RedLine Stealer: exposição por malware em 2021

Os campos de dados verificados no registro do RedLine Stealer são endereços de e-mail, nomes de usuário e senhas. Quando esses três dados aparecem juntos, os invasores podem atacar não apenas uma única conta, mas também outros serviços nos quais o mesmo nome de usuário e a mesma senha são utilizados. Campos adicionais, como telefone, endereço físico, informações de pagamento ou documentos de identificação, não estão incluídos na descrição porque não foram verificados. O campo de senha é o elemento mais sensível deste registro, pois credenciais que podem ser usadas em texto simples ou testadas diretamente fragilizam rapidamente a segurança da conta.

Malwares semelhantes ao RedLine podem gerar riscos por meio de credenciais armazenadas no navegador, dados de sessão e informações de conta inseridas pelo usuário. Por isso, este registro não deve ser visto apenas como uma lista antiga de senhas em circulação. Se ainda houver vestígios de malware no dispositivo afetado, o mesmo risco poderá reaparecer mesmo que o usuário defina uma nova senha. Este registro exige a verificação conjunta das senhas das contas e da segurança do dispositivo.

Os usuários afetados devem primeiro proteger suas contas de e-mail e, em seguida, trocar as senhas de todos os serviços importantes nos quais usam o mesmo nome de usuário ou e-mail. Usar a mesma senha com pequenas alterações em outras contas não é seguro. E-mail, serviços bancários, armazenamento em nuvem, contas de trabalho, redes sociais, plataformas de jogos e sites de compras devem ser verificados primeiro. A autenticação de dois fatores deve ser ativada, as sessões desconhecidas devem ser encerradas e as informações de recuperação das contas devem ser atualizadas.

Deve ser realizada uma limpeza completa no dispositivo. É necessário fazer uma varredura com um software de segurança confiável, atualizar o sistema operacional e o navegador, remover aplicativos suspeitos e revisar as extensões do navegador. As senhas salvas no navegador devem ser trocadas, os dados de preenchimento automático devem ser verificados e as sessões ativas em contas sincronizadas devem ser encerradas. Nas contas de e-mail, é especialmente importante examinar as regras de encaminhamento, os filtros automáticos e as permissões de aplicativos de terceiros.

Para as instituições, a detecção do RedLine Stealer indica o risco de vazamento de credenciais causado por malware nos dispositivos dos funcionários. Se endereços de e-mail pertencentes ao domínio corporativo forem afetados, devem ser investigados locais incomuns, tentativas frequentes de login malsucedidas, registros de novos dispositivos e atividades de sessão inesperadas nos registros do provedor de identidade. Para usuários em funções críticas, pode-se considerar, em conjunto, a redefinição de senhas, o encerramento de sessões, a autenticação multifator, a varredura de segurança dos dispositivos e o isolamento desses dispositivos.

O vazamento de dados do RedLine Stealer deve ser tratado como uma questão de alta prioridade devido à presença verificada de endereços de e-mail, nomes de usuário e senhas. Ao ver este aviso, os usuários não devem apenas trocar a senha de um único serviço; devem passar a usar senhas distintas em todas as contas nas quais reutilizam senhas, limpar seus dispositivos e reforçar a segurança de suas contas de e-mail. A defesa mais eficaz é combinar senhas exclusivas, autenticação de dois fatores, controle de sessões e varredura em busca de malware.

Ao contrário de outras coleções de registros de malware que rouba informações, o registro do RedLine Stealer também inclui o campo de nome de usuário entre as categorias de dados verificadas. O nome de usuário pode facilitar a associação entre as identidades que uma pessoa utiliza em fóruns, jogos, redes sociais ou ferramentas de trabalho. Quando o endereço de e-mail, o nome de usuário e a senha são encontrados juntos, fica mais fácil para o invasor tanto tentar logins automáticos quanto preparar mensagens de phishing mais convincentes. Por isso, o registro exige não apenas a troca de senha, mas também a verificação da identidade da conta e da segurança do dispositivo.

No contexto de malwares como o RedLine, a abordagem das organizações para a segurança dos dispositivos ganha importância. Se a conta de um funcionário for afetada, realizar apenas uma troca centralizada de senha pode ser insuficiente; é necessário verificar se há malware persistente, aplicativos suspeitos ou extensões de navegador não autorizadas no dispositivo. Para usuários em funções críticas, os tokens de sessão devem ser renovados, políticas de acesso condicional devem ser aplicadas e downloads inesperados de dados ou acessos inesperados a painéis de administração também devem ser analisados.