Дневниците от софтуер за кражба на информация (infostealer logs) се превърнаха от стока в подземието в сериозен оперативен проблем за сигурността. За защитниците откриването на компрометирани данни за достъп е само началото. В днешната реалност много аналитици по сигурността започват утрото си с предупреждение: служебният имейл адрес на служител се е появил в току-що събран дневник от инфостийлър.

Дневникът съдържа потребителско име и парола за корпоративно SaaS приложение. Налице са бисквитки на браузъра (browser cookies), което означава активни сесии, които могат да бъдат използвани от атакуващите, както и няколко други запазени във файлове данни за вход.

Личният компютър на служител е бил заразен със зловреден код Vidar на стотици километри от офисите на компанията. Какво следва от тук нататък?

Нулирането на компрометираната парола изглежда очевидно решение. Но това може да не реши проблема. Ако стийлърът е прихванал автентифицирана бисквитка за сесия, атакуващ може вече да има достъп до приложението, без да се нуждае от парола или от допълнителна стъпка за многофакторна автентификация (MFA). Ако служителят е използвал повторно корпоративни данни за достъп на личния си компютър, крайната точка, създала уязвимостта, може дори да не се управлява от организацията.

А някъде в анонимен канал в Telegram същата информация може вече да е достъпна за брокер на първоначален достъп, партньор на ransomware група или друг киберпрестъпник.

Това е оперативното предизвикателство, пред което екипите по сигурност се изправят все по-често при справяне с дневници от софтуер за кражба на данни.

Според практическото ръководство на Flare Research за мониторинг на стийлър дневници, приблизително 46% от дневниците, съдържащи корпоративни идентификационни данни, произлизат от неуправлявани или лични устройства. От Flare също така изчисляват, че излагането на риск на данни за вход и сесии за водещи SaaS и облачни услуги за производителност нараства с около 29% годишно.

За защитниците въпросът вече не е просто дали трябва да наблюдават дневниците от инфостийлъри.

По-трудният въпрос е: Как да отделите безполезна стара парола от компрометиране на самоличността, което може да се случва в същия този момент?

Иглата сред милиони игли

Инфостийлъри като RedLine, Lumma, Vidar и други семейства зловреден код са проектирани да извличат информация, съхранявана на заразени системи.

В зависимост от злонамерения код и неговата конфигурация, това може да включва запазени пароли в браузъра, бисквитки, данни за автодопълване, криптовалутни портфейли, системна информация, VPN конфигурации и други артефакти за автентификация.

Те се пакетират, за да бъдат продавани като дневник от инфостийлър, като една-единствена инфекция може да генерира стотици или хиляди отделни записи. Умножете това по мащаба на глобалната екосистема от зловреден софтуер и защитниците бързо се сблъскват с огромен проблем с мащабирането.

Докато от защитниците се изисква да обработват и потвърждават всичко, за киберпрестъпниците е нужен само един валиден и ценен набор от данни за вход. Както Flare описва проблема, това не е търсене на игла в купа сено. Това е търсене на конкретна игла сред милиони игли в милиони купи със сено.

Въпреки че исторически дневниците от стийлъри се разпространяваха в подземни форуми и пазари, проучването на Flare показва, че около 90% от тях вече се появяват в Telegram, където публични канали рекламират мостри, а частни абонаментни канали осигуряват достъп до по-актуални масиви от данни.

Заобикаля ли откраднатата бисквитка за сесия вашата MFA защита?

Дневниците от инфостийлъри могат да предоставят на атакуващите активна, автентифицирана сесия, която заобикаля изцяло паролата и MFA потвърждението.

Flare извършва мониторинг в реално време на дневниците от стийлъри в dark web и Telegram, позволявайки маркирането на компрометирани корпоративни самоличности и сесии, преди те да доведат до превземане на акаунт.

Паролата не винаги е най-опасното нещо в дневника

С огромното количество данни в множество канали е трудно да се приоритезира нивото на риск. Ако работите за голяма компания с хиляди служители и започнете деня си с две предупреждения, как да определите кое е по-рисково?

Първото предупреждение може да се отнася за стара парола на служител за потребителски уебсайт, появила се в дневник отпреди шест месеца, докато второто може да е събрано вчера и да съдържа корпоративните идентификационни данни на служителя и автентифицирана браузърна сесия за доставчика на идентичност на организацията.

Въпреки че и двете се определят като излагане на компрометирани данни за достъп, те са напълно различни по тежест.

Ето защо специалистите трябва да приоритезират мониторинга около активи, които дават информация за потенциалното въздействие — например корпоративни домейни и субдомейни, корпоративни доставчици на идентичност, бисквитки за сесии, VPN и RDP крайни точки и облачни конзоли.

Доставчиците на идентичност заслужават специално внимание, тъй като компрометирана SSO самоличност (Microsoft Entra ID, Okta, Google Cloud Identity и др.) може да разкрие път към множество свързани приложения. Когато е възможно, автоматизираната проверка и предприемането на мерки допълнително укрепват тази защита.

Когато даден потребител се автентифицира успешно, приложението издава бисквитка за сесия, за да не се налага повторна автентификация при всяка заявка.

Ако зловреден код открадне тази автентифицирана сесия, атакуващ може потенциално да я повтори (session replay attack). Така че, ако атакуващите се сдобият с бисквитка за сесия и инфостийлърът събере...