Kẻ bán hàng đứng sau StealC, một công cụ đánh cắp thông tin nổi tiếng, hiện đang cung cấp một sản phẩm mới có tên Stadia RAT. Theo báo cáo từ Cybersecurity News, công cụ này kết hợp đánh cắp mật khẩu với điều khiển máy tính để bàn một cách lén lút, duyệt tệp và thực thi lệnh từ xa trên máy tính Windows. Sự kết hợp Stadia RAT StealC malware này quan trọng vì nó biến một lần thu thập dữ liệu thành quyền truy cập liên tục vào một máy bị nhiễm.
Bài viết gốc khá ngắn gọn, vì vậy bài đăng này chỉ tập trung vào những gì đã được báo cáo và giải thích cơ chế chung của các loại mối đe dọa này bằng ngôn ngữ đơn giản.
Stadia RAT bổ sung gì cho StealC
StealC là một infostealer: phần mềm độc hại được xây dựng để âm thầm thu thập dữ liệu nhạy cảm từ máy tính và gửi đến kẻ tấn công. Stadia RAT, được cung cấp bởi người bán của StealC, mở rộng ý tưởng đó. RAT là viết tắt của remote access trojan (trojan truy cập từ xa), một loại phần mềm độc hại cung cấp cho kẻ tấn công một cách ẩn để điều khiển máy tính của người khác.
Theo báo cáo, Stadia RAT tập hợp một số khả năng:
- Đánh cắp mật khẩu, kế thừa khía cạnh stealer của sản phẩm
- Điều khiển máy tính để bàn một cách lén lút, để kẻ tấn công có thể xem và tương tác với màn hình
- Duyệt tệp, để kẻ tấn công có thể xem qua các thư mục trên máy tính bị nhiễm
- Thực thi lệnh từ xa, để kẻ tấn công có thể chạy các hướng dẫn trên máy
Sự thay đổi thực tế là từ đánh nhanh rút gọn sang duy trì quyền lực. Một stealer thường chạy, thu thập những gì có thể và gửi đi. Một RAT có thể ở lại trên hệ thống, cho phép kẻ tấn công quay lại, nhìn quanh và quyết định những gì đáng lấy.
Cách Infostealer lấy mật khẩu và cookie phiên
Infostealer thường nhắm vào những nơi mà trình duyệt và ứng dụng của bạn lưu trữ thông tin đăng nhập. Điều này bao gồm mật khẩu đã lưu và cookie phiên. Cookie phiên là một tệp nhỏ cho trang web biết bạn đã đăng nhập, để bạn không phải nhập mật khẩu mỗi lần.
Đây là lý do tại sao đánh cắp cookie lại có giá trị đến vậy đối với kẻ tấn công. Nếu tội phạm có được cookie phiên hợp lệ, chúng có thể truy cập tài khoản mà không cần biết mật khẩu, và trong một số trường hợp mà không kích hoạt lời nhắc đa yếu tố, vì trang web tin rằng đăng nhập đã xảy ra. Thông tin đăng nhập và cookie bị đánh cắp thường được đóng gói và bán hoặc sử dụng trực tiếp để chiếm đoạt email, ngân hàng, mạng xã hội và tài khoản công việc.
Infostealer thường tiếp cận nạn nhân thông qua các bản tải xuống mà mọi người tin tưởng nhầm, như phần mềm bẻ khóa, trình cài đặt giả mạo hoặc tệp được chia sẻ trong diễn đàn và trò chuyện. Điểm mấu chốt là người dùng thường tự chạy phần mềm độc hại, đó là lý do tại sao thói quen tải xuống cẩn thận quan trọng như các biện pháp phòng thủ kỹ thuật.
Cách RAT âm thầm chiếm quyền điều khiển máy tính Windows
Khi RAT đang chạy, kẻ tấn công có được một chỗ ngồi từ xa tại máy tính của bạn. Với điều khiển máy tính để bàn, chúng có thể xem những gì bạn làm hoặc hành động trên hệ thống mà không có dấu hiệu rõ ràng. Duyệt tệp cho phép chúng săn lùng tài liệu, tệp ví hoặc bất cứ thứ gì khác đáng quan tâm. Thực thi lệnh từ xa cho phép chúng chạy thêm các hướng dẫn, có thể bao gồm cài đặt phần mềm độc hại bổ sung.
