ผู้ขายเบื้องหลัง StealC ซึ่งเป็นตัวขโมยข้อมูลที่รู้จักกันดี กำลังเสนอผลิตภัณฑ์ใหม่ชื่อ Stadia RAT ตามรายงานจาก Cybersecurity News เครื่องมือนี้ผสมผสานการขโมยรหัสผ่านเข้ากับการควบคุมเดสก์ท็อปแบบซ่อนเร้น การเรียกดูไฟล์ และการรันคำสั่งระยะไกลบนพีซี Windows การรวมกันของ มัลแวร์ Stadia RAT StealC มีความสำคัญเพราะมันเปลี่ยนการเก็บข้อมูลครั้งเดียวให้กลายเป็นการเข้าถึงเครื่องที่ติดเชื้ออย่างต่อเนื่อง
บทความต้นฉบับนั้นสั้น โพสต์นี้จึงยึดตามสิ่งที่ได้รับการรายงานและอธิบายกลไกทั่วไปของภัยคุกคามประเภทนี้ด้วยภาษาที่เข้าใจง่าย
Stadia RAT เพิ่มอะไรให้กับ StealC
StealC เป็นอินโฟสตีลเลอร์ (infostealer) ซึ่งเป็นมัลแวร์ที่ถูกสร้างขึ้นเพื่อเก็บข้อมูลที่ละเอียดอ่อนจากคอมพิวเตอร์อย่างเงียบ ๆ และส่งไปยังผู้โจมตี Stadia RAT ที่เสนอโดยผู้ขายของ StealC ขยายแนวคิดนั้นออกไป RAT ย่อมาจาก remote access trojan ซึ่งเป็นมัลแวร์ประเภทหนึ่งที่ให้ผู้โจมตีมีช่องทางที่ซ่อนเร้นในการควบคุมคอมพิวเตอร์ของผู้อื่น
ตามรายงาน Stadia RAT รวมความสามารถหลายอย่างเข้าด้วยกัน:
- การขโมยรหัสผ่าน สืบทอดด้านสตีลเลอร์ของผลิตภัณฑ์
- การควบคุมเดสก์ท็อปแบบซ่อนเร้น เพื่อให้ผู้โจมตีสามารถมองเห็นและโต้ตอบกับหน้าจอได้
- การเรียกดูไฟล์ เพื่อให้ผู้โจมตีสามารถค้นหาโฟลเดอร์ต่าง ๆ บนพีซีที่ติดเชื้อได้
- การรันคำสั่งระยะไกล เพื่อให้ผู้โจมตีสามารถรันคำสั่งบนเครื่องได้
การเปลี่ยนแปลงในทางปฏิบัติคือจากการโจมตีแล้วจากไป (smash-and-grab) สู่การคงอยู่ในระบบ (staying power) โดยทั่วไปสตีลเลอร์จะทำงาน เก็บสิ่งที่ทำได้ แล้วส่งออกไป ส่วน RAT สามารถอยู่ในระบบได้ ทำให้ผู้โจมตีกลับมา สำรวจรอบ ๆ และตัดสินใจว่าอะไรคุ้มค่าที่จะเอาไป
อินโฟสตีลเลอร์ขโมยรหัสผ่านและคุกกี้เซสชันอย่างไร
โดยทั่วไปอินโฟสตีลเลอร์จะมุ่งเป้าไปที่ตำแหน่งที่เบราว์เซอร์และแอปของคุณเก็บข้อมูลการเข้าสู่ระบบ ซึ่งรวมถึงรหัสผ่านที่บันทึกไว้และคุกกี้เซสชัน คุกกี้เซสชันเป็นไฟล์ขนาดเล็กที่บอกเว็บไซต์ว่าคุณเข้าสู่ระบบแล้ว เพื่อที่คุณไม่ต้องป้อนรหัสผ่านทุกครั้ง
