Facebook-keskeisestä tiedon varastajasta täysiveriseksi vakoiluohjelmaksi

Uusi päivitys Python-pohjaiseen NodeStealer-haittaohjelmaan on muuttanut sen, mikä oli aikoinaan kapeasti Facebook-kirjautumistietoihin keskittynyt varas, paljon monipuolisemmaksi vakoiluohjelma-alustaksi. Tietoturvatutkijoiden, jotka analysoivat uusimman version, mukaan NodeStealer sisältää nyt näppäinpainallusten tallennustoiminnon ja kyvyn ottaa kuvakaappauksia, alun perin Facebook-tileihin kohdistuneiden tietojen varastamiskykyjen lisäksi.

Tämä muutos on merkittävä, koska se muuttaa sitä, millaista haittaa haittaohjelma voi aiheuttaa päästessään uhrin laitteelle. Työkalu, joka aikoinaan keskittyi selaimen tallennettujen kirjautumistietojen ja Facebook-istuntodatan kaapimiseen, pystyy nyt seuraamaan kaikkea, mitä käyttäjä kirjoittaa ja näkee näytöllä, mikä laajentaa dramaattisesti sen tietojen määrää, jota se voi hiljaa kerätä.

Mitä päivitys itse asiassa muuttaa

NodeStealer on historiallisesti tunnettu tiedon varastajana: haittaohjelmana, joka on suunniteltu paikantamaan ja siirtämään pois tiettyjä tallennettuja tietotyyppejä, kuten tallennettuja salasanoja, selaimen evästeitä ja automaattiseen täyttöön liittyviä tietoja, jotka liittyvät Facebook-tileihin. Tämä teki siitä suosikin hyökkääjien keskuudessa, jotka kohdistavat iskunsa pieniin yrityksiin ja mainostajiin, jotka hallinnoivat Facebook Business- tai mainostilejä, koska kaapattuja tilejä voidaan myydä edelleen tai käyttää vilpillisten mainoskampanjoiden ajamiseen.

Näppäinpainallusten tallennuksen ja kuvakaappausten lisääminen edustaa merkittävää harppausta kyvykkyydessä. Näppäinpainallusten tallentajat tallentavat jokaisen näppäinpainalluksen, jonka uhri tekee, mikä voi paljastaa salasanoja, yksityisviestejä, pankkitietoja ja kaikkea muuta, mitä tartunnan saaneella koneella kirjoitetaan, paljon laajemmin kuin mitä selaimessa on tallennettuna. Kuvakaappausten ottaminen lisää visuaalisen kerroksen tähän valvontaan, jolloin hyökkääjä näkee tarkalleen, mitä uhrin näytöllä näkyy, mukaan lukien sisällön, jota ei koskaan ehkä kirjoiteta tai tallenneta paikallisesti, kuten kaksivaiheisen todennuksen koodit, jotka näkyvät näytöllä lyhyen aikaa, tai arkaluonteiset asiakirjat, joita katsellaan.

Yhdessä nämä lisäykset työntävät NodeStealerin kohdennetusta kirjautumistietojen keruutyökalusta kohti yleiskäyttöistä vakoiluohjelmaa. Tämä on huomattava kehitys haittaohjelmalle, joka aloitti melko kapealla tehtävällä varastaa Facebookin kirjautumistietoja.

Miksi tällaiset haittaohjelmat kehittyvät jatkuvasti

Tiedon varastajat, kuten NodeStealer, kehittyvät tyypillisesti, koska taustalla oleva liiketoimintamalli palkitsee siitä. Varastetuilla Facebook-kirjautumistiedoilla ja mainostilin käyttöoikeuksilla on todellista jälleenmyyntiarvoa pimeillä markkinoilla, ja hyökkääjät, jotka voivat myös kerätä salasanoja, viestejä ja taloustietoja samalta tartunnan saaneelta laitteelta, saavat enemmän irti jokaisesta onnistuneesta kompromissista. Näppäinpainallusten tallennuksen ja kuvakaappauskyvykkyyksien lisääminen ei edellytä haittaohjelman alkuperäisen tarkoituksen hylkäämistä, vaan se yksinkertaisesti kerrostaa lisää tiedonkeruuta sen päälle, mikä tekee jokaisesta infektiosta kannattavamman sen levittäjälle.

