Um novo relatório de pesquisa de segurança revela que o infostealer REMUS passou por uma evolução significativa, focando agora no roubo de sessões de navegador e tokens de autenticação em vez de apenas senhas. A pesquisa, conduzida pela Flare, destaca como os criminosos estão adotando um modelo de Malware-as-a-Service (MaaS) para escalar suas operações e aumentar a lucratividade dos ataques.
Evolução do REMUS e foco em sessões
O REMUS não é mais apenas um coletor de credenciais tradicionais. Os desenvolvedores do malware implementaram capacidades avançadas para extrair sessões ativas de navegadores, o que permite aos atacantes acessar contas de usuários sem precisar de senhas. Isso representa uma mudança estratégica no cenário de ameaças, onde a autenticação multifator (MFA) se tornou uma barreira comum, mas sessões roubadas podem contornar essa proteção.
Modelo MaaS e escalabilidade
A adoção do modelo MaaS permitiu que o REMUS fosse distribuído para múltiplos operadores, aumentando a superfície de ataque globalmente. Isso facilita a propagação do malware em diferentes setores e regiões, tornando a detecção e mitigação mais complexas para as equipes de segurança.
Implicações para CISOs
Os CISOs devem revisar suas políticas de gerenciamento de sessões e considerar a implementação de soluções que detectem comportamentos anômalos de sessão. A proteção contra infostealers exige uma abordagem em camadas, incluindo monitoramento de endpoints e educação dos usuários sobre os riscos de clicar em links maliciosos.
Recomendações de mitigação
- Implementar autenticação contínua e revalidação de sessões.
- Utilizar soluções de EDR com capacidades de detecção de infostealers.
- Monitorar logs de acesso para identificar atividades suspeitas de sessão.
Conclusão
A evolução do REMUS para o roubo de sessões e o modelo MaaS representa uma ameaça crescente que exige atenção imediata das equipes de segurança. A adoção de medidas proativas e a atualização constante das defesas são essenciais para mitigar os riscos associados a essa evolução do malware.