Infostealers: Porque guardar palavras-passe profissionais em browsers não geridos é crítico

Um colaborador instala um conversor de PDF gratuito no seu computador pessoal durante o fim de semana, clica no primeiro link patrocinado de um motor de busca e executa o ficheiro descarregado. Numa fração de segundo, nada de anormal surge no ecrã: nenhuma janela de alerta, nenhuma lentidão suspeita. Contudo, um malware do tipo infostealer acaba de extrair a totalidade das credenciais guardadas, os cookies de sessão ativa e os dados de preenchimento automático armazenados no seu browser.

Na segunda-feira de manhã, este mesmo colaborador sincroniza o seu perfil pessoal do Chrome ou do Edge com a sua sessão de trabalho, ou reutiliza uma palavra-passe guardada para aceder à VPN corporativa. Para o CISO, o pesadelo começa aqui: o atacante não precisou de forçar a firewall nem de quebrar um algoritmo criptográfico complexo. Bastou-lhe adquirir as credenciais roubadas num canal clandestino para aceder às ferramentas internas como se fosse o colaborador legítimo.

Como é que os infostealers roubam acessos empresariais em postos de trabalho pessoais ou profissionais?#

Em resumo: Os infostealers infiltram-se através de software contrafeito ou phishing para visar as bases de dados SQLite locais dos browsers. Estes malwares extraem as chaves de encriptação da memória para roubar palavras-passe e cookies de sessão em texto simples, contornando diretamente a autenticação multifator.

Ao contrário dos ransomwares, que bloqueiam sistemas para exigir um resgate imediato e visível, o infostealer opera em total discrição. O seu modelo assenta na exfiltração rápida de um pacote de dados (frequentemente designado por "log") que contém a pegada digital completa da vítima.

O mecanismo de ataque segue habitualmente etapas bem definidas:

• A armadilha inicial: O utilizador procura um utilitário (leitor de documentos, cliente de jogos, falso plugin de reunião online) e descarrega um binário infetado promovido através de malvertising (anúncios maliciosos nos motores de busca).
• A extração dos cofres do browser: Os browsers de consumo guardam as palavras-passe em bases de dados locais encriptadas através da API de proteção de dados do sistema operativo. O infostealer, ao ser executado no contexto do utilizador da sessão, utiliza os mesmos privilégios para desencriptar estes ficheiros em milissegundos.
• A captura de cookies de sessão (Session Hijacking): Ao roubar cookies ativos, o invasor replica a sessão de uma conta cloud corporativa sem ter de introduzir a palavra-passe nem de validar a notificação MFA (autenticação multifator).
• A exfiltração dos dados: O malware compacta a informação recolhida e envia-a para um servidor de comando e controlo (C2) ou para um bot do Telegram.

A sincronização de perfis de navegação: a porta de entrada invisível para a infraestrutura de TI#

Em resumo: A sincronização cloud de perfis de navegação entre um computador pessoal vulnerável e um posto de trabalho empresarial transfere automaticamente acessos sensíveis para um ambiente desprotegido, expondo as credenciais corporativas a ameaças domésticas fora do controlo da equipa de cibersegurança.

O trabalho remoto e a utilização híbrida de equipamentos potenciaram os riscos associados aos browsers web. Quando um colaborador ativa a sincronização da sua conta pessoal da Google ou da Microsoft no seu computador de trabalho, funde dois ecossistemas que deveriam permanecer rigorosamente isolados.

A ilusão do cofre integrado no browser

Os browsers modernos sugerem, por predefinição, guardar todas as credenciais para simplificar o dia a dia do utilizador. No entanto, um browser não substitui um gestor de palavras-passe corporativo:

• Raramente exige uma palavra-passe-mestre para desbloquear o acesso às credenciais durante uma sessão ativa.
• Não permite que a equipa de segurança imponha requisitos de complexidade, monitorização de fugas de informação ou revogação centralizada de acessos.
• Mistura frequentemente credenciais de entretenimento pessoal com acessos a sistemas ERP, plataformas de correio profissional ou consolas de administração cloud.