Tämä kuvio heijastaa laajempaa trendiä haittaohjelmakentässä: työkalut, jotka on rakennettu yhteen tiettyyn varkaustyyppiin, saavat usein valvontaominaisuuksia jälkikäteen, kun kehittäjät ymmärtävät, kuinka paljon enemmän arvoa he voivat irrottaa jo valmiiksi vaarantuneesta koneesta. Tämä on samankaltaista dynamiikkaa kuin se, miten vilpilliset verkkosivustot voivat hiljaa kerätä paljon enemmän kuin ne alun perin mainostavat. Eräässä viimeaikaisessa tapauksessa väärennetty UK-viisumisivusto altisti 100 000 passia, jotka oli kerätty rutiininomaisen hakemusprosessin varjolla, mikä osoittaa, kuinka hyökkääjät usein poimivat arkaluonteisempaa dataa kuin uhrit ymmärtävät luovuttavansa.

Mitä tämä tarkoittaa sinulle

Jos laitteesi olisi tartunnan saanut tällaisella päivitetyllä kannalla, riski ei enää rajoittuisi Facebook-tiliisi. Näppäinpainallusten tallennus ja kuvakaappausten ottaminen tarkoittavat, että mihin tahansa tiliin kirjaudut, minkä tahansa viestin lähetät ja mikä tahansa näytölläsi näkyy, voisi mahdollisesti paljastua. Tämä on erityisen huolestuttavaa pienyrittäjille ja markkinoijille, jotka hallinnoivat Facebook-mainostilejä, koska heihin kohdistetaan usein erityisesti tietojenkalasteluhoukutuksia, jotka on suunniteltu levittämään tällaisia haittaohjelmia.

Käytännön opetus on, että perustason tilin hygienia, vaikka se onkin edelleen tärkeää, ei yksinään riitä vakoiluohjelmatason infektioita vastaan. Salasanan nollaaminen ei auta paljon, jos näppäinpainallusten tallentaja sieppaa uuden salasanasi heti, kun kirjoitat sen.

Käytännön toimet riskin vähentämiseksi

  • Ole varovainen luvattomien sähköpostien tai viestien kanssa, jotka väittävät ongelmia Facebook Business- tai mainostilissäsi, erityisesti niiden, jotka kehottavat lataamaan tiedoston tai klikkaamaan linkkiä.
  • Pidä virustorjunta- ja päätepisteensuojatyökalut päivitettyinä, koska haittaohjelmien, kuten NodeStealerin, tunnistussignaaleja tarkennetaan säännöllisesti uusien varianttien ilmaantuessa.
  • Ota käyttöön kaksivaiheinen todennus käyttämällä todennussovellusta SMS- tai näytöllä näkyvien koodien sijaan, kun mahdollista, koska kuvakaappausten ottaminen voi kiertää visuaaliset vahvistusmenetelmät.
  • Tarkista säännöllisesti Facebookin ja muiden tärkeiden tilien toimintalokit vieraiden kirjautumisten tai muutosten varalta.
  • Harkitse salasananhallinnan käyttöä, jossa on sisäänrakennettu tietovuotoseuranta, ja vältä arkaluonteisten kirjautumistietojen kirjoittamista laitteille, joiden epäilet olevan vaarantuneita, ennen kuin olet suorittanut täyden tietoturvatarkistuksen.

Kun tiedon varastajat jatkavat kehittymistään laajemmiksi vakoiluohjelma-alustoiksi, valppaana pysyminen tietojenkalasteluyritysten suhteen ja vahvan laitehygienian ylläpitäminen ovat edelleen tehokkaimmat puolustuskeinot tavallisille käyttäjille.