Ο πωλητής πίσω από το StealC, ένα γνωστό infostealer, προσφέρει τώρα ένα νέο προϊόν που ονομάζεται Stadia RAT. Σύμφωνα με ρεπορτάζ του Cybersecurity News, το εργαλείο συνδυάζει κλοπή κωδικών πρόσβασης με stealthy έλεγχο επιφάνειας εργασίας, περιήγηση αρχείων και απομακρυσμένη εκτέλεση εντολών σε υπολογιστές Windows. Ο συνδυασμός Stadia RAT StealC malware έχει σημασία γιατί μετατρέπει μια εφάπαξ αρπαγή δεδομένων σε συνεχή πρόσβαση σε μια μολυσμένη μηχανή.
Το άρθρο πηγής είναι σύντομο, οπότε αυτή η ανάρτηση περιορίζεται σε ό,τι έχει αναφερθεί και εξηγεί τη γενική μηχανική αυτών των τύπων απειλών με απλή γλώσσα.
Τι προσθέτει το Stadia RAT στο StealC
Το StealC είναι ένα infostealer: κακόβουλο λογισμικό φτιαγμένο για να συλλέγει αθόρυβα ευαίσθητα δεδομένα από έναν υπολογιστή και να τα στέλνει σε έναν επιτιθέμενο. Το Stadia RAT, που προσφέρεται από τον πωλητή του StealC, επεκτείνει αυτή την ιδέα. RAT σημαίνει remote access trojan, ένας τύπος κακόβουλου λογισμικού που δίνει σε έναν επιτιθέμενο έναν κρυφό τρόπο να ελέγχει τον υπολογιστή κάποιου άλλου.
Σύμφωνα με την αναφορά, το Stadia RAT συνδυάζει plusieurs δυνατότητες:
- Κλοπή κωδικών πρόσβασης, μεταφέροντας την πλευρά του stealer του προϊόντος
- Stealthy έλεγχο επιφάνειας εργασίας, ώστε ένας επιτιθέμενος να μπορεί να βλέπει και να αλληλεπιδρά με την οθόνη
- Περιήγηση αρχείων, ώστε ένας επιτιθέμενος να μπορεί να ψάχνει μέσα σε φακέλους του μολυσμένου PC
- Απομακρυσμένη εκτέλεση εντολών, ώστε ένας επιτιθέμενος να μπορεί να εκτελεί οδηγίες στη μηχανή
Η πρακτική αλλαγή είναι από το smash-and-grab στη διατηρησιμότητα. Ένας stealer συνήθως εκτελείται, συλλέγει ό,τι μπορεί και το στέλνει έξω. Ένα RAT μπορεί να παραμείνει στο σύστημα, επιτρέποντας σε έναν επιτιθέμενο να επιστρέψει, να κοιτάξει γύρω και να αποφασίσει τι αξίζει να πάρει.
Πώς οι infostealers αρπάζουν κωδικούς πρόσβασης και session cookies
Οι infostealers γενικά στοχεύουν τα σημεία όπου το πρόγραμμα περιήγησης και οι εφαρμογές σας κρατούν πληροφορίες σύνδεσης. Αυτό περιλαμβάνει αποθηκευμένους κωδικούς πρόσβασης και session cookies. Ένα session cookie είναι ένα μικρό αρχείο που λέει σε έναν ιστότοπο ότι είστε ήδη συνδεδεμένοι, ώστε να μην χρειάζεται να εισάγετε τον κωδικό πρόσβασής σας κάθε φορά.
Αυτός είναι ο λόγος για τον οποίο η κλοπή cookies είναι τόσο πολύτιμη για τους επιτιθέμενους. Αν ένας εγκληματίας αποκτήσει ένα έγκυρο session cookie, μπορεί να μπορεί να αποκτήσει πρόσβαση σε έναν λογαριασμό χωρίς να γνωρίζει τον κωδικό πρόσβασης, και σε ορισμένες περιπτώσεις χωρίς να ενεργοποιήσει ένα multi-factor prompt, επειδή ο ιστότοπος πιστεύει ότι η σύνδεση έχει ήδη γίνει. Κλεμμένα διαπιστευτήρια και cookies συχνά ομαδοποιούνται και πωλούνται ή χρησιμοποιούνται απευθείας για την κατάληψη email, τραπεζικών, social media και εταιρικών λογαριασμών.
Οι infostealers συνήθως φτάνουν στα θύματα μέσω λήψεων που οι άνθρωποι εμπιστεύονται κατά λάθος, όπως cracked λογισμικό, ψεύτικα installers ή αρχεία που μοιράζονται σε φόρουμ και συνομιλίες. Το θέμα είναι ότι ο χρήστης συνήθως εκτελεί ο ίδιος το κακόβουλο λογισμικό, γι' αυτό οι προσεκτικές συνήθειες λήψης έχουν τόση σημασία όση και οι τεχνικές άμυνες.
Πώς ένα RAT καταλαμβάνει αθόρυβα έναν υπολογιστή Windows
Μόλις ένα RAT εκτελείται, ο επιτιθέμενος αποκτά μια απομακρυσμένη θέση στον υπολογιστή σας. Με τον έλεγχο επιφάνειας εργασίας, μπορούν να παρακολουθούν τι κάνετε ή να ενεργούν στο σύστημα χωρίς προφανή σημάδια. Η περιήγηση αρχείων τους επιτρέπει να ψάχνουν για έγγραφα, αρχεία wallet ή οτιδήποτε άλλο ενδιαφέρον. Η απομακρυσμένη εκτέλεση εντολών τους επιτρέπει να εκτελούν περαιτέρω οδηγίες, οι οποίες θα μπορούσαν να περιλαμβάνουν την εγκατάσταση πρόσθετου κακόβουλου λογισμικού.
