Amikor egy kibertámadás címlapokra kerül, az általában zsarolóvírus, nagy adatszivárgás vagy csalárd átutalás miatt történik. Arról ritkán esik szó, hogy a támadó egyáltalán hogyan jutott be. A válasz egyre gyakrabban az infostealer kártevő: egy csendes, egyszerű szoftver, amelyet kizárólag egyetlen dologra terveztek: felhasználóneveket, jelszavakat, böngészősütiket és pénzügyi adatokat gyűjtsön be a fertőzött eszközről anélkül, hogy az áldozat bármit is észrevenne.

Annak megértése, hogyan működik az infostealer kártevő, és miért vált a kiberbűnözők kedvelt belépési pontjává, az első lépés a hitelesítő adatokból kiinduló, a biztonsági jelentéseket ma már uraló támadási hullám elleni védekezés felé.

Hogyan lopja el az infostealer kártevő valójában az adataidat

Az infostealerek nem feltűnőek. Nem zárolják a fájljaidat, és nem követelnek azonnali váltságdíjat. Ehelyett egy crackelt szoftverletöltés, rosszindulatú e-mail melléklet, hamis böngészőfrissítés vagy fertőzött hirdetés révén becsúsznak az eszközre, majd csendben, a háttérben dolgoznak tovább.

Miután települtek, a kártevő átvizsgálja a böngészőben mentett jelszavak tárolóját, a gyorsítótárazott bejelentkezési sütiket, az automatikus kitöltési adatokat, sőt még a kriptopénztárca fájlokat is. Mindent, amit talál, egy biztonsági kutatók által "stealer log"-nak nevezett csomagba tesz, majd továbbítja a támadónak, aki gyakran tömegesen értékesíti tovább azt bűnözői piactereken. Egyetlen fertőzött gép több tucat aktív munkamenetet adhat át az e-mailektől és banki felületektől kezdve a vállalati VPN-en át a felhőadminisztrációs panelekig, anélkül, hogy bármilyen vírusirtó riasztást váltana ki, ha a kártevő jól van megírva.

Pontosan ez a minta látható a SunCloudNew stealer log adatvédelmi incidensénél, ahol közel 6000 rekord – köztük nyílt szövegű jelszavak, e-mail címek és bejelentkezési URL-ek – bukkant fel egyetlen kompromittált adatállományból. Az áldozatok ebben az esetben valószínűleg soha nem kattintottak egyetlen, konkrét fiókhoz kapcsolódó adathalász linkre sem; a kártevő egyszerűen felszippantotta a böngészőjükben tárolt hitelesítő adatokat.

Miért a lopott hitelesítő adatok vezetik a legtöbb adatvédelmi incidenst és zsarolóvírus-támadást

Évekig az adathalász e-mailek és a javítatlan szoftveres sebezhetőségek voltak a vállalati hálózatokba betörni próbáló támadók legfőbb belépési pontjai. Ez megváltozott. Ahogy arról a lopott infostealer naplók átvették az adathalászat helyét a legsúlyosabb adatvédelmi incidensek okaként szóló beszámoló részletezi, a biztonsági kutatók azt látják, hogy érvényes, lopott bejelentkezési adatokkal egyszerűen besétálnak a főbejáraton, ahelyett, hogy erőszakkal törnének be.

A változás a támadó szemszögéből logikus. Az adathalászat valós időben követeli meg a célpontot a cselekvésre, egy szoftveres sebezhetőség kihasználásához pedig olyat kell találni, amit még nem javítottak. Egy már összegyűjtött hitelesítő adatokat tartalmazó stealer log megvásárlása gyorsabb, olcsóbb, és sokkal kisebb valószínűséggel kelt gyanút, különösen ha azok a hitelesítő adatok aktív munkamenet-sütiket is tartalmaznak, amelyek teljesen kikerülhetik a bejelentkezési ablakokat.

Ez a dinamika mára a zsarolóvírus-műveletekbe is beépült. Azon beszámoló szerint, amely megállapította, hogy öt zsarolóvírus-támadásból négy lopott identitásokkal indul hálózati kihasználás helyett, a támadók egyre gyakrabban alkalmazottként jelentkeznek be, ahelyett hogy a sztereotip, kapucnis betörőként hackelnének. A Stewart Home & School adatvédelmi incidense, amely 3677 rekordot érintett, ugyanazt a forgatókönyvet követte: egy hitelesítő adatok ellopásából fakadó zsarolóvírus-incidens, nem pedig egy kifinomult technikai kihasználás.

