Riassunto:
I ricercatori di sicurezza informatica hanno recentemente rivelato che un malware chiamato Remus sta attirando l'attenzione di molti. A differenza dei tradizionali programmi stealth, è stato scoperto che il malware è in grado di rubare i token di autenticazione associati agli account Google, consentendo in alcuni casi agli aggressori di mantenere l'accesso agli account Gmail anche dopo che la vittima ha cambiato la password.
I ricercatori hanno sottolineato che Remus è un malware che ruba informazioni e prende di mira principalmente gli utenti del sistema Windows. Similmente ai comuni malware per il furto di password, tenta di raccogliere credenziali di accesso, cookie, dati del portafoglio di criptovaluta e altre informazioni sensibili salvate nel browser. Tuttavia, la sua capacità più allarmante risiede nei metodi di attacco contro il meccanismo di autenticazione dell'account Google.
Secondo l'analisi, l'aggressore non deve necessariamente ottenere lui stesso la password dell'utente. Invece, Remus tenta di ottenere il token di autenticazione utilizzato nel browser per mantenere lo stato di accesso. Quando questi token vengono rubati con successo, gli aggressori possono utilizzarli per impersonare utenti legittimi per accedere agli account correlati.
Gli esperti di sicurezza affermano che molti utenti credono che se cambiano immediatamente la password dopo aver scoperto un'anomalia nel loro account, possono bloccare completamente i diritti di accesso dell'intruso. Tuttavia, se l’aggressore dispone di un token di autenticazione ancora valido, la semplice modifica della password potrebbe non invalidarlo immediatamente, motivo per cui questo avviso di sicurezza è motivo di grande preoccupazione.
I ricercatori hanno affermato che gli operatori di Remus hanno addirittura utilizzato questa capacità come uno dei loro punti di vendita promozionali, sostenendo che avrebbero potuto continuare ad accedere ad alcuni servizi di Google dopo che la vittima avesse cambiato la password. Sebbene le affermazioni rilevanti debbano ancora essere valutate nel contesto degli ambienti di attacco reali, la comunità della sicurezza ritiene generalmente che questo tipo di metodo di attacco che utilizza token di sessione invece delle password tradizionali rappresenti effettivamente l’attuale tendenza di sviluppo delle attività dei criminali informatici.
Vale la pena notare che questo tipo di attacco non significa che il meccanismo di sicurezza dell'account Google sia stato completamente violato. Gli esperti spiegano che al centro del problema c'è il furto delle credenziali sui dispositivi infetti. Una volta che un utente malintenzionato ottiene informazioni di autenticazione valide, il sistema potrebbe scambiarlo per un utente legittimo che è stato autenticato.
Per ridurre i rischi, i ricercatori sulla sicurezza consigliano agli utenti non solo di modificare la password del proprio account dopo aver scoperto che i propri dispositivi sono infetti da malware, ma anche di disconnettersi attivamente da tutti i dispositivi e le sessioni a cui hanno effettuato l'accesso, controllare le impostazioni di sicurezza dell'account e abilitare l'autenticazione a più fattori. Allo stesso tempo, il dispositivo infetto dovrebbe essere scansionato e ripulito accuratamente per impedire al malware di continuare a rubare nuove informazioni sull'identità.
Gli esperti del settore hanno sottolineato che, con la popolarità delle funzioni di sincronizzazione del browser, dei meccanismi di accesso persistenti e dei servizi cloud, i criminali informatici sono sempre più propensi a rubare dati di autenticazione avanzati come i token di sessione, anziché limitarsi a ottenere nomi utente e password. Rispetto ai metodi tradizionali di furto di account, questo tipo di attacco è spesso più subdolo e più difficile da rilevare in tempo per gli utenti.
Gli esperti di sicurezza invitano gli utenti a essere più vigili, a evitare di scaricare software da fonti sconosciute, strumenti di cracking o allegati sospetti e ad aggiornare tempestivamente i sistemi operativi e il software di sicurezza. Gli utenti che sospettano che i propri account siano stati compromessi, oltre a modificare le password, dovrebbero anche controllare la cronologia degli accessi, revocare le autorizzazioni dei dispositivi sconosciuti e ristabilire un ambiente di autenticazione sicuro per garantire che gli aggressori non possano continuare a utilizzare le informazioni di autenticazione trapelate per accedere ai propri account.
Commenti