Infostealer στην Ουκρανία: 18χρονος έκλεψε 28.000 λογαριασμούς

Οι ουκρανικές αρχές σε συνεργασία με τις αμερικανικές υπηρεσίες επιβολής του νόμου εντόπισαν έναν 18χρονο από την Οδησσό που φέρεται να διαχειριζόταν μια εκτεταμένη επιχείρηση infostealer malware. Η κυβερνοεπιχείρηση στόχευε χρήστες ενός διαδικτυακού καταστήματος στην Καλιφόρνια και κατάφερε να κλέψει στοιχεία από 28.000 λογαριασμούς πελατών. Η υπόθεση αναδεικνύει τη διεθνή φύση του σύγχρονου κυβερνοεγκλήματος και την αυξανόμενη εξειδίκευση νεαρών hackers στη χρήση προηγμένων τεχνικών κλοπής δεδομένων.

Δείτε επίσης: RedLine Infostealer: Δεύτερος κατηγορούμενος ενώπιον του δικαστηρίου

Σύμφωνα με την ανακοίνωση της ουκρανικής κυβερνοαστυνομίας, ο ύποπτος χρησιμοποιούσε infostealer malware μεταξύ 2024 και 2025 για να μολύνει συσκευές χρηστών και να κλέβει sessions περιηγητών καθώς και διαπιστευτήρια λογαριασμών. Τα infostealers αποτελούν έναν από τους πιο δημοφιλείς τύπους κακόβουλου λογισμικού που συλλέγει ευαίσθητα δεδομένα, συμπεριλαμβανομένων κωδικών πρόσβασης, cookies περιηγητή, session tokens, κρυπτονομισματικά πορτοφόλια και πληροφορίες πληρωμών. Η διάρκεια της επιχείρησης υποδηλώνει μια οργανωμένη και συστηματική προσέγγιση στην κλοπή δεδομένων, με τον δράστη να έχει αναπτύξει σταθερή υποδομή για τη διαχείριση και εκμετάλλευση των κλεμμένων πληροφοριών.

Οι επιθέσεις που συνδέονται με τον νεαρό hacker επηρέασαν 28.000 λογαριασμούς πελατών, από τους οποίους οι κυβερνοεγκληματίες χρησιμοποίησαν 5.800 για να πραγματοποιήσουν μη εξουσιοδοτημένες αγορές συνολικής αξίας περίπου 721.000 δολαρίων. Η κακόβουλη επιχείρηση προκάλεσε άμεσες ζημίες 250.000 δολαρίων, συμπεριλαμβανομένων των chargebacks. Αυτά τα στατιστικά αποκαλύπτουν την αποτελεσματικότητα των σύγχρονων infostealer επιχειρήσεων, όπου μόνο το 20,7% των παραβιασμένων λογαριασμών χρησιμοποιήθηκε για απάτη, αλλά η οικονομική επίπτωση ήταν σημαντική. Το γεγονός ότι οι ζημίες ανήλθαν σε 250.000 δολάρια από συνολικές αγορές 721.000 δολαρίων δείχνει τον αντίκτυπο των chargebacks και των διαδικασιών επιστροφής χρημάτων.

Όπως εξηγούν οι αρχές, για την υλοποίηση του εγκληματικού σχήματος, οι επιτιθέμενοι χρησιμοποιούσαν infostealer malware που μολύνει κρυφά τις συσκευές των χρηστών, συλλέγει διαπιστευτήρια σύνδεσης και τα μεταδίδει σε διακομιστές υπό τον έλεγχο των επιτιθεμένων. Οι πληροφορίες στη συνέχεια επεξεργάζονταν και πωλούνταν μέσω εξειδικευμένων διαδικτυακών πόρων και Telegram bots. Η χρήση Telegram για τη διανομή κλεμμένων δεδομένων έχει γίνει συνηθισμένη πρακτική στον κυβερνοεγκληματικό κόσμο, καθώς η πλατφόρμα προσφέρει κρυπτογράφηση και ανωνυμία που δυσκολεύει την παρακολούθηση από τις αρχές.

