Infostealer-haittaohjelmat: Salasanojen tallentaminen selaimeen vaarantaa yrityksen

Tyontekija asentaa viikonloppuna ilmaisen PDF-muuntimen kotikoneelleen, klikkaa hakukoneen ensimmaista sponsoroitua linkkia ja kaynnistaa asennustiedoston. Silmanraapayksessa ruudulla ei nay mitaan epailyttavaa: ei virheilmoituksia, ei jarjestelman hidastumista. Silti infostealer-tyyppinen haittaohjelma on juuri lukenut ja siirtanyt hyokkaajalle kaikki selaimeen tallennetut kayttajatunnukset, aktiiviset istuntoevasteet seka automaattisen tayton tiedot.

Maanantaiaamuna sama tyontekija synkronoi henkikohtaisen Chrome- tai Edge-profiilinsa tyoaseman selaimen kanssa tai kayttaa tallennettua salasanaa kirjautuakseen yrityksen VPN-verkkoon. Tietoturvajohdolle (CISO) tasta alkaa vakava vaaratilanne: hyokkaajan ei tarvinnut murtaa palomuuria tai ratkaista salausalgoritmeja. Luvaton toimija osti varastetut paasytiedot pimeasta verkosta ja kirjautui sisaan organisaation jarjestelmiin taysin valtuutetun tyontekijan oikeuksilla.

Miten infostealerit anastavat yrityksen paasytiedot omilta ja tyolaitteilta?#

Tiivistelma: Infostealerit leviavat saastuneiden ohjelmistolatausten ja kalastelun kautta kohdentaen hyokkayksensa verkkoselainten paikallisiin SQLite-tietokantoihin. Ne purkavat tallennetut salasanat ja istuntoevasteet suoraan muistista, jolloin hyokkaaja voi ohittaa monivaiheisen tovennuksen (MFA) vaivattomasti.

Toisin kuin kiristysohjelmat (ransomware), jotka lukitsevat laitteet ja jattavat nakyvan lunnasvaatimuksen, infostealer toimii taydellisen huomaamattomasti. Sen toimintamalli perustuu uhrin digitaalisen jalanjaljen eli niin sanotun log-paketin nopeaan varastamiseen ja ulosviantiin.

Hyokkays etenee tyypillisesti seuraavien vaiheiden kautta:

• Alkuperainen ansa: Kayttaja etsii hyotyohjelmaa (dokumenttien katseluohjelmaa, videoneuvotteluliitannaista tai pelia) ja lataa saastuneen tiedoston, jota on levitetty hakukonemainonnan kautta (malvertising).
• Selaimen salasanojen avaaminen: Tavalliset kuluttajaselaimet tallentavat salasanat paikallisiin tietokantoihin, jotka on suojattu kayttojarjestelman tarjoamalla salauksella. Koska infostealer suoritetaan kirjautuneen kayttajan oikeuksilla, se voi purkaa naiden tiedostojen salauksen millisekuntien kuluessa.
• Istuntoevasteiden kaappaus (Session Hijacking): Varastamalla aktiiviset istuntoevasteet hyokkaaja voi kloonata yrityksen pilvipalvelun istunnon ilman, etta hanta pyydetaan syottamaan salasanaa tai hyvaksymaan monivaiheista tunnistautumista (MFA).
• Tietojen siirto ulos: Haittaohjelma pakkaa varastetut tiedot ja lahettaa ne hyokkaajan komentopalvelimelle (C2) tai suojattuun viestisovellukseen.

Selainprofiilien synkronointi: nakymaton silta yritysverkkoon#

Tiivistelma: Selainprofiilien pilvisynkronointi suojaamattoman kotikoneen ja hallitun tyoaseman valilla siirtaa yrityksen kriittiset paasytiedot automaattisesti haavoittuvaan ymparistoon. Tama altistaa organisaation paasytiedot kotikoneiden haittaohjelmille ilman IT-osaston valvontaa.

Eta- ja hybridityo seka omien laitteiden kaytto ovat lisanneet verkkoselaimiin kohdistuvia riskeja merkittavasti. Kun tyontekija aktivoi henkikohtaisen Google- tai Microsoft-tilinsa synkronoinnin tyokoneellaan, kaksi toisistaan erilliseksi tarkoitettua maailmaa yhdistyy.

Selaimen salasanamuistin harhakuva

Nykyaikaiset selaimet ehdottavat salasanojen tallentamista oletusarvoisesti helpottaakseen arkea. Selain ei kuitenkaan vastaa yritystason salasananhallintajarjestelmaa:

• Se ei useinkaan vaadi erillista paasalasanaa tallennettujen tietojen avaamiseksi aktiivisen kayttoistunnon aikana.
• IT- ja tietohallinto ei voi valvoa tai pakottaa salasanojen monimutkaisuutta, tarkistaa vuotaneita tunnuksia keskitetysti tai peruuttaa paasyoikeuksia reaaliaikaisesti.
• Se sekoittaa vapaa-ajan viihdepalvelut ja yrityksen ERP-jarjestelmien, sahkopostien seka pilvihallinnan paasytiedot samaan nippuun.

