Ένας εταιρικός λογαριασμός μπορεί να παραβιαστεί χωρίς ο εργαζόμενος να πληκτρολογήσει τον κωδικό του σε μια ψεύτικη σελίδα. Αν ο υπολογιστής του μολυνθεί με infostealer malware, ο επιτιθέμενος μπορεί να προσπαθήσει να συλλέξει credentials, browser cookies, session tokens και άλλα δεδομένα που βρίσκονται ήδη στη συσκευή.
Για μια μικρή ή μεσαία επιχείρηση αυτό δημιουργεί έναν ιδιαίτερα σημαντικό κίνδυνο: ένα περιστατικό malware σε ένα endpoint μπορεί να εξελιχθεί σε παραβίαση email, cloud υπηρεσιών ή άλλων εταιρικών λογαριασμών.
Η αντιμετώπιση επομένως δεν πρέπει να σταματά στην αφαίρεση του malware. Χρειάζεται να εξεταστεί τι μπορεί να έχει κλαπεί, ποιοι λογαριασμοί επηρεάζονται και ποιες ενεργές sessions πρέπει να ανακληθούν.
Τι είναι το Infostealer Malware;
Ο όρος infostealer ή information-stealing malware περιγράφει κακόβουλο λογισμικό που έχει ως βασικό στόχο τη συλλογή πληροφοριών από ένα παραβιασμένο σύστημα.
Ανάλογα με το συγκεκριμένο malware και το περιβάλλον, μπορεί να στοχεύει δεδομένα όπως:
- αποθηκευμένα usernames και passwords,
- browser cookies και session data,
- authentication tokens,
- autofill δεδομένα,
- αρχεία και έγγραφα του χρήστη,
- δεδομένα από email clients ή άλλες εφαρμογές,
- πληροφορίες συστήματος και εγκατεστημένου λογισμικού.
Δεν έχουν όλα τα infostealers τις ίδιες δυνατότητες και δεν πρέπει να θεωρούμε ότι κάθε μόλυνση οδηγεί αυτομάτως στην κλοπή όλων των παραπάνω. Το πραγματικό impact εξαρτάται από το malware, τα δεδομένα που υπήρχαν στη συσκευή, τα permissions και τα security controls του περιβάλλοντος.
Γιατί ένας εταιρικός υπολογιστής είναι τόσο πολύτιμος στόχος;
Ο browser ενός εργαζομένου αποτελεί συχνά πύλη προς μεγάλο μέρος της εταιρικής υποδομής. Από εκεί μπορεί να χρησιμοποιεί webmail, Microsoft 365 ή άλλες cloud υπηρεσίες, CRM, λογιστικές εφαρμογές, portals συνεργατών και δεκάδες SaaS εφαρμογές.
Παράλληλα, ένας endpoint μπορεί να περιέχει αποθηκευμένα credentials, εταιρικά έγγραφα και ενεργές authenticated sessions.
Αυτό σημαίνει ότι ο attacker δεν ενδιαφέρεται απαραίτητα μόνο για τα αρχεία του υπολογιστή. Μπορεί να ενδιαφέρεται περισσότερο για τις ψηφιακές ταυτότητες και τις ενεργές προσβάσεις που χρησιμοποιούνται από τη συγκεκριμένη συσκευή.
Πώς κλέβει κωδικούς ένα Infostealer;
Ο τρόπος εξαρτάται από το malware και από το πού βρίσκονται αποθηκευμένα τα credentials.
Information stealers έχουν παρατηρηθεί να στοχεύουν browser credential stores και άλλες τοποθεσίες ή εφαρμογές που περιέχουν χρήσιμα authentication data. Η Microsoft, για παράδειγμα, έχει καταγράψει infostealer campaigns που συλλέγουν αποθηκευμένα browser credentials και άλλα authentication artifacts.
Αυτός είναι ένας από τους λόγους για τους οποίους η ύπαρξη ενός διαφορετικού και ισχυρού password για κάθε υπηρεσία είναι σημαντική αλλά δεν αποτελεί από μόνη της προστασία από ένα παραβιασμένο endpoint.
Ένας password manager εξακολουθεί να είναι χρήσιμος για τη μείωση του password reuse και τη σωστή διαχείριση credentials. Δεν αντικαθιστά όμως endpoint security, monitoring και incident response.
Τι είναι τα Browser Cookies και τα Session Tokens;
Όταν ένας χρήστης συνδέεται επιτυχώς σε μια web εφαρμογή, η υπηρεσία χρειάζεται έναν τρόπο να θυμάται ότι ο συγκεκριμένος browser έχει ήδη authenticated.
Για αυτό χρησιμοποιούνται μηχανισμοί όπως session cookies και άλλα authentication artifacts. Χάρη σε αυτούς, ο χρήστης δεν χρειάζεται να εισάγει ξανά username, password και δεύτερο factor σε κάθε request.
