知名信息窃取程序StealC背后的卖家现在推出了一款名为Stadia RAT的新产品。据Cybersecurity News报道，该工具将密码窃取与隐蔽的桌面控制、文件浏览以及Windows PC上的远程命令执行结合在一起。Stadia RAT StealC恶意软件的组合之所以重要，是因为它将对数据的一次性窃取转变为对受感染机器的持续访问。
源文章篇幅简短，因此本文仅围绕已报道的内容展开，并用通俗语言解释此类威胁的一般运作机制。
Stadia RAT为StealC增添了哪些功能
StealC是一种信息窃取程序：一种旨在悄悄从计算机收集敏感数据并发送给攻击者的恶意软件。Stadia RAT由StealC的卖家提供，对这一概念进行了扩展。RAT代表远程访问木马，这类恶意软件为攻击者提供了一种隐蔽方式来控制他人的计算机。
据报道，Stadia RAT整合了多项能力：
- 密码窃取，延续了该产品的窃取功能
- 隐蔽的桌面控制，使攻击者能够查看屏幕并进行交互
- 文件浏览，使攻击者能够翻查受感染PC上的文件夹
- 远程命令执行，使攻击者能够在机器上运行指令
实际的变化在于从“打了就跑”转变为持续驻留。窃取程序通常运行后收集所能获取的数据并发送出去。而RAT可以留在系统中，让攻击者反复回来查看，并决定哪些值得窃取。
信息窃取程序如何获取密码和会话Cookie
信息窃取程序通常以浏览器和应用程序存储登录信息的位置为目标，包括已保存的密码和会话Cookie。会话Cookie是一个小文件，用于告知网站你已登录，因此无需每次输入密码。
这就是Cookie窃取对攻击者如此有价值的原因。如果犯罪分子获得了有效的会话Cookie，他们可能无需知道密码就能访问账户，在某些情况下还不会触发多因素认证提示，因为网站认为登录已经完成。被盗的凭据和Cookie通常被打包出售，或直接用于接管电子邮件、银行、社交媒体和工作账户。
信息窃取程序通常通过人们误信的下载内容接触到受害者，例如破解软件、伪造安装程序或在论坛和聊天中共享的文件。关键在于用户通常是自己运行了恶意软件，这就是为什么谨慎的下载习惯与技术防御同样重要。
RAT如何悄悄接管Windows PC
一旦RAT开始运行，攻击者便在你的计算机上获得了一个远程席位。借助桌面控制，他们可以观察你的操作或在系统上采取行动而不留明显痕迹。文件浏览使他们能够搜寻文档、钱包文件或其他任何感兴趣的内容。远程命令执行使他们能够运行进一步的指令，其中可能包括安装额外的恶意软件。
最后一点正是RAT提高风险的原因。被盗的密码可以在事后更改，但拥有实时访问权限的攻击者可能会在你输入时持续看到新的登录信息，并访问从未保存在浏览器中的文件。事后清理意味着不仅仅是更改一个密码：在该PC上使用过的任何账户都可能需要处理。
这种以数据窃取为先的活动并非信息窃取程序独有。关于被盗数据如何驱动其他威胁的背景信息，请参阅我们的Pear勒索软件组织分析，该文分析了一个专注于数据窃取而非加密的组织。
这对你意味着什么
如果你使用Windows PC，主要的结论是这一威胁针对的是你的设备，而非你的网络连接。VPN会加密设备与VPN服务器之间的流量，但无法阻止你已安装的恶意软件。一旦Stadia RAT或类似工具进入你的机器，它可以在任何流量被加密之前直接读取已保存的密码、Cookie和文件。
这并不意味着VPN毫无意义。它仍然是保护你在不受信任网络上流量的一层防护。它只是不能替代终端安全。同样的逻辑适用于上文提到的Pear勒索软件组织分析：当攻击者从受感染的系统中窃取数据时，网络隐私工具并不是相关的防御手段。
降低风险的实用步骤
以下步骤均不需要专业技术知识：
- 避免盗版和破解软件。 只从官方供应商网站或可信商店下载程序，对通过论坛、广告或聊天链接共享的安装程序保持警惕。
- 启用多因素认证（MFA）。 如果仅密码被盗，它提供了额外保护。尽可能优先使用基于应用或硬件的方式。
- 使用密码管理器。 它可帮助你创建唯一密码，并减少浏览器中存储的凭据数量。
- 保持Windows和安全软件更新。 使用信誉良好的杀毒软件或Windows内置保护进行定期扫描。
- 检查可疑进程。 打开任务管理器，查找占用资源的陌生程序，或查看哪些应用随Windows启动。如果发现异常，请在忽视之前进行调查。
- 若怀疑感染，迅速响应。 断开网络连接，扫描设备，然后从干净的设备更改密码并注销活跃会话，使被盗的Cookie失效。
总结
Stadia RAT的出现表明凭据窃取和远程控制正在被捆绑在一起。Stadia RAT StealC恶意软件的组合提醒人们应将PC视为前线：启用MFA、使用密码管理器、避免盗版软件，并留意可疑进程。VPN是一层有用的隐私保护，但它不能抵御已在你的计算机上运行的恶意软件。