Điểm cuối cùng đó là lý do tại sao RAT làm tăng mức độ nghiêm trọng. Mật khẩu bị đánh cắp có thể được thay đổi sau đó, nhưng kẻ tấn công có quyền truy cập trực tiếp có thể tiếp tục thấy thông tin đăng nhập mới khi bạn nhập chúng và tiếp cận các tệp chưa bao giờ được lưu trong trình duyệt. Dọn dẹp sau đó có nghĩa là nhiều hơn việc thay đổi một mật khẩu: bất kỳ tài khoản nào được sử dụng trên máy tính đó đều có thể cần được chú ý.
Loại hoạt động đánh cắp dữ liệu trước này không chỉ riêng của infostealer. Để có bối cảnh về cách dữ liệu bị đánh cắp thúc đẩy các mối đe dọa khác, hãy xem phân tích nhóm ransomware Pear của chúng tôi, xem xét một nhóm tập trung vào đánh cắp dữ liệu thay vì mã hóa.
Điều này có ý nghĩa gì với bạn
Nếu bạn sử dụng máy tính Windows, điểm chính cần nắm là mối đe dọa này nhắm vào thiết bị của bạn, không phải kết nối mạng của bạn. VPN mã hóa lưu lượng giữa thiết bị của bạn và máy chủ VPN, nhưng nó không thể ngăn chặn phần mềm độc hại mà bạn đã cài đặt. Khi Stadia RAT hoặc công cụ tương tự đã ở trên máy của bạn, nó có thể đọc trực tiếp mật khẩu đã lưu, cookie và tệp, trước khi bất kỳ lưu lượng nào được mã hóa.
Điều đó không làm cho VPN trở nên vô nghĩa. Nó vẫn là một lớp bảo vệ lưu lượng của bạn trên các mạng không tin cậy. Nó đơn giản không phải là sự thay thế cho an toàn điểm cuối. Logic tương tự áp dụng cho phân tích nhóm ransomware Pear được đề cập ở trên: khi kẻ tấn công đánh cắp dữ liệu từ một hệ thống bị xâm phạm, các công cụ bảo mật mạng không phải là biện pháp phòng thủ phù hợp.
Các bước thực tế để giảm thiểu rủi ro
Không có bước nào trong số này yêu cầu chuyên môn kỹ thuật:
- Tránh phần mềm vi phạm bản quyền và bẻ khóa. Chỉ tải xuống chương trình từ trang web nhà cung cấp chính thức hoặc cửa hàng đáng tin cậy, và cảnh giác với các trình cài đặt được chia sẻ qua diễn đàn, quảng cáo hoặc liên kết trò chuyện.
- Bật xác thực đa yếu tố (MFA). Nó thêm bảo vệ nếu chỉ mật khẩu bị đánh cắp. Ưu tiên các phương thức dựa trên ứng dụng hoặc phần cứng khi có sẵn.
- Sử dụng trình quản lý mật khẩu. Nó giúp bạn tạo mật khẩu duy nhất và giảm số lượng thông tin đăng nhập nằm trong trình duyệt của bạn.
- Cập nhật Windows và phần mềm bảo mật của bạn. Chạy quét thường xuyên với phần mềm diệt virus đáng tin cậy hoặc bảo vệ Windows tích hợp.
- Kiểm tra các quy trình đáng ngờ. Mở Task Manager và tìm các chương trình không quen thuộc đang sử dụng tài nguyên, hoặc xem xét những ứng dụng nào khởi động cùng Windows. Nếu có gì đó có vẻ sai, hãy điều tra trước khi bỏ qua.
- Phản ứng nhanh nếu bạn nghi ngờ nhiễm trùng. Ngắt kết nối internet, quét thiết bị, sau đó thay đổi mật khẩu từ một thiết bị sạch và đăng xuất khỏi các phiên đang hoạt động để cookie bị đánh cắp ngừng hoạt động.
Kết luận
Sự xuất hiện của Stadia RAT cho thấy cách đánh cắp thông tin đăng nhập và điều khiển từ xa đang được đóng gói cùng nhau. Sự kết hợp Stadia RAT StealC malware là một lời nhắc nhở để coi máy tính của bạn là tiền tuyến: bật MFA, sử dụng trình quản lý mật khẩu, tránh phần mềm vi phạm bản quyền và theo dõi các quy trình đáng ngờ. VPN là một lớp bảo mật hữu ích, nhưng nó không bảo vệ chống lại phần mềm độc hại đã chạy trên máy tính của bạn.
