Zusammenfassung:
Cybersicherheitsforscher haben kürzlich bekannt gegeben, dass eine Malware namens Remus große Aufmerksamkeit erregt. Im Gegensatz zu herkömmlichen Stealth-Programmen konnte die Schadsoftware mit Google-Konten verknüpfte Authentifizierungstoken stehlen, sodass Angreifer in manchen Fällen auch dann noch auf Gmail-Konten zugreifen konnten, wenn das Opfer sein Passwort geändert hatte.
Forscher wiesen darauf hin, dass es sich bei Remus um eine informationsstehlende Schadsoftware handelt, die hauptsächlich auf Benutzer von Windows-Systemen abzielt. Ähnlich wie übliche Malware, die Passwörter stiehlt, versucht sie, Anmeldeinformationen, Cookies, Kryptowährungs-Wallet-Daten und andere vertrauliche Informationen, die im Browser gespeichert sind, zu sammeln. Die alarmierendste Fähigkeit liegt jedoch in den Angriffsmethoden gegen den Authentifizierungsmechanismus des Google-Kontos.
Der Analyse zufolge muss der Angreifer nicht unbedingt selbst an das Passwort des Benutzers gelangen. Stattdessen versucht Remus, das im Browser verwendete Authentifizierungstoken zu erhalten, um den Anmeldestatus aufrechtzuerhalten. Wenn diese Token erfolgreich gestohlen werden, können Angreifer sie verwenden, um sich als legitime Benutzer auszugeben und auf entsprechende Konten zuzugreifen.
Sicherheitsexperten sagten, dass viele Benutzer glauben, dass sie dem Eindringling die Zugriffsrechte vollständig entziehen können, wenn sie ihre Passwörter sofort ändern, nachdem sie eine Anomalie in ihrem Konto entdeckt haben. Wenn der Angreifer jedoch über ein noch gültiges Authentifizierungstoken verfügt, kann es sein, dass eine einfache Änderung des Passworts dieses nicht sofort ungültig macht, weshalb diese Sicherheitswarnung von großer Bedeutung ist.
Die Forscher erwähnten, dass die Betreiber von Remus diese Fähigkeit sogar als eines ihrer Verkaufsargumente nutzten und behaupteten, sie könnten weiterhin auf einige Google-Dienste zugreifen, nachdem das Opfer sein Passwort geändert habe. Obwohl relevante Behauptungen noch im Kontext tatsächlicher Angriffsumgebungen bewertet werden müssen, ist die Sicherheitsgemeinschaft allgemein davon überzeugt, dass diese Art von Angriffsmethode, bei der Sitzungstoken anstelle herkömmlicher Passwörter verwendet werden, tatsächlich den aktuellen Entwicklungstrend cyberkrimineller Aktivitäten darstellt.
Es ist erwähnenswert, dass diese Art von Angriff nicht bedeutet, dass der Sicherheitsmechanismus des Google-Kontos vollständig verletzt wurde. Experten erklären, dass der Kern des Problems der Diebstahl von Zugangsdaten auf infizierten Geräten ist. Sobald ein Angreifer gültige Authentifizierungsinformationen erhält, verwechselt das System ihn möglicherweise mit einem legitimen Benutzer, der authentifiziert wurde.
Um Risiken zu reduzieren, empfehlen Sicherheitsforscher, dass Benutzer nicht nur ihre Kontokennwörter ändern, nachdem sie festgestellt haben, dass ihre Geräte mit Malware infiziert sind, sondern sich auch aktiv von allen angemeldeten Geräten und Sitzungen abmelden, die Sicherheitseinstellungen des Kontos überprüfen und die Multi-Faktor-Authentifizierung aktivieren. Gleichzeitig sollte das infizierte Gerät gründlich gescannt und gereinigt werden, um zu verhindern, dass Malware weiterhin neue Identitätsinformationen stiehlt.
Brancheninsider wiesen darauf hin, dass Cyberkriminelle mit der Popularität von Browser-Synchronisierungsfunktionen, dauerhaften Anmeldemechanismen und Cloud-Diensten zunehmend dazu neigen, erweiterte Authentifizierungsdaten wie Sitzungstoken zu stehlen, anstatt nur Benutzernamen und Passwörter zu beschaffen. Im Vergleich zu herkömmlichen Methoden zum Kontodiebstahl ist diese Art von Angriff oft subtiler und für Benutzer schwieriger rechtzeitig zu erkennen.
Sicherheitsexperten fordern Benutzer auf, wachsamer zu sein, das Herunterladen von Software aus unbekannten Quellen, das Knacken von Tools oder verdächtigen Anhängen zu vermeiden und Betriebssysteme und Sicherheitssoftware rechtzeitig zu aktualisieren. Benutzer, die vermuten, dass ihre Konten kompromittiert wurden, sollten neben der Änderung ihrer Passwörter auch ihren Anmeldeverlauf überprüfen, unbekannte Geräteautorisierungen widerrufen und eine sichere Authentifizierungsumgebung wiederherstellen, um sicherzustellen, dass Angreifer nicht weiterhin durchgesickerte Authentifizierungsinformationen für den Zugriff auf ihre Konten verwenden können.
Kommentare