Τα κλεμμένα διαπιστευτήρια επιτρέπουν στους επιτιθέμενους να συνδεθούν σε μόλις οκτώ λεπτά κατά μέσο όρο μετά τη μόλυνση μιας συσκευής. Αυτό προκύπτει από έκθεση της Elastic Security Threat Command, που εξέτασε 27 επιβεβαιωμένα περιστατικά με infostealer, δηλαδή κακόβουλο λογισμικό που κλέβει αποθηκευμένους κωδικούς, δεδομένα συνεδριών του browser και στοιχεία πληρωμών. Οι ερευνητές κατέγραψαν επίσης κατάχρηση εφαρμογών τεχνητής νοημοσύνης και υπογεγραμμένων εργαλείων απομακρυσμένης διαχείρισης.
Κλεμμένα διαπιστευτήρια: οκτώ λεπτά από τη μόλυνση στην είσοδο
Στα 27 περιστατικά σε υπολογιστές πελατών, η κλοπή δεδομένων γινόταν μέσα από εφαρμογές που ο χρήστης ή το λειτουργικό σύστημα εμπιστεύονταν ήδη. Μεταξύ αυτών ήταν ένας υπογεγραμμένος πράκτορας απομακρυσμένης διαχείρισης, ένας updater προγράμματος περιήγησης, ένας installer προμηθευτή και τα εργαλεία scripting της Apple.
Η πιο συχνή αρχική πύλη ήταν οι σελίδες «επαλήθευσης» τύπου ClickFix, που εμφανίστηκαν σε 12 περιπτώσεις. Πείθουν τον χρήστη να αντιγράψει και να εκτελέσει ο ίδιος μια κακόβουλη εντολή, παρουσιασμένη ως βήμα ελέγχου ή οδηγία επίλυσης προβλήματος. Έτσι παρακάμπτονται οι άμυνες που σαρώνουν συνημμένα email, αφού δεν υπάρχει κάποιο ύποπτο αρχείο.
Η ταχύτητα μπορεί να είναι ακόμη μεγαλύτερη. Σε περιστατικό σε υπηρεσία υγείας, η παράδοση κακόβουλου installer και η εκτέλεσή του με DLL sideloading (τεχνική που κάνει μια νόμιμη εφαρμογή να φορτώσει κακόβουλο κώδικα) έγιναν περίπου 16 δευτερόλεπτα αφού το θύμα ακολούθησε το δόλωμα.
Πώς αξιοποιούνται τα κλεμμένα διαπιστευτήρια
Τα δεδομένα συνεδριών που καταγράφονται από έναν infostealer μπορούν να δώσουν πρόσβαση σε λογαριασμό χωρίς να χρειαστεί ξανά ο κωδικός. Ο εισβολέας εμφανίζεται ως ο ίδιος ο χρήστης, κάτι που δυσκολεύει την ανίχνευση.
Εργαλεία AI και απομακρυσμένης πρόσβασης ως όχημα
Οι ερευνητές τεκμηρίωσαν εισβολές όπου εφαρμογές AI χρησιμοποιήθηκαν για την εκτέλεση εντολών. Βοηθοί προγραμματισμού όπως το Claude Code και το Cursor μπορούν να τρέχουν εντολές συστήματος και να έχουν πρόσβαση σε αρχεία και διαπιστευτήρια. Στα Windows, ένας επιτιθέμενος συνδέθηκε απομακρυσμένα σε υπολογιστή και μέσω της επέκτασης Visual Studio Code του Claude Code προετοίμασε εργαλεία και επικοινώνησε με εξωτερικό διακομιστή μέσω κρυφής σύνδεσης. Στο macOS, εντολές μέσω της desktop εφαρμογής του ChatGPT διάβασαν ένα εσωτερικό έγγραφο υποδομής και μετά προσπάθησαν να προσπελάσουν το αποθηκευμένο password store του χρήστη.
Η Elastic τονίζει ότι πρόκειται για κατάχρηση μετά την απόκτηση πρόσβασης. Τα περιστατικά δεν αποδεικνύουν ευπάθεια στις εφαρμογές ούτε παραβίαση των παρόχων τους.
Παράλληλα, επιβεβαιώθηκαν 23 περιπτώσεις κατάχρησης λογισμικού απομακρυσμένης παρακολούθησης και διαχείρισης (RMM), με το ScreenConnect να αναφέρεται συχνότερα. Σε μία καμπάνια, ένα ψεύτικο ψηφιακό προσκλητήριο οδήγησε σε κρυφή εγκατάσταση του ScreenConnect, που συνδέθηκε με διακομιστή των επιτιθέμενων και λειτούργησε ως υπηρεσία των Windows. Σε άλλη, εισβολέας ανέβασε λογισμικό απομακρυσμένης πρόσβασης σε παραβιασμένο διακομιστή, αφού απέτυχαν οι απόπειρες δημιουργίας λογαριασμών χρηστών.