นี่คือเหตุผลที่การขโมยคุกกี้มีค่ามากสำหรับผู้โจมตี หากอาชญากรได้คุกกี้เซสชันที่ใช้ได้ พวกเขาอาจสามารถเข้าถึงบัญชีได้โดยไม่ต้องรู้รหัสผ่าน และในบางกรณีโดยไม่กระตุ้นการแจ้งเตือนการยืนยันตัวตนหลายปัจจัย เพราะเว็บไซต์เชื่อว่าการเข้าสู่ระบบได้เกิดขึ้นแล้ว ข้อมูลรับรองและคุกกี้ที่ถูกขโมยมักถูกรวบรวมและขายหรือใช้โดยตรงเพื่อยึดบัญชีอีเมล ธนาคาร โซเชียลมีเดีย และบัญชีการทำงาน
อินโฟสตีลเลอร์มักเข้าถึงเหยื่อผ่านการดาวน์โหลดที่ผู้คนไว้วางใจโดยไม่ตั้งใจ เช่น ซอฟต์แวร์ละเมิดลิขสิทธิ์ ตัวติดตั้งปลอม หรือไฟล์ที่แชร์ในฟอรัมและแชท ประเด็นคือโดยปกติผู้ใช้จะรันมัลแวร์ด้วยตัวเอง ซึ่งเป็นเหตุผลที่นิสัยการดาวน์โหลดอย่างระมัดระวังมีความสำคัญพอ ๆ กับการป้องกันทางเทคนิค
RAT ยึดเครื่อง Windows อย่างเงียบ ๆ ได้อย่างไร
เมื่อ RAT ทำงาน ผู้โจมตีจะได้ที่นั่งระยะไกลบนคอมพิวเตอร์ของคุณ ด้วยการควบคุมเดสก์ท็อป พวกเขาสามารถดูสิ่งที่คุณทำหรือกระทำการบนระบบโดยไม่มีสัญญาณที่ชัดเจน การเรียกดูไฟล์ช่วยให้พวกเขาค้นหาเอกสาร ไฟล์กระเป๋าเงินดิจิทัล หรือสิ่งอื่นใดที่น่าสนใจ การรันคำสั่งระยะไกลช่วยให้พวกเขารันคำสั่งเพิ่มเติม ซึ่งอาจรวมถึงการติดตั้งมัลแวร์เพิ่มเติม
ประเด็นสุดท้ายคือเหตุผลที่ RAT เพิ่มความเสี่ยง รหัสผ่านที่ถูกขโมยสามารถเปลี่ยนได้ในภายหลัง แต่ผู้โจมตีที่มีการเข้าถึงแบบสดอาจเห็นการเข้าสู่ระบบใหม่ขณะที่คุณพิมพ์และเข้าถึงไฟล์ที่ไม่เคยบันทึกไว้ในเบราว์เซอร์ การทำความสะอาด afterward หมายถึงมากกว่าแค่เปลี่ยนรหัสผ่านหนึ่งอัน: บัญชีใดก็ตามที่ใช้บนพีซีเครื่องนั้นอาจต้องได้รับการตรวจสอบ
กิจกรรมที่เน้นการขโมยข้อมูลเป็นอันดับแรกแบบนี้ไม่ได้มีเฉพาะในอินโฟสตีลเลอร์เท่านั้น สำหรับบริบทเกี่ยวกับวิธีที่ข้อมูลที่ถูกขโมยขับเคลื่อนภัยคุกคามอื่น ๆ โปรดดูการวิเคราะห์กลุ่มแรนซัมแวร์ Pearของเรา ซึ่งพิจารณากลุ่มที่มุ่งเน้นการขโมยข้อมูลแทนการเข้ารหัส
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
หากคุณใช้พีซี Windows สิ่งสำคัญที่ต้องเข้าใจคือภัยคุกคามนี้มุ่งเป้าไปที่อุปกรณ์ของคุณ ไม่ใช่การเชื่อมต่อเครือข่ายของคุณ VPN เข้ารหัสการรับส่งข้อมูลระหว่างอุปกรณ์ของคุณกับเซิร์ฟเวอร์ VPN แต่ไม่สามารถหยุดมัลแวร์ที่คุณติดตั้งไปแล้วได้ เมื่อ Stadia RAT หรือเครื่องมือที่คล้ายกันอยู่บนเครื่องของคุณ มันสามารถอ่านรหัสผ่านที่บันทึกไว้ คุกกี้ และไฟล์โดยตรง ก่อนที่การรับส่งข้อมูลใด ๆ จะถูกเข้ารหัส