Αυτή η ευκολία όμως σημαίνει ότι ορισμένα session artifacts έχουν ιδιαίτερη αξία για έναν attacker.
Γιατί η κλοπή ενός Session Cookie είναι επικίνδυνη;
Σύμφωνα με το MITRE ATT&CK, ένας attacker μπορεί να κλέψει web session cookies και να τα χρησιμοποιήσει για πρόσβαση σε web applications ή Internet services ως ήδη authenticated χρήστης, χωρίς να χρειάζεται απαραίτητα τα αρχικά credentials.
Αυτό συχνά περιγράφεται ως session hijacking ή, ανάλογα με την τεχνική, cookie/session replay.
Το κρίσιμο σημείο είναι ότι ο attacker προσπαθεί να εκμεταλλευτεί μια authentication session που έχει ήδη δημιουργηθεί.
Άρα το Infostealer μπορεί να παρακάμψει το MFA;
Χρειάζεται προσοχή στη διατύπωση.
Το Multi-Factor Authentication παραμένει εξαιρετικά σημαντικό security control και μειώνει σημαντικά τον κίνδυνο που δημιουργεί η κλοπή ενός password. Δεν σημαίνει όμως ότι κάθε μορφή MFA προστατεύει από κάθε τεχνική κλοπής ή επαναχρησιμοποίησης μιας ήδη authenticated session.
Το MITRE ATT&CK επισημαίνει ότι κλεμμένα session cookies μπορούν σε ορισμένα σενάρια να χρησιμοποιηθούν για πρόσβαση χωρίς νέα εισαγωγή credentials και μπορούν να επηρεάσουν την προστασία που θα παρείχε μια νέα MFA authentication διαδικασία.
Αυτό δεν σημαίνει ότι «το MFA δεν λειτουργεί». Σημαίνει ότι η προστασία του endpoint και της authenticated session παραμένει απαραίτητη ακόμη και όταν υπάρχει MFA.
Πώς φτάνει ένα Infostealer σε έναν υπολογιστή;
Δεν υπάρχει ένας μοναδικός τρόπος διανομής.
Infostealers έχουν παρατηρηθεί σε διαφορετικές αλυσίδες επίθεσης, μεταξύ άλλων μέσω social engineering, phishing, κακόβουλων downloads, παραπλανητικών installers και άλλων τεχνικών που οδηγούν τον χρήστη στην εκτέλεση κακόβουλου περιεχομένου.
Για παράδειγμα, η Microsoft έχει καταγράψει το Lumma Stealer να διανέμεται μέσω διαφορετικών τεχνικών και να στοχεύει browser credentials, cookies και άλλα δεδομένα. Νεότερες έρευνες της Microsoft έχουν επίσης καταγράψει stealer campaigns που στοχεύουν authentication tokens και εταιρικά δεδομένα.
Για αυτό η εκπαίδευση απέναντι στο phishing παραμένει σημαντική, αλλά πρέπει να συνδυάζεται με τεχνική προστασία των endpoints.
Τι μπορεί να συμβεί μετά την κλοπή των δεδομένων;
Η κλοπή είναι μόνο το πρώτο στάδιο του επιχειρηματικού κινδύνου.
Ανάλογα με τα δεδομένα που αποκτήθηκαν και τα δικαιώματα του χρήστη, ένας attacker μπορεί να προσπαθήσει να:
- αποκτήσει πρόσβαση σε εταιρικό email,
- συνδεθεί σε cloud ή SaaS εφαρμογές,
- χρησιμοποιήσει έναν παραβιασμένο λογαριασμό για περαιτέρω phishing,
- αποκτήσει πρόσβαση σε εταιρικά αρχεία,
- συλλέξει πρόσθετες πληροφορίες για επόμενες επιθέσεις,
- εκμεταλλευτεί τα permissions του παραβιασμένου χρήστη.
Οι πραγματικές δυνατότητες του attacker εξαρτώνται από τα permissions, τις πολιτικές πρόσβασης και τα υπόλοιπα security controls της επιχείρησης.
Γιατί δεν αρκεί απλώς να αλλάξετε το Password;
Αν υπάρχει ένδειξη ότι ένα endpoint μολύνθηκε από infostealer, η αλλαγή password μπορεί να είναι απαραίτητη για τους επηρεαζόμενους λογαριασμούς. Δεν πρέπει όμως να θεωρείται από μόνη της ολοκληρωμένη αποκατάσταση.
Υπάρχουν δύο βασικοί λόγοι.
Πρώτον, αν το malware εξακολουθεί να υπάρχει στη συσκευή, νέα credentials ή άλλα authentication data μπορεί να εκτεθούν ξανά.
