StealC:n, tunnetun tietovarastajan, takana oleva myyjä tarjoaa nyt uutta tuotetta nimeltä Stadia RAT. Cybersecurity Newsin raportin mukaan työkalu yhdistää salasanojen varastamisen hiiviskelyyn työpöydän hallintaan, tiedostojen selaamiseen ja etäkomentojen suorittamiseen Windows-tietokoneilla. Stadia RAT StealC -haittaohjelma -yhdistelmä on merkittävä, koska se muuttaa kertaluonteisen tietojen sieppauksen jatkuvaksi pääsyksi infektoituneeseen koneeseen.
Lähdeartikkeli on lyhyt, joten tässä kirjoituksessa pysytellään siinä, mitä on raportoitu, ja selitetään näiden uhkatyyppien yleinen toimintamekanismi selkeällä kielellä.
Mitä Stadia RAT tuo StealC:hen
StealC on tietovarastaja: haittaohjelma, joka on rakennettu keräämään hiljaa arkaluontoisia tietoja tietokoneelta ja lähettämään ne hyökkääjälle. Stadia RAT, jota StealC:n myyjä tarjoaa, laajentaa tätä ajatusta. RAT tarkoittaa etäkäyttötroijalaista (remote access trojan), eräänlaista haittaohjelmaa, joka antaa hyökkääjälle piilotetun tavan hallita jonkun toisen tietokonetta.
Raportin mukaan Stadia RAT kokoaa yhteen useita ominaisuuksia:
- Salasanojen varastaminen, joka jatkaa tuotteen varastajaosuutta
- Hiiviskelty työpöydän hallinta, jotta hyökkääjä voi nähdä näytön ja toimia sen kanssa
- Tiedostojen selaaminen, jotta hyökkääjä voi selata infektoidun tietokoneen kansioita
- Etäkomentojen suorittaminen, jotta hyökkääjä voi ajaa ohjeita koneella
Käytännön muutos on isku-ja-poistu-taktiikasta pysyvyyteen. Varastaja tyypillisesti suoritetaan, kerää mitä pystyy ja lähettää tiedot eteenpäin. RAT voi jäädä järjestelmään, jolloin hyökkääjä voi palata, katsella ympärilleen ja päättää, mitä kannattaa ottaa.
Miten tietovarastajat sieppaavat salasanoja ja istuntoevästeitä
Tietovarastajat kohdistuvat yleensä paikkoihin, joissa selain ja sovellukset säilyttävät kirjautumistietoja. Tähän kuuluvat tallennetut salasanat ja istuntoevästeet. Istuntoeväste on pieni tiedosto, joka kertoo verkkosivustolle, että olet jo kirjautunut sisään, joten sinun ei tarvitse syöttää salasanaasi joka kerta.
Tästä syystä evästeiden varastaminen on hyökkääjille niin arvokasta. Jos rikollinen saa kelvollisen istuntoevästeen, hän saattaa päästä käsiksi tiliin tietämättä salasanaa ja joissakin tapauksissa laukaisematta monivaiheista tunnistautumista, koska sivusto uskoo kirjautumisen jo tapahtuneen. Varastetut tunnistetiedot ja evästeet usein niputetaan ja myydään tai käytetään suoraan sähköpostin, pankkien, sosiaalisen median ja työtiliöiden kaappaamiseen.
Tietovarastajat päätyvät uhrien luo yleisesti latausten kautta, joihin ihmiset luottavat vahingossa, kuten krakatut ohjelmistot, väärennetyt asentajat tai foorumeilla ja chateissa jaetut tiedostot. Ydinasia on, että käyttäjä yleensä suorittaa haittaohjelman itse, minkä vuoksi huolelliset lataustottumukset ovat yhtä tärkeitä kuin tekniset suojaukset.
Miten RAT ottaa hiljaa haltuunsa Windows-tietokoneen
Kun RAT on käynnissä, hyökkääjä saa etäpaikan tietokoneellasi. Työpöydän hallinnan avulla hän voi seurata tekemisiäsi tai toimia järjestelmässä ilman ilmeisiä merkkejä. Tiedostojen selaaminen antaa hänelle mahdollisuuden etsiä asiakirjoja, lompakkotiedostoja tai mitä tahansa muuta kiinnostavaa. Etäkomentojen suorittaminen antaa hänelle mahdollisuuden ajaa lisäohjeita, mikä voi sisältää lisähaittaohjelmien asentamisen.
