RedLine Stealer: утечка данных из-за вредоносного ПО, 2021

Подтверждённые поля данных в записи RedLine Stealer, адреса электронной почты, имена пользователей и пароли. Когда эти три типа данных доступны вместе, злоумышленники могут атаковать не только отдельный аккаунт, но и аккаунты на других сервисах, где используются те же имя пользователя и пароль. Дополнительные поля, такие как номер телефона, физический адрес, платёжные данные или документы, удостоверяющие личность, не включены в описание, поскольку их наличие не подтверждено. Пароль, наиболее чувствительное поле в этой записи: секретные данные для входа, которые можно использовать в открытом виде или сразу проверять при попытках входа, быстро снижают безопасность аккаунтов.

Вредоносное ПО, подобное RedLine, может создавать риски, используя учётные данные, сохранённые в браузере, данные сеансов и сведения об аккаунтах, введённые пользователем. Поэтому эту запись не следует воспринимать просто как старый список паролей, находящийся в обороте. Если на пострадавшем устройстве остались компоненты вредоносного ПО, тот же риск может возникнуть вновь, даже если пользователь установит новый пароль. В связи с этой утечкой необходимо одновременно проверить пароли аккаунтов и безопасность устройства.

Пострадавшим пользователям следует сначала защитить свои почтовые аккаунты, а затем сменить пароли на всех важных сервисах, где используются то же имя пользователя или тот же адрес электронной почты. Использовать один и тот же пароль с небольшими изменениями в других аккаунтах небезопасно. В первую очередь следует проверить почту, банковские сервисы, облачные хранилища, рабочие аккаунты, социальные сети, игровые платформы и сайты интернет-магазинов. Необходимо включить двухфакторную аутентификацию, завершить неизвестные сеансы и обновить сведения для восстановления доступа к аккаунтам.

На устройствах необходимо провести комплексную очистку. Следует выполнить сканирование с помощью надёжного защитного ПО, обновить операционную систему и браузер, удалить подозрительные приложения и проверить расширения браузера. Пароли, сохранённые в браузере, нужно заменить, данные автозаполнения (проверить, а активные сеансы в синхронизируемых аккаунтах) завершить. В почтовых аккаунтах особое внимание следует уделить правилам пересылки, автоматическим фильтрам и разрешениям сторонних приложений.

Обнаружение RedLine Stealer в организации указывает на риск утечки учётных данных из-за вредоносного ПО на устройствах сотрудников. Если затронуты адреса электронной почты в корпоративном домене, следует изучить журналы поставщика удостоверений, обращая внимание на необычные местоположения, частые неудачные попытки входа, регистрации новых устройств и неожиданную активность сеансов. Для пользователей, критически важных для организации, можно рассмотреть комплекс мер: сброс паролей, завершение сеансов, многофакторную аутентификацию, сканирование конечных устройств на наличие угроз и изоляцию устройств.

Утечке данных RedLine Stealer следует уделить первоочередное внимание, поскольку наличие адресов электронной почты, имён пользователей и паролей подтверждено. Пользователям, увидевшим это уведомление, не следует ограничиваться сменой пароля на одном сервисе: необходимо установить разные пароли для всех аккаунтов, где они привыкли использовать один и тот же пароль, очистить устройства и усилить защиту почтового аккаунта. Наиболее эффективная защита, совместное использование уникальных паролей, двухфакторной аутентификации, контроля сеансов и сканирования на вредоносное ПО.

В отличие от других подборок журналов программ для кражи данных, запись RedLine Stealer также включает имя пользователя в число подтверждённых типов данных. Имя пользователя может облегчить сопоставление профилей, которые человек использует на форумах, в играх, социальных сетях или рабочих инструментах. Когда адрес электронной почты, имя пользователя и пароль доступны вместе, злоумышленнику проще как предпринимать автоматические попытки входа, так и готовить более убедительные фишинговые сообщения. Поэтому эта запись требует не только смены паролей, но и проверки идентификационных данных аккаунтов и безопасности устройств.

При угрозах, связанных с вредоносным ПО наподобие RedLine, важен подход организации к защите конечных устройств. Если затронут аккаунт сотрудника, одной централизованной смены пароля может быть недостаточно: необходимо проверить, не сохраняется ли на устройстве вредоносное ПО, нет ли подозрительных приложений или неразрешённых расширений браузера. Для пользователей, критически важных для организации, следует обновить токены сеансов, применить политики условного доступа, а также проверить неожиданные загрузки данных и обращения к административным панелям.