Δεύτερον, αν έχουν κλαπεί ενεργά session artifacts, πρέπει να εξεταστεί αν απαιτείται ανάκληση ενεργών sessions ή tokens από τις αντίστοιχες υπηρεσίες. Οι ακριβείς δυνατότητες και διαδικασίες διαφέρουν ανά provider και εφαρμογή.
Για αυτό ένα πραγματικό infostealer incident πρέπει να αντιμετωπίζεται ως πιθανό endpoint και identity compromise, όχι απλώς ως «ένας κωδικός που διέρρευσε».
Τι πρέπει να κάνει μια επιχείρηση αν υποψιάζεται Infostealer;
Η ακριβής διαδικασία εξαρτάται από το περιστατικό και δεν πρέπει να εφαρμόζεται μηχανικά χωρίς να ληφθεί υπόψη η ανάγκη διατήρησης στοιχείων για investigation.
Σε γενικές γραμμές πρέπει να αξιολογηθούν:
- Containment του endpoint: περιορισμός της δυνατότητας της μολυσμένης συσκευής να συνεχίσει να επικοινωνεί ή να προκαλεί περαιτέρω ζημιά.
- Investigation: προσδιορισμός του malware, του χρονικού διαστήματος της μόλυνσης και των πιθανών δεδομένων που εκτέθηκαν.
- Accounts: καταγραφή των εταιρικών λογαριασμών που χρησιμοποιήθηκαν από τη συσκευή.
- Credentials: ασφαλής αλλαγή των credentials που θεωρούνται εκτεθειμένα, από καθαρή και αξιόπιστη συσκευή.
- Sessions: αξιολόγηση και ανάκληση ενεργών sessions ή authentication tokens όπου απαιτείται και υποστηρίζεται.
- Logs: έλεγχος authentication και security logs για ύποπτες συνδέσεις ή δραστηριότητα.
- Endpoint recovery: ασφαλής αποκατάσταση ή επαναφορά της συσκευής με βάση το πραγματικό περιστατικό.
- Scope: έλεγχος αν υπάρχουν και άλλες επηρεαζόμενες συσκευές, λογαριασμοί ή δεδομένα.
Σε σοβαρό περιστατικό, οι ενέργειες πρέπει να εντάσσονται στο Incident Response Plan της επιχείρησης ώστε να μη χαθούν κρίσιμα στοιχεία και να μην αντιμετωπιστεί μόνο το εμφανές σύμπτωμα.
Πώς βοηθούν Antivirus και EDR;
Η προστασία του endpoint αποτελεί βασικό επίπεδο άμυνας απέναντι στα infostealers.
Ένα σύγχρονο endpoint security stack μπορεί να χρησιμοποιεί διαφορετικούς μηχανισμούς για prevention και detection. Το Endpoint Detection and Response (EDR) προσθέτει δυνατότητες telemetry, detection, investigation και response που μπορούν να είναι ιδιαίτερα χρήσιμες όταν χρειάζεται να καταλάβουμε τι συνέβη σε μια συσκευή.
Αυτό όμως δεν σημαίνει ότι οποιοδήποτε EDR εντοπίζει κάθε infostealer ή ότι η εγκατάσταση ενός agent αρκεί χωρίς monitoring και διαδικασία αντιμετώπισης alerts.
Δείτε αναλυτικά τη διαφορά στο άρθρο της DataShield EDR για Επιχειρήσεις: Τι Είναι και Ποια η Διαφορά από το Antivirus.
Πώς μειώνεται ο κίνδυνος από Infostealers;
Δεν υπάρχει ένα μοναδικό control που να εξαλείφει τον κίνδυνο. Χρειάζεται συνδυασμός πρόληψης, detection και σωστής απόκρισης.
- Διατηρείτε ενημερωμένα λειτουργικά συστήματα, browsers και εφαρμογές.
- Χρησιμοποιείτε κατάλληλη endpoint protection και, όπου δικαιολογείται, EDR.
- Περιορίζετε local administrator privileges και άλλα περιττά δικαιώματα.
- Ενεργοποιείτε MFA στους εταιρικούς λογαριασμούς όπου υποστηρίζεται.
- Χρησιμοποιείτε phishing-resistant authentication όπου είναι διαθέσιμο και κατάλληλο.
- Ελέγχετε downloads, browser extensions και μη εγκεκριμένο λογισμικό.
- Εκπαιδεύετε τους εργαζομένους να αντιμετωπίζουν ύποπτα links, αρχεία και οδηγίες εκτέλεσης commands με προσοχή.
- Παρακολουθείτε authentication και endpoint alerts ώστε μια παραβίαση να εντοπίζεται έγκαιρα.
- Διατηρείτε Incident Response Plan που καλύπτει και account/session compromise.