Αυτό το τελευταίο σημείο είναι ο λόγος για τον οποίο ένα RAT ανεβάζει το διακύβευμα. Οι κλεμμένοι κωδικοί πρόσβασης μπορούν να αλλάξουν εκ των υστέρων, αλλά ένας επιτιθέμενος με ζωντανή πρόσβαση μπορεί να συνεχίσει να βλέπει νέες συνδέσεις καθώς τις πληκτρολογείτε και να φτάνει σε αρχεία που δεν αποθηκεύτηκαν ποτέ σε ένα πρόγραμμα περιήγησης. Ο καθαρισμός εκ των υστέρων σημαίνει περισσότερα από την αλλαγή ενός κωδικού πρόσβασης: οποιοσδήποτε λογαριασμός χρησιμοποιήθηκε σε αυτό το PC μπορεί να χρειάζεται προσοχή.
Αυτού του είδους η δραστηριότητα data-theft-first δεν είναι μοναδική για τους infostealers. Για context σχετικά με το πώς τα κλεμμένα δεδομένα τροφοδοτούν άλλες απειλές, δείτε την ανάλυσή μας για την ομάδα ransomware Pear, η οποία εξετάζει μια ομάδα που επικεντρώνεται στην κλοπή δεδομένων αντί στην κρυπτογράφηση.
Τι σημαίνει αυτό για εσάς
Αν χρησιμοποιείτε υπολογιστή Windows, το κύριο συμπέρασμα είναι ότι αυτή η απειλή στοχεύει τη συσκευή σας, όχι τη σύνδεσή σας στο δίκτυο. Ένα VPN κρυπτογραφεί την κίνηση μεταξύ της συσκευής σας και του διακομιστή VPN, αλλά δεν μπορεί να σταματήσει κακόβουλο λογισμικό που έχετε ήδη εγκαταστήσει. Μόλις το Stadia RAT ή ένα παρόμοιο εργαλείο βρίσκεται στη μηχανή σας, μπορεί να διαβάζει αποθηκευμένους κωδικούς πρόσβασης, cookies και αρχεία απευθείας, πριν κρυπτογραφηθεί ποτέ οποιαδήποτε κίνηση.
Αυτό δεν κάνει ένα VPN άχρηστο. Παραμένει ένα επίπεδο για την προστασία της κίνησής σας σε μη αξιόπιστα δίκτυα. Απλώς δεν είναι υποκατάστατο για την ασφάλεια endpoint. Η ίδια λογική ισχύει για την ανάλυση της ομάδας ransomware Pear που αναφέρθηκε παραπάνω: όταν οι επιτιθέμενοι κλέβουν δεδομένα από ένα παραβιασμένο σύστημα, τα εργαλεία ιδιωτικότητας δικτύου δεν είναι η σχετική άμυνα.
Πρακτικά βήματα για να μειώσετε τον κίνδυνό σας
Κανένα από αυτά τα βήματα δεν απαιτεί τεχνική εξειδίκευση:
- Αποφύγετε πειρατικό και cracked λογισμικό. Κατεβάζετε προγράμματα μόνο από επίσημους ιστότοπους πωλητών ή αξιόπιστα καταστήματα, και να είστε επιφυλακτικοί με installers που μοιράζονται μέσω φόρουμ, διαφημίσεων ή συνδέσμων συνομιλίας.
- Ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων (MFA). Προσθέτει προστασία αν κλαπεί μόνο ένας κωδικός πρόσβασης. Προτιμήστε μεθόδους βασισμένες σε εφαρμογή ή υλικό όπου είναι διαθέσιμες.
- Χρησιμοποιήστε έναν password manager. Σας βοηθά να δημιουργείτε μοναδικούς κωδικούς πρόσβασης και μειώνει πόσα διαπιστευτήρια βρίσκονται στο πρόγραμμα περιήγησής σας.
- Διατηρείτε τα Windows και το λογισμικό ασφαλείας σας ενημερωμένα. Εκτελείτε τακτικές σαρώσεις με αξιόπιστο antivirus ή την ενσωματωμένη προστασία των Windows.
- Ελέγχετε για ύποπτες διεργασίες. Ανοίξτε το Task Manager και αναζητήστε άγνωστα προγράμματα που χρησιμοποιούν πόρους, ή ελέγξτε ποιες εφαρμογές ξεκινούν με τα Windows. Αν κάτι φαίνεται λάθος, ερευνήστε το πριν το αγνοήσετε.
- Αντιδράστε γρήγορα αν υποψιάζεστε μόλυνση. Αποσυνδεθείτε από το διαδίκτυο, σαρώστε τη συσκευή, μετά αλλάξτε κωδικούς πρόσβασης από μια καθαρή συσκευή και αποσυνδεθείτε από ενεργές συνεδρίες ώστε τα κλεμμένα cookies να σταματήσουν να λειτουργούν.
Η βασική γραμμή
Η άφιξη του Stadia RAT δείχνει πώς η κλοπή διαπιστευτηρίων και ο απομακρυσμένος έλεγχος συσκευάζονται μαζί. Ο συνδυασμός Stadia RAT StealC malware είναι μια υπενθύμιση να αντιμετωπίζετε το PC σας ως την πρώτη γραμμή: ενεργοποιήστε MFA, χρησιμοποιήστε έναν password manager, αποφύγετε πειρατικό λογισμικό και παρακολουθείτε για ύποπτες διεργασίες. Ένα VPN είναι ένα χρήσιμο επίπεδο ιδιωτικότητας, αλλά δεν προστατεύει από κακόβουλο λογισμικό που εκτελείται ήδη στον υπολογιστή σας.
