A StealC, egy jól ismert információtolvaj mögötti eladó most egy Stadia RAT nevű új terméket kínál. A Cybersecurity News beszámolója szerint az eszköz a jelszóloppást lopakodó asztali vezérléssel, fájlböngészéssel és távoli parancsvégrehajtással kombinálja Windows PC-ken. A Stadia RAT StealC malware kombináció azért számít, mert az egyszeri adatgyűjtést folyamatos hozzáféréssé alakítja egy fertőzött géphez.

A forrásul szolgáló cikk rövid, ezért ez a bejegyzés ahhoz tartja magát, amit jelentettek, és közérthető nyelven magyarázza el e fenyegetéstípusok általános működését.

Mit ad hozzá a Stadia RAT a StealC-hez

A StealC egy információtolvaj: olyan malware, amelyet arra építettek, hogy csendben érzékeny adatokat gyűjtsön egy számítógépről, és továbbítsa azokat egy támadónak. A Stadia RAT, amelyet a StealC eladója kínál, továbbviszi ezt az elképzelést. A RAT a remote access trojan, azaz távoli hozzáférésű trójai rövidítése: olyan malware-típus, amely rejtett módot ad a támadónak arra, hogy irányítson valaki más számítógépét.

A jelentés szerint a Stadia RAT több képességet fog össze:

  • Jelszóloppás, megőrizve a termék tolvaj oldalát
  • Lopakodó asztali vezérlés, hogy a támadó láthassa és használhassa a képernyőt
  • Fájlböngészés, hogy a támadó átnézhesse a fertőzött PC mappáit
  • Távoli parancsvégrehajtás, hogy a támadó utasításokat futtathasson a gépen

A gyakorlati elmozdulás a gyors fogd meg és fuss helyett a tartós jelenlét felé mutat. Egy tolvaj jellemzően lefut, összegyűjti, amit tud, és kiküldi. Egy RAT viszont a rendszeren maradhat, lehetővé téve a támadónak, hogy visszatérjen, körülnézzen, és eldöntse, mi éri meg, hogy elvigye.

Hogyan szerzik meg az információtolvajok a jelszavakat és a munkamenet-sütiket

Az információtolvajok általában azokat a helyeket célozzák, ahol a böngésző és az alkalmazások a bejelentkezési információkat tárolják. Ide tartoznak az elmentett jelszavak és a munkamenet-sütik. A munkamenet-süti egy kis fájl, amely azt mondja a webhelynek, hogy már be vagy jelentkezve, így nem kell minden alkalommal megadnod a jelszavadat.

Ezért olyan értékes a sütik lopása a támadók számára. Ha egy bűnöző érvényes munkamenet-sütihez jut, képes lehet hozzáférni egy fiókhoz anélkül, hogy ismerné a jelszót, és bizonyos esetekben anélkül, hogy többtényezős kérést váltana ki, mert a webhely azt hiszi, a bejelentkezés már megtörtént. A lopott hitelesítő adatokat és sütiket gyakran csomagolják és adják el, vagy közvetlenül használják e-mail-, banki, közösségi média- és munkafiókok átvételére.

Az információtolvajok jellemzően olyan letöltéseken keresztül jutnak el az áldozatokhoz, amelyekben az emberek tévedésből megbíznak, például feltört szoftvereken, hamis telepítőkön vagy fórumokon és csevegésekben megosztott fájlokon keresztül. A lényeg, hogy a felhasználó általában maga futtatja a malware-t, ezért a körültekintő letöltési szokások ugyanolyan fontosak, mint a technikai védelem.

Hogyan veszi át csendben a RAT a vezérlést egy Windows PC felett

Amint egy RAT fut, a támadó távoli helyet kap a számítógépednél. Az asztali vezérléssel figyelheti, mit teszel, vagy cselekedhet a rendszeren nyilvánvaló jelek nélkül. A fájlböngészés lehetővé teszi számára, hogy dokumentumokat, tárca-fájlokat vagy bármi mást keressen, ami érdekes lehet. A távoli parancsvégrehajtás révén további utasításokat futtathat, ami magában foglalhatja további malware telepítését is.

