Продавачът зад StealC, добре известен infostealer, сега предлага нов продукт, наречен Stadia RAT. Според репортаж на Cybersecurity News, инструментът съчетава кражба на пароли със скрито управление на работния плот, разглеждане на файлове и отдалечено изпълнение на команди на Windows компютри. Комбинацията Stadia RAT StealC malware е важна, защото превръща еднократното извличане на данни в постоянен достъп до заразена машина.
Изходната статия е кратка, затова тази публикация се придържа към това, което е било докладвано, и обяснява общата механика на тези типове заплахи на разбираем език.
Какво добавя Stadia RAT към StealC
StealC е infostealer: malware, създаден тихо да събира чувствителни данни от компютър и да ги изпраща на атакуващ. Stadia RAT, предлаган от продавача на StealC, разширява тази идея. RAT означава remote access trojan — тип malware, който дава на атакуващ скрит начин да контролира нечий друг компютър.
Според доклада Stadia RAT обединява няколко възможности:
- Кражба на пароли, наследявайки stealer частта на продукта
- Скрито управление на работния плот, така че атакуващият да може да вижда екрана и да взаимодейства с него
- Разглеждане на файлове, така че атакуващият да може да преглежда папки на заразения компютър
- Отдалечено изпълнение на команди, така че атакуващият да може да изпълнява инструкции на машината
Практическата промяна е от „удряй и бягай“ към трайно присъствие. Stealer обикновено се изпълнява, събира каквото може и го изпраща навън. RAT може да остане в системата, позволявайки на атакуващия да се връща, да оглежда и да решава какво си струва да бъде взето.
Как infostealers улавят пароли и сесийни бисквитки
Infostealers обикновено атакуват местата, където браузърът и приложенията ви съхраняват информация за вход. Това включва запазени пароли и сесийни бисквитки. Сесийната бисквитка е малък файл, който казва на уебсайта, че вече сте влезли в профила си, така че не е нужно да въвеждате паролата си всеки път.
Ето защо кражбата на бисквитки е толкова ценна за атакуващите. Ако престъпник получи валидна сесийна бисквитка, той може да успее да получи достъп до акаунт, без да знае паролата, а в някои случаи и без да задейства многофакторно запитване, защото сайтът вярва, че входът вече е осъществен. Откраднатите идентификационни данни и бисквитки често се обединяват и продават или се използват директно за поемане на контрол над имейл, банкиране, социални мрежи и работни акаунти.
Infostealers обикновено достигат до жертвите чрез изтегляния, на които хората погрешно се доверяват, като Cracked софтуер, фалшиви инсталатори или файлове, споделени във форуми и чатове. Смисълът е, че потребителят обикновено сам изпълнява malware-а, поради което внимателните навици при изтегляне са толкова важни, колкото и техническите защити.
Как RAT тихо поема контрол над Windows компютър
След като RAT работи, атакуващият получава отдалечено място на вашия компютър. С управление на работния плот той може да наблюдава какво правите или да действа в системата без очевидни признаци. Разглеждането на файлове му позволява да търси документи, файлове на портфейли или каквото друго го интересува. Отдалеченото изпълнение на команди му позволява да изпълнява допълнителни инструкции, което може да включва инсталиране на допълнителен malware.
Именно тази последна точка показва защо RAT повишава залога. Откраднатите пароли могат да бъдат сменени впоследствие, но атакуващ с активен достъп може да продължава да вижда нови входове, докато ги въвеждате, и да достига до файлове, които никога не са били запазвани в браузър. Почистването след това означава повече от смяна на една парола: всеки акаунт, използван на този компютър, може да се нуждае от внимание.
Този вид дейност, при която кражбата на данни е на първо място, не е уникална само за infostealers. За контекст относно това как откраднатите данни захранват други заплахи, вижте нашия анализ на Pear ransomware групата, който разглежда група, фокусирана върху кражба на данни, а не върху криптиране.
Какво означава това за вас
Ако използвате Windows компютър, основният извод е, че тази заплаха е насочена към вашето устройство, а не към вашата мрежова връзка. VPN криптира трафика между вашето устройство и VPN сървъра, но не може да спре malware, който вече сте инсталирали. След като Stadia RAT или подобен инструмент е на вашата машина, той може да чете запазени пароли, бисквитки и файлове директно, преди трафикът изобщо да бъде криптиран.
Това не прави VPN безсмислен. Той остава един слой за защита на трафика ви в ненадеждни мрежи. Просто не е заместител на сигурността на крайните устройства. Същата логика важи и за споменатия по-горе анализ на Pear ransomware групата: когато атакуващите крадат данни от компрометирана система, инструментите за мрежова поверителност не са релевантната защита.
Практически стъпки за намаляване на риска
Нито една от тези стъпки не изисква техническа експертиза:
- Избягвайте пиратски и cracked софтуер. Изтегляйте програми само от официални сайтове на доставчици или доверени магазини и бъдете внимателни с инсталатори, споделени чрез форуми, реклами или връзки в чатове.
- Включете многофакторна автентикация (MFA). Тя добавя защита, ако само паролата бъде открадната. Предпочитайте методи чрез приложение или хардуерни методи, когато са налични.
- Използвайте мениджър на пароли. Той ви помага да създавате уникални пароли и намалява броя на идентификационните данни, които стоят в браузъра ви.
- Поддържайте Windows и софтуера си за сигурност актуализирани. Изпълнявайте редовни сканирания с надежден антивирусен софтуер или вградената защита на Windows.
- Проверявайте за подозрителни процеси. Отворете Task Manager и потърсете непознати програми, използващи ресурси, или прегледайте кои приложения стартират с Windows. Ако нещо изглежда нередно, проучете го, преди да го пренебрегнете.
- Реагирайте бързо, ако подозирате инфекция. Изключете се от интернет, сканирайте устройството, след което сменете паролите от чисто устройство и излезте от активните сесии, за да спрат да работят откраднатите бисквитки.
Основният извод
Появата на Stadia RAT показва как кражбата на идентификационни данни и дистанционното управление се пакетират заедно. Комбинацията Stadia RAT StealC malware е напомняне да третирате компютъра си като фронтова линия: включете MFA, използвайте мениджър на пароли, избягвайте пиратски софтуер и следете за подозрителни процеси. VPN е един полезен слой за поверителност, но не защитава срещу malware, който вече работи на вашия компютър.