Jos tyontekijan hallitsematon kotitietokone saastuu infostealerilla, koko synkronoitu salasana- ja evastevarasto vaarantuu valittomasti, mukaan lukien yrityksen kriittiset tilit.

Mita teknisia ja inhimillisia toimia infostealereita vastaan tarvitaan?#

Taman hyokkaysvektorin torjuminen edellyttaa seka tiukkoja teknisia hallintakeinoja etta henkiloston osaamisen jatkuvaa vahvistamista. Talla varmistetaan Liikenne- ja viestintavirasto Traficomin Kyberturvallisuuskeskuksen (NCSC-FI) suositusten seka Kyberturvallisuuslain (NIS 2) velvoitteiden noudattaminen pk-yrityksissa ja suuryrityksissa.

Tyopisteiden tekninen suojaus

IT-johdon ja tietoturvatiimin on otettava selaimen kaytto hallintaan:

• Selaimen oman tallennuksen esto: Estetaan ryhmakaytannoilla (GPO) tai MDM-profiileilla salasanojen tallentaminen selaimiin ja otetaan kayttoon keskitetysti hallittu yritystason salasanasovellus.
• Profiilien eristaminen: Estetaan henkikohtaisten profiilien synkronointi organisaation hallitsemilla tyoasemilla.
• Istuntojen voimassaolon rajoittaminen: Lyhennetaan kriittisten pilvisovellusten istuntoevasteiden elinikaa ja vaaditaan saannollista uudelleentunnistautumista seka laitevaatimustenmukaisuuden tarkistusta (Conditional Access).

Organisaation tietoturvakulttuurin vahvistaminen

Tekniset estot eivat yksin riita, jos tyontekija kiertaa saantoja tyoskennellakseen suojaamattomalta laitteelta tai lataa verkosta tuntemattomia tiedostoja. Henkiloston on ymmarrettava naiden uhkien todellinen luonne kaytannon kautta ilman puuduttavia ja passiivisia kalvosulkeisia.

Pelillisyys ja aktiivinen tekeminen ovat tehokkaimpia keinoja herattaa aito oivallus. Brain Securityn kehittaman Cyber Cup -kilpailun avulla henkilosto osallistuu kyberturvatietovisaan rennossa arcade-hengessa. Nopeat, kolmen minuutin pelit ja reaaliaikainen tulostaulu opettavat tyontekijoille turvallisen lataamisen periaatteet, tyon ja vapaa-ajan laitteiden erottamisen tarkeuden seka keskeiset tavat suojata paasytietoja arjessa.

Tunnuksia kalastavien ja varastavien haittaohjelmien yleistyessa osaava henkilosto on organisaatiosi varhaisin puolustuslinja. Jos haluat tietaa, miten osallistavat oppimismuodot voidaan liittaa osaksi yrityksenne kyberturvallisuusstrategiaa, ota yhteytta tiimiimme ja keskustellaan tarpeistanne.

BRAIN SECURITY KÄYTÄNNÖSSÄ · Cyber Cup

Lue lisää: aiheeseen liittyvät artikkelit ja Brain Securityn ratkaisut#

Aiheeseen liittyvät artikkelit

• Kalastelusimulaatioiden optimaalinen tiheys: Oikea rytmi organisaation valppaudelle (Phishing & Social Engineering) : Mikä on kalastelusimulaatioiden paras vuotuinen rytmi? Ylläpidä henkilöstön valppautta kuormittamatta työntekijöitä. Lue CISO-tason suositukset.
• Pelotteluohjelmat ja selaimen valehalytykset: Kouluta tyontekijat tunnistamaan verkon ansoja (Phishing & Social Engineering) : Suojaa organisaatiosi scareware-ansoilta ja ClickFix-hyokkayksilta. Opi kouluttamaan tyontekijat torjumaan selaimen haitalliset valehalytykset arjessa.
• Tietojenkalastelusimulaatiot yrityksissä: Rankaisevasta ansasta hyödylliseen harjoitteluun (Phishing & Social Engineering) : Muuta organisaatiosi kalastelusimulaatiot rankaisevasta ansasta aidosti oppimista ja raportointia tukevaksi kyberturvaharjoitteluksi. Lue CISOn opas.
• Yrityskaupat ja tytäryhtiöt: Tietoturvakulttuurin yhtenäistäminen tiimihaasteen avulla (Events & Arcade) : Opi yhdistämään tytäryhtiöiden tietoturvakulttuurit yrityskaupan jälkeen pelillisellä ja osallistavalla tiimihaasteella ilman vastarintaa.

Tutustu Brain Securityn ratkaisuihin verkkosivuillamme

• Liittyvä ratkaisu : Cyber Cup : Sisäinen kyberturvallisuusturnaus: lyhyet tiimiottelut, jotka juurruttavat tietoturvataidot osaksi arkea.
• Tutustu käyttötapauksiin tavoitteen ja toimialan mukaan
• Vertaa kyberturvallisuus- ja tekoälykoulutusmuotojamme
• Tutustu koko Brain Securityn interaktiiviseen tuotevalikoimaan
• Keskustele tarpeistasi tiimimme kanssa (demo ja käyttöönotto)