Jelei annak, hogy a hitelesítő adataid már veszélybe kerülhettek

Mivel az infostealer kártevőt láthatatlannak tervezték, a legtöbb ember soha nem veszi észre, hogy megfertőződött, amíg a kár be nem következik. Érdemes figyelni néhány figyelmeztető jelre: ismeretlen bejelentkezési riasztások vagy kéretlen jelszóvisszaállító e-mailek, új eszközök vagy böngésző munkamenetek a fiók aktív bejelentkezési előzményeiben, váratlan változások a fiók-helyreállítási adatokban, vagy hirtelen lassulás és ismeretlen folyamatok futása az eszközön.

A hitelesítő adatok figyelésére szolgáló szolgáltatások és az adatvédelmi incidensről értesítő eszközök akkor is jelezhetik, ha az e-mail címed vagy jelszavaid megjelennek egy kiszivárgott stealer logban, gyakran még azelőtt, hogy te bármi szokatlant észrevennél. Tekintettel arra, hogy ezek a naplók milyen rendszerességgel bukkannak fel – az iskolai körzetek kis adatvédelmi incidenseitől a nagyobb egészségügyi portálok eseteiig –, annak ellenőrzése, hogy az adataid megjelentek-e valamelyikben, inkább ésszerű szokás, semmint paranoia.

Gyakorlati védekezés: jelszókezelők, kétfaktoros hitelesítés és biztonságos böngészési szokások

A jó hír az, hogy az infostealer kártevőt minden rejtőzködési képessége ellenére legyőzi a következetesen alkalmazott, viszonylag alapvető higiénia. A jelszókezelő kiszűri a böngészőben mentett jelszavakat, amelyek begyűjtésére a stealereket kifejezetten tervezték, és lehetővé teszi, hogy minden fiókhoz egyedi jelszó használata reális legyen, ne fárasztó. A kétfaktoros hitelesítés bekapcsolása, lehetőleg hitelesítő alkalmazáson keresztül, nem SMS-ben, azt jelenti, hogy önmagában a lopott jelszó nem elegendő a hozzáféréshez. A szoftverek és böngészők frissítése bezár néhány olyan terjesztési csatornát, amelyre a kártevő támaszkodik; a kalózszoftverek, nem hivatalos böngészőbővítmények és kéretlen mellékletek kerülése pedig teljesen megszünteti a legelterjedtebb fertőzési vektorokat.

Mit jelent ez számodra

Az infostealer kártevővel elkövetett hitelesítő adat lopás nem követeli meg tőled, hogy egy nagyvállalat vezetője vagy nagy értékű célpont legyél. A stealer logok gyakran válogatás nélkül söprik be az éppen a fertőzött gépen lévő hitelesítő adatokat, függetlenül attól, hogy az egy kórházi adminisztrátor, iskolai alkalmazott vagy hétköznapi fogyasztó eszköze. A Hartford HealthCare HUSKY Medicaid portál esete megmutatta, hogy a rutin egészségügyi bejelentkezések is valódi értéket képviselnek a támadók számára, amint bekerülnek egy lopott hitelesítő adatkészletbe. A tanulság nem az, hogy bárki is hibázott volna, hanem az, hogy a hitelesítő adatok maguk váltak a bűnözők által forgatott valutává.

A leghatékonyabb válasz nem az, hogy pánikba esel minden alkalommal, amikor egy új stealer log felszínre kerül, hanem hogy a saját fiókjaidat tedd kevésbé hasznossá annak, aki esetleg megvásárol egyet. Használj jelszókezelőt, kapcsold be a kétfaktoros hitelesítést mindenhol, ahol elérhető, és kezeld kivizsgálásra érdemesnek az ismeretlen bejelentkezési riasztásokat ahelyett, hogy figyelmen kívül hagynád őket. Az infostealer kártevő a láthatatlanságból és az újrafelhasznált jelszavakból él. Mindkettőtől megfosztani az egyik legegyszerűbb, legnagyobb hatású biztonsági döntés, amely bárki számára elérhető, aki rendelkezik online fiókkal.