นั่นไม่ได้ทำให้ VPN ไร้ประโยชน์ มันยังคงเป็นชั้นหนึ่งในการปกป้องการรับส่งข้อมูลของคุณบนเครือข่ายที่ไม่น่าเชื่อถือ มันเพียงไม่ใช่สิ่งทดแทนความปลอดภัยของปลายทาง ตรรกะเดียวกันนี้ใช้กับการวิเคราะห์กลุ่มแรนซัมแวร์ Pearที่กล่าวถึงข้างต้น: เมื่อผู้โจมตีขโมยข้อมูลจากระบบที่ถูกบุกรุก เครื่องมือความเป็นส่วนตัวบนเครือข่ายไม่ใช่การป้องกันที่เกี่ยวข้อง
ขั้นตอนปฏิบัติเพื่อลดความเสี่ยงของคุณ
ไม่มีขั้นตอนใดเหล่านี้ที่ต้องใช้ความเชี่ยวชาญทางเทคนิค:
- หลีกเลี่ยงซอฟต์แวร์ละเมิดลิขสิทธิ์และ cracked ดาวน์โหลดโปรแกรมจากเว็บไซต์ผู้จำหน่ายอย่างเป็นทางการหรือร้านค้าที่เชื่อถือได้เท่านั้น และระวังตัวติดตั้งที่แชร์ผ่านฟอรัม โฆษณา หรือลิงก์แชท
- เปิดใช้การยืนยันตัวตนหลายปัจจัย (MFA) มันเพิ่มการป้องกันหากรหัสผ่านเพียงอย่างเดียวถูกขโมย ควรใช้วิธีผ่านแอปหรือฮาร์ดแวร์เมื่อมีให้เลือก
- ใช้ตัวจัดการรหัสผ่าน ช่วยให้คุณสร้างรหัสผ่านที่ไม่ซ้ำกันและลดจำนวนข้อมูลรับรองที่อยู่ในเบราว์เซอร์ของคุณ
- อัปเดต Windows และซอฟต์แวร์ความปลอดภัยของคุณอยู่เสมอ สแกนเป็นประจำด้วยโปรแกรมป้องกันไวรัสที่น่าเชื่อถือหรือการป้องกัน Windows ที่มีมาในตัว
- ตรวจสอบกระบวนการที่น่าสงสัย เปิด Task Manager และมองหาโปรแกรมที่ไม่คุ้นเคยซึ่งใช้ทรัพยากร หรือตรวจสอบว่าแอปใดเริ่มทำงานพร้อม Windows หากมีสิ่งใดดูผิดปกติ ให้ตรวจสอบก่อนที่จะเพิกเฉย
- ตอบสนองอย่างรวดเร็วหากคุณสงสัยว่าติดเชื้อ ตัดการเชื่อมต่อจากอินเทอร์เน็ต สแกนอุปกรณ์ แล้วเปลี่ยนรหัสผ่านจากอุปกรณ์ที่สะอาดและออกจากเซสชันที่ใช้งานอยู่เพื่อให้คุกกี้ที่ถูกขโมยหยุดทำงาน
บทสรุป
การมาถึงของ Stadia RAT แสดงให้เห็นว่าการขโมยข้อมูลรับรองและการควบคุมระยะไกลกำลังถูกบรรจุรวมกัน การจับคู่ของ มัลแวร์ Stadia RAT StealC เป็นเครื่องเตือนใจให้ถือว่าพีซีของคุณเป็นแนวหน้า: เปิดใช้ MFA ใช้ตัวจัดการรหัสผ่าน หลีกเลี่ยงซอฟต์แวร์ละเมิดลิขสิทธิ์ และเฝ้าระวังกระบวนการที่น่าสงสัย VPN เป็นชั้นหนึ่งที่มีประโยชน์ด้านความเป็นส่วนตัว แต่ไม่ป้องกันมัลแวร์ที่ทำงานอยู่บนคอมพิวเตอร์ของคุณแล้ว