Τα “session data” που αναφέρονται στην ανακοίνωση της αστυνομίας αφορούν session tokens που μπορούν να χρησιμοποιηθούν για σύνδεση στον λογαριασμό του θύματος χωρίς να απαιτούνται διαπιστευτήρια και, σε ορισμένες περιπτώσεις, να παρακάμψουν ακόμη και τους ελέγχους πολυπαραγοντικής ταυτοποίησης (MFA). Αυτή η τεχνική καθιστά τα infostealers ιδιαίτερα επικίνδυνα, καθώς οι επιτιθέμενοι μπορούν να αποκτήσουν άμεση πρόσβαση σε λογαριασμούς. Η κλοπή session tokens είναι ιδιαίτερα ανησυχητική επειδή πολλοί χρήστες και οργανισμοί εξαρτώνται από το MFA ως κύρια γραμμή άμυνας, χωρίς να συνειδητοποιούν ότι τα session cookies μπορούν να παρακάμψουν αυτή την προστασία.

Δείτε επίσης: OpenClaw: Infostealer κλέβει configuration files και gateway tokens

Ο 18χρονος ύποπτος διαχειριζόταν την διαδικτυακή υποδομή που χρησιμοποιούνταν για την επεξεργασία, πώληση και αξιοποίηση των κλεμμένων session data, υποδεικνύοντας ότι κατείχε κεντρικό ρόλο στην επιχείρηση. Οι αρχές διενήργησαν δύο έρευνες στις κατοικίες του υπόπτου και κατέσχεσαν κινητά τηλέφωνα, εξοπλισμό υπολογιστών, τραπεζικές κάρτες, ηλεκτρονικά μέσα αποθήκευσης και άλλα ψηφιακά στοιχεία. Τα στοιχεία περιλαμβάνουν πρόσβαση σε πόρους που χρησιμοποιούνταν για την πώληση κλεμμένων δεδομένων, διαχείριση παραβιασμένων λογαριασμών, αρχεία καταγραφής δραστηριότητας διακομιστών και λογαριασμούς σε ανταλλακτήρια κρυπτονομισμάτων.

Πρακτικές συμβουλές προστασίας και αντιμετώπισης

Οι ειδικοί ασφάλειας τονίζουν ότι τα session cookies και τα browser tokens είναι συχνά πιο επικίνδυνα από τους κωδικούς πρόσβασης, καθώς μπορεί να παραμείνουν έγκυρα μέχρι να ανακληθούν και να παρακάμψουν το MFA σε ορισμένες περιπτώσεις. Αυτό καθιστά τα infostealers ένα θεμελιώδες στρώμα του σύγχρονου κυβερνοεγκλήματος. Οι οργανισμοί πρέπει να υιοθετήσουν μια πολυεπίπεδη προσέγγιση ασφάλειας που περιλαμβάνει phishing-resistant MFA, παρακολούθηση για κλεμμένα session tokens, εργαλεία υγιεινής διαπιστευτηρίων και endpoint detection and response (EDR) συστήματα που μπορούν να εντοπίσουν ύποπτη δραστηριότητα πρόσβασης σε δεδομένα περιηγητή.

Για τα διαδικτυακά καταστήματα και τους παρόχους SaaS υπηρεσιών, είναι κρίσιμο να παρακολουθούν για ανώμαλη επαναχρησιμοποίηση sessions, αδύνατα ταξίδια, συνδέσεις από γνωστή κακόβουλη υποδομή και αυτοματοποιημένα μοτίβα credential stuffing μετά από κλοπή διαπιστευτηρίων. Η προσθήκη risk-based authentication και device binding μπορεί να παρέχει επιπλέον στρώματα προστασίας. Επιπλέον, η ανάκληση sessions μετά από επαναφορές κωδικών πρόσβασης όταν υπάρχει υποψία παραβίασης είναι μια κρίσιμη πρακτική ασφάλειας.

Δείτε επίσης: SHub Reaper: Νέο infostealer μεταμφιέζεται σε νόμιμα εργαλεία της Apple

Η εκπαίδευση του προσωπικού για την αποφυγή ύποπτων συνδέσμων, ψεύτικων ενημερώσεων λογισμικού, πειρατικού λογισμικού και phishing emails παραμένει θεμελιώδης. Οι επιχειρήσεις πρέπει επίσης να περιορίσουν την αποθήκευση διαπιστευτηρίων στον περιηγητή σε διαχειριζόμενες συσκευές και να διατηρούν τακτικά αντίγραφα ασφαλείας και διαδικασίες αντίδρασης σε περιστατικά για παραβίαση λογαριασμών.