Аннотация:
Исследователи в области кибербезопасности недавно сообщили, что широкое внимание привлекает вредоносное ПО под названием Remus. В отличие от традиционных стелс-программ, вредоносное ПО способно похищать токены аутентификации, связанные с учетными записями Google, что позволяет злоумышленникам в некоторых случаях сохранять доступ к учетным записям Gmail даже после того, как жертва сменила пароль.
Исследователи отметили, что Remus — это вредоносное ПО для кражи информации, которое в основном нацелено на пользователей систем Windows. Подобно обычному вредоносному ПО для кражи паролей, оно пытается собрать учетные данные для входа, файлы cookie, данные криптовалютного кошелька и другую конфиденциальную информацию, сохраненную в браузере. Однако его наиболее тревожная особенность заключается в методах атаки на механизм аутентификации учетной записи Google.
Согласно анализу, злоумышленнику не обязательно нужно самому получить пароль пользователя. Вместо этого Remus пытается получить токен аутентификации, используемый в браузере для поддержания статуса входа в систему. Когда эти токены успешно украдены, злоумышленники могут использовать их, чтобы выдать себя за законных пользователей и получить доступ к связанным учетным записям.
Эксперты по безопасности заявили, что многие пользователи считают, что если они сразу же поменяют свои пароли после обнаружения аномалии в своей учетной записи, они могут полностью лишить злоумышленника прав доступа. Однако если у злоумышленника есть действующий токен аутентификации, простая смена пароля может не сразу сделать его недействительным, поэтому это предупреждение системы безопасности вызывает серьезную озабоченность.
Исследователи отметили, что операторы Remus даже использовали эту возможность в качестве одного из своих рекламных аргументов, утверждая, что они могут продолжать получать доступ к некоторым сервисам Google после того, как жертва сменила пароль. Хотя соответствующие утверждения все еще необходимо оценивать в контексте реальных сред атак, сообщество безопасности в целом считает, что этот тип атаки, использующий токены сеанса вместо традиционных паролей, действительно отражает текущую тенденцию развития киберпреступной деятельности.
Следует отметить, что этот тип атаки не означает, что механизм безопасности аккаунта Google полностью нарушен. Эксперты поясняют, что в основе проблемы лежит кража учетных данных на зараженных устройствах. Как только злоумышленник получит действительную информацию для аутентификации, система может принять его за законного пользователя, который прошел аутентификацию.
Чтобы снизить риски, исследователи безопасности рекомендуют пользователям не только менять пароли своих учетных записей после обнаружения того, что их устройства заражены вредоносным ПО, но также активно выходить из всех устройств и сеансов, на которых выполнен вход, проверять настройки безопасности учетных записей и включать многофакторную аутентификацию. В то же время зараженное устройство следует тщательно просканировать и очистить, чтобы вредоносное ПО не смогло продолжить кражу новой идентификационной информации.
Инсайдеры отрасли отмечают, что благодаря популярности функций синхронизации браузера, механизмов постоянного входа в систему и облачных сервисов киберпреступники все чаще склонны красть расширенные данные аутентификации, такие как токены сеанса, а не просто получать имена пользователей и пароли. По сравнению с традиционными методами кражи учетных записей, этот тип атаки часто является более тонким, и пользователям труднее его вовремя обнаружить.
Эксперты по безопасности призывают пользователей быть более бдительными, избегать загрузки программного обеспечения из неизвестных источников, инструментов для взлома и подозрительных вложений, а также своевременно обновлять операционные системы и программное обеспечение безопасности. Пользователям, которые подозревают, что их учетные записи были скомпрометированы, помимо смены паролей, следует также проверить историю входов в систему, отозвать авторизацию неизвестных устройств и восстановить безопасную среду аутентификации, чтобы гарантировать, что злоумышленники не смогут продолжать использовать утекшую аутентификационную информацию для доступа к своим учетным записям.
Комментарии