Se o computador familiar não gerido for infetado por um infostealer, todo o conjunto de chaves sincronizado fica comprometido, incluindo os acessos vitais da organização.

Que medidas técnicas e humanas devem ser adotadas contra o roubo de credenciais por infostealers?#

Para neutralizar este vetor de ataque, a resposta tecnológica tem de ser obrigatoriamente complementada com a capacitação contínua e prática de cada utilizador.

O reforço técnico dos postos de trabalho

A equipa de TI e cibersegurança deve recuperar o controlo operacional sobre a utilização dos browsers:

• Desativar a gravação nativa de palavras-passe: Bloquear via GPO ou políticas de MDM o armazenamento de palavras-passe em browsers não geridos e implementar um gestor de palavras-passe corporativo dedicado.
• Isolar as sessões: Impedir a sincronização de perfis pessoais em equipamentos de trabalho geridos pela empresa.
• Reduzir a persistência dos cookies: Diminuir o tempo de vida das sessões web em aplicações críticas e exigir reautenticação baseada em conformidade do dispositivo (acesso condicional).

Desenvolver a cultura de segurança das equipas

As barreiras técnicas tornam-se ineficazes se um colaborador contornar as regras para trabalhar a partir de um computador pessoal ou se descarregar ficheiros suspeitos sem avaliar o risco. É fundamental que as equipas compreendam a mecânica real destas ameaças, evitando ações de formação teóricas e pouco envolventes.

Para gerar uma verdadeira mudança de comportamentos, o formato prático e a gamificação são os caminhos mais eficazes. Com a Cyber Cup desenvolvida pela Brain Security, envolve os seus colaboradores numa competição de quizzes de cibersegurança inspirada nas máquinas arcade. Em sessões rápidas de 3 minutos com uma tabela de classificação em tempo real, as equipas aprendem a reconhecer os perigos dos downloads não seguros, a relevância de separar a vida pessoal da profissional e as boas práticas essenciais para proteger os acessos corporativos.

Perante a proliferação constante de malwares focados no roubo de credenciais, a preparação das suas pessoas representa a primeira linha ativa de defesa. Para descobrir como integrar metodologias dinâmicas de treino na sua estratégia global de sensibilização, fale connosco sobre as suas necessidades hoje mesmo.

INTERFACE E EXPERIÊNCIA BRAIN SECURITY · Cyber Cup

Para aprofundar: artigos relacionados e soluções da Brain Security#

Artigos complementares sobre este tema

• Frequência das simulações de phishing: o ritmo certo para a sua organização (Phishing e Engenharia social) : Qual a frequência ideal para testes de phishing? Descubra o ritmo anual para manter a vigilância ativa sem sobrecarregar as equipas.
• Scareware e falsos alertas no navegador: Ensinar os colaboradores a detetar armadilhas web (Phishing e Engenharia social) : Bloqueie scareware e falsos alertas web. Conheça as táticas ClickFix e treine os colaboradores para proteger o navegador no dia a dia da empresa.
• Simulação de phishing nas empresas: Da armadilha punitiva ao treino eficaz (Phishing e Engenharia social) : Saiba como transformar as simulações de phishing nas empresas num treino pedagógico e valorizado pelas equipas. Guia da Brain Security.
• Zero fricção: Por que o acesso sem palavra-passe aumenta a adesão às campanhas de cibersegurança (Gamificação) : Descubra como eliminar as barreiras de autenticação para duplicar a participação dos seus colaboradores nas ações de sensibilização em cibersegurança.

Descobrir as soluções da Brain Security no site

• Solução associada : Cyber Cup : A competição ciber totalmente personalizável: fluxo à medida, boss fights e classificação pública.
• Consultar os casos de uso por necessidade e setor
• Comparar os nossos formatos de sensibilização ciber e IA
• Explorar todo o catálogo interativo da Brain Security
• Falar das suas necessidades com a nossa equipa (demo e implementação)