерни уязвимости бяха основните входни точки за нападателите, които се опитваха да проникнат в корпоративни мрежи. Това се промени. Както е описано подробно в репортажа за това как дневниците на крадци са изместили фишинга като основна причина за пробиви, изследователите по сигурността наблюдават как валидни, откраднати идентификационни данни за вход се използват, за да се влезе просто през входната врата, вместо да се налага насилствено влизане.

Промяната е логична от гледна точка на нападателя. Фишингът изисква убеждаване на целта да действа в реално време, а използването на софтуерна уязвимост изисква намиране на такава, която все още не е коригирана. Закупуването на партида вече събрани идентификационни данни от дневник на крадец е по-бързо, по-евтино и много по-малко вероятно да предизвика подозрение, особено когато тези данни включват активни бисквитки за сесия, които могат напълно да заобиколят подканите за вход.

Тази динамика вече е залегнала и в операциите с ransomware. Според репортаж, който установи, че четири от пет атаки с ransomware започват с откраднати самоличности, а не с мрежов експлойт, нападателите все по-често влизат като служител, вместо да хакват като стереотипен натрапник с качулка. Пробивът в Stewart Home & School, който изложи 3 677 записа, следва същия сценарий: инцидент с ransomware, вкоренен в кражба на идентификационни данни, а не в сложен технически експлойт.

Признаци, че вашите идентификационни данни може вече да са компрометирани

Тъй като злонамереният софтуер за кражба е създаден да бъде невидим, повечето хора никога не осъзнават, че са заразени, докато щетите вече не са нанесени. Няколко предупредителни знака, за които си струва да се следи: непознати известия за вход или имейли за нулиране на парола, които не сте поискали; нови устройства или сесии на браузъра, които се появяват в историята на активните ви входове в акаунта; неочаквани промени в информацията за възстановяване на акаунта; или внезапни забавяния и непознати процеси, работещи на устройството ви.

Услугите за наблюдение на идентификационни данни и инструментите за уведомяване за пробиви също могат да сигнализират, когато вашият имейл адрес или пароли се появят в изтекъл дневник на крадец, често преди самите вие да забележите нещо необичайно. Предвид това колко рутинно тези дневници изплуват – от малки пробиви в училищни райони до по-големи инциденти с портали за здравеопазване – проверката дали вашата информация се е появила в такъв е разумен навик, а не параноя.

Практически защити: мениджъри на пароли, двуфакторно удостоверяване и навици за безопасно сърфиране

Добрата новина е, че злонамереният софтуер за кражба, при цялата си потайност, се побеждава от сравнително елементарна хигиена, практикувана последователно. Мениджърът на пароли елиминира запазените в браузъра пароли, които крадците са специално проектирани да изстъргват, и прави използването на уникална парола за всеки акаунт реалистично, вместо изтощително. Активирането на двуфакторно удостоверяване, в идеалния случай чрез приложение за удостоверяване, а не чрез SMS, означава, че само открадната парола не е достатъчна, за да предостави достъп. Поддържането на софтуера и браузърите актуализирани затваря някои от каналите за доставка, на които разчита зловредният софтуер, а избягването на пиратски софтуер, неофициални разширения за браузъра и непоискани прикачени файлове премахва изцяло най-често срещаните вектори на заразяване.

Какво означава това за вас

Кражбата на идентификационни данни от злонамерен софтуер за кражба не изисква да сте ръководител в голяма компания или високостойностна цел. Дневниците на крадци често са безразборни, като изземват всички идентификационни данни, които случайно се намират на заразената машина – независимо дали тя принадлежи на болничен администратор, училищен служител или обикновен потребител. Инцидентът с портала за Medicaid HUSKY на Hartford HealthCare показа как дори рутинните здравни идентификационни данни за вход носят реална стойност за нападателите, след като попаднат в набор от откраднати данни. Изводът не е, че конкретен човек е направил нещо нередно, а че самите идентификационни данни са се превърнали във валутата, с която престъпниците търгуват.

Най-ефективният отговор не е да изпадате в паника всеки път, когато изплува нов дневник на крадец, а да направите собствените си акаунти по-малко полезни за всеки, който може да ги купи. Използвайте мениджър на пароли, включете двуфакторно удостоверяване навсякъде, където се предлага, и третирайте непознатите известия за вход като нещо, което си струва да се разследва, вместо да се пренебрегва. Злонамереният софтуер за кражба процъфтява благодарение на невидимостта и повторно използваните пароли. Премахването и на двете е едно от най-простите и с най-високо въздействие решения за сигурност, достъпни за всеки, който има онлайн акаунт.