Ez utóbbi miatt növeli a tétet egy RAT. A lopott jelszavakat utólag meg lehet változtatni, de egy élő hozzáféréssel rendelkező támadó továbbra is láthatja az új bejelentkezéseket, ahogy beírod őket, és elérhet olyan fájlokat, amelyeket soha nem mentettek a böngészőbe. Az utólagos tisztítás többet jelent egy jelszó megváltoztatásánál: minden fiók, amelyet azon a PC-n használtak, figyelmet igényelhet.

Ez a fajta adatlopás-központú tevékenység nem kizárólag az információtolvajok sajátja. Arról, hogy a lopott adatok hogyan hajtanak más fenyegetéseket, lásd a Pear zsarolóvírus-csoport elemzésünket, amely egy adatlopásra, nem pedig titkosításra összpontosító csoportot vizsgál.

Mit jelent ez a számodra

Ha Windows PC-t használsz, a legfontosabb tanulság, hogy ez a fenyegetés az eszközödet célozza, nem a hálózati kapcsolatodat. A VPN titkosítja az eszközöd és a VPN-kiszolgáló közötti forgalmat, de nem tudja megállítani az általad már telepített malware-t. Amint a Stadia RAT vagy egy hasonló eszköz a gépeden van, közvetlenül olvashatja az elmentett jelszavakat, sütiket és fájlokat, mielőtt bármilyen forgalom titkosításra kerülne.

Ez nem teszi értelmetlenné a VPN-t. Továbbra is egy réteg a forgalmad védelmére nem megbízható hálózatokon. Egyszerűen nem helyettesíti a végpontok biztonságát. Ugyanez a logika érvényes a fent említett Pear zsarolóvírus-csoport elemzésre: amikor a támadók adatokat lopnak egy feltört rendszerből, a hálózati adatvédelmi eszközök nem a releváns védekezés.

Gyakorlati lépések a kockázat csökkentésére

Egyik lépés sem igényel technikai szakértelmet:

  1. Kerüld a kalózolt és feltört szoftvereket. Csak hivatalos gyártói oldalakról vagy megbízható áruházakból tölts le programokat, és légy óvatos a fórumokon, hirdetéseken vagy csevegőlinkeken keresztül megosztott telepítőkkel.
  2. Kapcsold be a többtényezős hitelesítést (MFA). Védelmet nyújt, ha csak a jelszót lopják el. Ha lehetséges, részesítsd előnyben az alkalmazásalapú vagy hardveres módszereket.
  3. Használj jelszókezelőt. Segít egyedi jelszavakat létrehozni, és csökkenti, hogy hány hitelesítő adat legyen a böngésződben.
  4. Tartsd naprakészen a Windows-t és a biztonsági szoftveredet. Futtass rendszeres vizsgálatokat jó hírű vírusirtóval vagy a beépített Windows-védelemmel.
  5. Ellenőrizd a gyanús folyamatokat. Nyisd meg a Feladatkezelőt, és keresd az erőforrásokat használó ismeretlen programokat, vagy nézd át, mely alkalmazások indulnak a Windows-szal. Ha valami hibásnak tűnik, vizsgáld meg, mielőtt figyelmen kívül hagynád.
  6. Reagálj gyorsan, ha fertőzésre gyanakszol. Szakítsd meg az internetkapcsolatot, vizsgáld át az eszközt, majd változtasd meg a jelszavakat egy tiszta eszközről, és jelentkezz ki az aktív munkamenetekből, hogy a lopott sütik ne működjenek tovább.

A lényeg

A Stadia RAT megjelenése megmutatja, hogyan csomagolják egybe a hitelesítő adatok lopását és a távoli vezérlést. A Stadia RAT StealC malware párosítás emlékeztető arra, hogy a PC-det tekintsd az első vonalnak: kapcsold be az MFA-t, használj jelszókezelőt, kerüld a kalózolt szoftvereket, és figyeld a gyanús folyamatokat. A VPN hasznos adatvédelmi réteg, de nem véd a számítógépeden már futó malware ellen.