Selgeren bak StealC, en kjent informasjonsstjeler, tilbyr nå et nytt produkt kalt Stadia RAT. Ifølge rapportering fra Cybersecurity News kombinerer verktøyet passordtyveri med skjult skrivebordskontroll, filutforsking og ekstern kommandoeksekvering på Windows-PCer. Kombinasjonen Stadia RAT StealC-skadevare er viktig fordi den gjør et engangstyveri av data om til vedvarende tilgang til en infisert maskin.
Kildeartikkelen er kort, så dette innlegget holder seg til det som er rapportert og forklarer den generelle mekanikken bak disse trusseltypene i klart språk.
Hva Stadia RAT legger til StealC
StealC er en infostjeler: skadevare laget for å samle inn sensitive data fra en datamaskin i det stille og sende dem til en angriper. Stadia RAT, som tilbys av StealCs selger, utvider denne ideen. RAT står for remote access trojan, en type skadevare som gir en angriper en skjult måte å kontrollere noen andres datamaskin på.
Ifølge rapporten samler Stadia RAT flere funksjoner:
- Passordtyveri, som viderefører stjelerdelen av produktet
- Skjult skrivebordskontroll, slik at en angriper kan se og samhandle med skjermen
- Filutforsking, slik at en angriper kan bla gjennom mapper på den infiserte PCen
- Ekstern kommandoeksekvering, slik at en angriper kan kjøre instrukser på maskinen
Den praktiske endringen er fra hit-and-run til vedvarende tilstedeværelse. En stjeler kjører vanligvis, samler det den kan, og sender det ut. En RAT kan bli værende på systemet, slik at en angriper kan komme tilbake, se seg rundt og avgjøre hva som er verdt å ta.
Hvordan infostjelere tar passord og sesjonsinformasjonskapsler
Infostjelere retter seg vanligvis mot stedene der nettleseren og appene dine oppbevarer påloggingsinformasjon. Det inkluderer lagrede passord og sesjonsinformasjonskapsler. En sesjonsinformasjonskapsel er en liten fil som forteller et nettsted at du allerede er logget inn, slik at du ikke trenger å skrive inn passordet hver gang.
Dette er grunnen til at tyveri av informasjonskapsler er så verdifullt for angripere. Hvis en kriminell får en gyldig sesjonsinformasjonskapsel, kan de kanskje få tilgang til en konto uten å vite passordet, og i noen tilfeller uten å utløse en flerfaktorforespørsel, fordi nettstedet tror påloggingen allerede har skjedd. Stjålne påloggingsdata og informasjonskapsler blir ofte samlet og solgt eller brukt direkte til å overta e-post, bank, sosiale medier og jobbkontoer.
Infostjelere når ofte ofre gjennom nedlastinger folk feilaktig stoler på, som cracket programvare, falske installasjonsprogrammer eller filer delt i forum og chatter. Poenget er at brukeren vanligvis kjører skadevaren selv, og derfor er forsiktige nedlastingsvaner like viktige som tekniske forsvar.
Hvordan en RAT i det stille overtar en Windows-PC
Når en RAT først kjører, får angriperen en ekstern plass ved datamaskinen din. Med skrivebordskontroll kan de se hva du gjør eller handle på systemet uten åpenbare tegn. Filutforsking lar dem lete etter dokumenter, lommebokfiler eller annet av interesse. Ekstern kommandoeksekvering lar dem kjøre flere instrukser, noe som kan inkludere å installere ytterligere skadevare.
Det siste punktet er grunnen til at en RAT øker innsatsen. Stjålne passord kan endres i ettertid, men en angriper med live tilgang kan fortsette å se nye pålogginger mens du skriver dem, og nå filer som aldri ble lagret i en nettleser. Opprydding i etterkant betyr mer enn å endre ett passord: enhver konto som brukes på den PCen kan trenge oppmerksomhet.
Denne typen datatyveri-først-aktivitet er ikke unik for infostjelere. For kontekst om hvordan stjålne data driver andre trusler, se vår analyse av Pear ransomware-gruppen, som ser på en gruppe som fokuserer på datatyveri fremfor kryptering.
Hva dette betyr for deg
Hvis du bruker en Windows-PC, er hovedpoenget at denne trusselen retter seg mot enheten din, ikke nettverkstilkoblingen din. En VPN krypterer trafikken mellom enheten din og VPN-serveren, men den kan ikke stoppe skadevare du allerede har installert. Når Stadia RAT eller et lignende verktøy først er på maskinen din, kan det lese lagrede passord, informasjonskapsler og filer direkte, før noen trafikk i det hele tatt blir kryptert.
Det gjør ikke en VPN meningsløs. Den forblir et lag for å beskytte trafikken din på uklarerte nettverk. Den er bare ikke en erstatning for endepunktsikkerhet. Den samme logikken gjelder for analysen av Pear ransomware-gruppen nevnt ovenfor: når angripere stjeler data fra et kompromittert system, er ikke personvernverktøy for nettverk det relevante forsvaret.
Praktiske tiltak for å redusere risikoen
Ingen av disse tiltakene krever teknisk ekspertise:
- Unngå piratkopiert og cracket programvare. Last bare ned programmer fra offisielle leverandørsider eller betrodde butikker, og vær forsiktig med installasjonsprogrammer delt gjennom forum, annonser eller chatlenker.
- Aktiver flerfaktorautentisering (MFA). Det gir ekstra beskyttelse hvis bare passordet blir stjålet. Foretrekk appbaserte eller maskinvarebaserte metoder der det er tilgjengelig.
- Bruk en passordbehandler. Det hjelper deg å lage unike passord og reduserer hvor mange påloggingsdata som ligger i nettleseren.
- Hold Windows og sikkerhetsprogramvaren oppdatert. Kjør regelmessige skanninger med pålitelig antivirus eller innebygd Windows-beskyttelse.
- Se etter mistenkelige prosesser. Åpne Oppgavebehandling og se etter ukjente programmer som bruker ressurser, eller gjennomgå hvilke apper som starter med Windows. Hvis noe ser galt ut, undersøk det før du ignorerer det.
- Reager raskt hvis du mistenker infeksjon. Koble fra internett, skann enheten, og bytt deretter passord fra en ren enhet og logg ut av aktive sesjoner slik at stjålne informasjonskapsler slutter å fungere.
Konklusjonen
Ankomsten av Stadia RAT viser hvordan påloggingsdatatyveri og ekstern kontroll pakkes sammen. Kombinasjonen Stadia RAT StealC-skadevare er en påminnelse om å behandle PCen som frontlinjen: aktiver MFA, bruk en passordbehandler, unngå piratkopiert programvare og hold øye med mistenkelige prosesser. En VPN er et nyttig lag med personvern, men den beskytter ikke mot skadevare som allerede kjører på datamaskinen din.