Viimeinen kohta on syy siihen, miksi RAT nostaa panoksia. Varastetut salasanat voidaan vaihtaa jälkikäteen, mutta hyökkääjä, jolla on live-pääsy, voi nähdä uudet kirjautumiset sitä mukaa kun kirjoitat niitä, ja päästä käsiksi tiedostoihin, joita ei koskaan tallennettu selaimeen. Jälkien siivoaminen tarkoittaa enemmän kuin yhden salasanan vaihtamista: kaikki kyseisellä tietokoneella käytetyt tilit saattavat vaatia huomiota.
Tällainen tietojen varastamiseen ensisijaisesti keskittyvä toiminta ei ole ainutlaatuista tietovarastajille. Kontekstia siitä, miten varastetut tiedot ajavat muita uhkia, löydät Pear-ransomware-ryhmän analyysistamme, joka tarkastelee ryhmää, joka keskittyy tietojen varastamiseen salauksen sijaan.
Mitä tämä tarkoittaa sinulle
Jos käytät Windows-tietokonetta, tärkein johtopäätös on, että tämä uhka kohdistuu laitteeseesi, ei verkkoyhteyteesi. VPN salaa liikenteen laitteesi ja VPN-palvelimen välillä, mutta se ei voi estää haittaohjelmaa, jonka olet jo asentanut. Kun Stadia RAT tai vastaava työkalu on koneellasi, se voi lukea tallennetut salasanat, evästeet ja tiedostot suoraan ennen kuin mitään liikennettä koskaan salataan.
Tämä ei tee VPN:stä hyödytöntä. Se on edelleen yksi kerros liikenteesi suojaamiseksi epäluotetuissa verkoissa. Se ei kuitenkaan korvaa päätelaitteen turvallisuutta. Sama logiikka pätee edellä mainittuun Pear-ransomware-ryhmän analyysiin: kun hyökkääjät varastavat tietoja vaarannetusta järjestelmästä, verkon yksityisyystyökalut eivät ole relevantti puolustus.
Käytännön toimenpiteet riskin vähentämiseksi
Mikään näistä toimenpiteistä ei vaadi teknistä asiantuntemusta:
- Vältä piraatti- ja krakattuja ohjelmistoja. Lataa ohjelmat vain virallisilta toimittajien sivustoilta tai luotetuista kaupoista ja suhtaudu varoen asentajiin, joita jaetaan foorumeilla, mainoksissa tai chat-linkeissä.
- Ota monivaiheinen tunnistautuminen (MFA) käyttöön. Se lisää suojaa, jos pelkkä salasana varastetaan. Suosi sovelluspohjaisia tai laitteistopohjaisia menetelmiä, kun saatavilla.
- Käytä salasananhallintaa. Se auttaa luomaan yksilöllisiä salasanoja ja vähentää tunnistetietojen määrää selaimessasi.
- Pidä Windows ja tietoturvaohjelmistosi ajan tasalla. Suorita säännöllisiä skannauksia luotettavalla virustorjunnalla tai Windowsin sisäänrakennetulla suojauksella.
- Tarkista epäilyttävät prosessit. Avaa Tehtävienhallinta ja etsi tuntemattomia resursseja käyttäviä ohjelmia tai tarkista, mitkä sovellukset käynnistyvät Windowsin mukana. Jos jokin näyttää väärältä, tutki asiaa ennen kuin jätät sen huomiotta.
- Reagoi nopeasti, jos epäilet tartuntaa. Katkaise internet-yhteys, skannaa laite ja vaihda sitten salasanat puhtaalta laitteelta ja kirjaudu ulos aktiivisista istunnoista, jotta varastetut evästeet lakkaavat toimimasta.
Yhteenveto
Stadia RAT:n saapuminen osoittaa, miten tunnistetietojen varastaminen ja etähallinta paketoidaan yhteen. Stadia RAT StealC -haittaohjelma -pari muistuttaa kohtelemaan tietokonettasi etulinjana: ota MFA käyttöön, käytä salasananhallintaa, vältä piraattiohjelmistoja ja seuraa epäilyttäviä prosesseja. VPN on yksi hyödyllinen yksityisyyden kerros, mutta se ei suojaa tietokoneellasi jo käynnissä olevaa haittaohjelmaa vastaan.