Phishing που εκμεταλλεύεται αξιόπιστες υπηρεσίες σύνδεσης
Στους cloud λογαριασμούς, οι επιτιθέμενοι αξιοποίησαν αξιόπιστες υπηρεσίες ταυτοποίησης και προεγκεκριμένες εφαρμογές. Τα κιτ adversary-in-the-middle (AiTM) τοποθετούν έναν ενδιάμεσο κόμβο ανάμεσα στο θύμα και την πραγματική σελίδα σύνδεσης. Όταν το θύμα δώσει στοιχεία και ολοκληρώσει την πολυπαραγοντική πιστοποίηση (MFA), ο εισβολέας αρπάζει την ήδη πιστοποιημένη συνεδρία. Το κιτ Tycoon 2FA ήταν ενεργό στην περίοδο αναφοράς.
Οι ερευνητές είδαν επίσης χρήση κλεμμένων ονομάτων χρήστη και κωδικών μέσω παλαιότερης μεθόδου ταυτοποίησης, που επέτρεπε πρόσβαση χωρίς δεύτερο παράγοντα. Σε ξεχωριστό περιστατικό device-code phishing, ο χρήστης πείστηκε να εισαγάγει έναν κωδικό στη σελίδα σύνδεσης της Microsoft και έδωσε έτσι πρόσβαση σε συνεδρία που είχε ξεκινήσει ο επιτιθέμενος. Ακολούθησε εγγραφή εικονικής συσκευής για διατήρηση της πρόσβασης.
Τι διδάσκει το περιστατικό
Το κοινό σημείο είναι ότι η κακόβουλη δραστηριότητα μοιάζει με νόμιμη. Όπως σημείωσε ο Mike Nichols της Elastic, ένας πράκτορας που έχει διαπιστευτήρια και πρόσβαση στο διαδίκτυο είναι μια νέα επιφάνεια επίθεσης και, όταν τον ελέγχει επιτιθέμενος, η δραστηριότητά του μοιάζει με του υπαλλήλου που τον εγκατέστησε. Το ερώτημα λοιπόν δεν είναι αν ένα εργαλείο είναι εγκεκριμένο, αλλά τι πραγματικά κάνει.
Με χρονικό περιθώριο λίγων λεπτών, η χειροκίνητη αντίδραση μετά το γεγονός δεν αρκεί. Οι συντάκτες της έκθεσης υποστηρίζουν ότι η απάντηση δεν είναι μόνο νέες υπογραφές ανίχνευσης, αλλά ανάλυση συμπεριφοράς χρηστών και οντοτήτων (UEBA) για τον προσδιορισμό της κανονικής δραστηριότητας, μαζί με ορατότητα σε πολλά πεδία και ενεργή συσχέτιση συμβάντων.
Τι πρέπει να κάνετε
- Εκπαιδεύστε το προσωπικό να μην αντιγράφει και εκτελεί εντολές από σελίδες «επαλήθευσης» ή «επίλυσης προβλήματος» και να αναφέρει τέτοιες σελίδες.
- Καταγράψτε ποια εργαλεία απομακρυσμένης διαχείρισης είναι εγκεκριμένα και ειδοποιείστε για κάθε άλλη εγκατάσταση, όπως ένα απρόσμενο ScreenConnect.
- Απενεργοποιήστε τις παλαιότερες μεθόδους ταυτοποίησης που δεν απαιτούν δεύτερο παράγοντα και περιορίστε τις ροές device-code όπου δεν χρειάζονται.
- Παρακολουθείτε τι εκτελούν οι βοηθοί προγραμματισμού και οι εφαρμογές AI στους σταθμούς εργασίας, ιδίως όταν έχουν πρόσβαση σε αρχεία και password stores.
- Μετά από ύποπτη μόλυνση, ακυρώστε άμεσα τις ενεργές συνεδρίες και αλλάξτε τους κωδικούς, όχι μόνο τους κωδικούς.
- Αξιοποιήστε ανάλυση συμπεριφοράς (UEBA) και συσχέτιση συμβάντων στο SOC για να εντοπίζετε ασυνήθιστη δραστηριότητα σε νόμιμους λογαριασμούς.
Πηγή: Help Net Security