Τι πρέπει να προσέχει μια ΜΜΕ ιδιαίτερα;
Οι μικρές επιχειρήσεις συχνά επικεντρώνονται στον κωδικό: «αν αλλάξουμε το password, είμαστε ασφαλείς».
Στην περίπτωση ενός infostealer αυτή η λογική είναι ανεπαρκής. Πρέπει να εξεταστούν μαζί η συσκευή, τα credentials, οι authenticated sessions και η δραστηριότητα των εταιρικών λογαριασμών.
Ιδιαίτερη προσοχή χρειάζονται λογαριασμοί με πρόσβαση σε email, οικονομικές εφαρμογές, cloud administration, customer data και άλλα κρίσιμα συστήματα.
Πρακτικό Infostealer Checklist για Επιχειρήσεις
- Υπάρχει κεντρικά διαχειριζόμενη endpoint protection στους εταιρικούς υπολογιστές;
- Ελέγχονται και διερευνώνται τα σημαντικά security alerts;
- Οι browsers και οι εφαρμογές ενημερώνονται συστηματικά;
- Οι χρήστες λειτουργούν χωρίς περιττά administrator privileges;
- Υπάρχει MFA στους κρίσιμους εταιρικούς λογαριασμούς;
- Υπάρχει διαδικασία ανάκλησης sessions μετά από account compromise;
- Γνωρίζουμε ποιοι λογαριασμοί χρησιμοποιήθηκαν από μια μολυσμένη συσκευή;
- Οι αλλαγές credentials μετά από malware incident γίνονται από καθαρό endpoint;
- Ελέγχονται authentication logs για ύποπτη πρόσβαση;
- Υπάρχει διαδικασία για isolation, investigation και recovery μολυσμένου endpoint;
- Οι εργαζόμενοι γνωρίζουν ότι δεν πρέπει να εγκαθιστούν μη εγκεκριμένο ή ύποπτο λογισμικό;
- Το Incident Response Plan καλύπτει πιθανή κλοπή credentials και session data;
Infostealer, Passwords και MFA: Ποιο είναι το σωστό συμπέρασμα;
Η ύπαρξη infostealers δεν σημαίνει ότι τα ισχυρά passwords ή το MFA δεν έχουν αξία. Το αντίθετο: παραμένουν σημαντικά επίπεδα άμυνας.
Δείχνει όμως γιατί η σύγχρονη ασφάλεια δεν μπορεί να βασίζεται σε ένα μόνο control.
Ένα μοναδικό password περιορίζει τον κίνδυνο password reuse. Το MFA μειώνει τον κίνδυνο από κλεμμένο password. Η endpoint protection μειώνει τον κίνδυνο εκτέλεσης και παραμονής malware. Το monitoring βοηθά στον εντοπισμό ύποπτης συμπεριφοράς. Το incident response επιτρέπει στην επιχείρηση να περιορίσει τη ζημιά όταν κάποιο από τα προηγούμενα controls αποτύχει.
Η πραγματική προστασία προκύπτει από τον συνδυασμό τους.
Πώς μπορεί να βοηθήσει η DataShield
Ένα infostealer incident βρίσκεται στο σημείο όπου συναντώνται endpoint security και identity security. Για αυτό η αντιμετώπισή του χρειάζεται ευρύτερη εικόνα από μια απλή σάρωση antivirus.
Η DataShield μπορεί να αξιολογήσει την προστασία των εταιρικών endpoints, τα administrative privileges, το authentication, τα security logs και τις διαδικασίες incident response ώστε να εντοπιστούν τα σημεία όπου μια μόλυνση μπορεί να εξελιχθεί σε παραβίαση εταιρικών λογαριασμών.
Ένα Free IT Audit μπορεί να αποτελέσει το πρώτο βήμα για να αξιολογηθεί αν η επιχείρηση διαθέτει τα βασικά controls για prevention, detection και response απέναντι σε malware και credential theft.
Συμπέρασμα
Τα infostealers δείχνουν γιατί ένα malware incident δεν αφορά πλέον μόνο «έναν μολυσμένο υπολογιστή».
Αν από το endpoint κλαπούν passwords, browser cookies ή authentication tokens, το περιστατικό μπορεί να επεκταθεί σε email, cloud εφαρμογές και άλλους εταιρικούς λογαριασμούς.
Για αυτό η σωστή αντιμετώπιση συνδυάζει endpoint protection, ισχυρό authentication, περιορισμένα privileges, monitoring και οργανωμένο incident response. Και όταν υπάρχει επιβεβαιωμένη μόλυνση, η επιχείρηση πρέπει να εξετάζει όχι μόνο πώς θα αφαιρέσει το malware, αλλά και ποιες ψηφιακές προσβάσεις μπορεί να έχουν ήδη εκτεθεί.
