🍪 Cookie-фрод с RAT: компрометация сессий в обход MFA
Даже сложный пароль и настроенная многофакторная аутентификация (MFA) не защищают аккаунт, если устройство пользователя заражено инфостилером или RAT
RAT (Remote Access Trojan) — троян удаленного доступа. Вредоносная программа, которая позволяет скрытно управлять чужим устройством, видеть экран и копировать локальные файлы браузера, включая сохраненные пароли и сессионные куки
При таком сценарии злоумышленнику не нужно подбирать пароль или обходить алгоритмы MFA. Атака направлена на перехват уже активной сессии — session hijacking или pass-the-cookie, — что позволяет зайти в систему под видом самого пользователя
Вредоносное ПО обычно маскируется под VPN-клиенты, инструменты для обхода сетевых ограничений, скрипты из публичных репозиториев или обновления софта. Пользователь самостоятельно запускает исполняемый файл, предоставляя программе привилегии в системе
Откуда берется эта уязвимость После успешной авторизации сервер генерирует токен и сохраняет его в браузере в виде session cookie. Этот токен подтверждает системе, что пользователь уже прошел проверку подлинности и MFA. Пока срок действия куки не истек, сервис не требует повторного ввода учетных данных
Если злоумышленник копирует этот идентификатор сессии в собственное окружение, система воспринимает его запросы как продолжение текущей сессии. Повторный запрос MFA на этапе входа не генерируется, так как этап аутентификации технически уже завершен
В отличие от классического фишинга, где цель — выманить пароль, здесь фишинговый ресурс служит лишь точкой доставки вредоносного ПО для последующего извлечения данных из браузера
Как проходит сама атака Поиск: пользователь ищет стороннее ПО или специализированные утилиты
Переход: попадает на поддельный сайт, неофициальный Telegram-канал или скомпрометированный репозиторий
Заражение: скачивает архив и запускает файл, инициируя скрытую установку инфостилера
Сбор данных: вредоносное ПО экспортирует куки, сохраненные пароли, токены и сессии мессенджеров
Эксфильтрация: собранные логи отправляются на командный сервер (C2) злоумышленников
Авторизация: злоумышленник импортирует полученные куки в свой браузер и обращается к целевому сервису
Фрод: совершаются несанкционированные действия — вывод средств, изменение номеров телефонов, почты и реквизитов
На этапе входа отсутствует ввод пароля или повторный запрос MFA. Стандартные инструменты антифрода, контролирующие только форму авторизации, часто пропускают такие сессии как легитимные.
Ограничения классических мер безопасности Зона ответственности MFA: многофакторная аутентификация защищает этап входа, но не обеспечивает защиту уже выданного и впоследствии скомпрометированного токена
Смена пароля: изменение пароля не всегда приводит к прерыванию атаки. Если в системе не реализован принудительный сброс всех активных сессий (kill all sessions), злоумышленник сохранит доступ
Масштабируемость: инфостилеры собирают данные централизованно по всем доступным в браузере сервисам — от личной почты до корпоративных систем управления
Компрометация точек восстановления: доступ к электронной почте жертвы позволяет злоумышленникам самостоятельно сбрасывать пароли на других ресурсах и перехватывать уведомления от служб безопасности
Аномалии и сигналы для фиксации в логах Для выявления компрометации сессии антифрод-системы должны оценивать совокупность следующих признаков:
Изменение контекста устройства: появление сессионного токена с новым device fingerprint, смена User-Agent, версии браузера или ОС
Сетевые аномалии: переход сессии с домашнего IP-адреса на IP-адрес дата-центра, прокси-сервера или VPN Гео-распределенные запросы: обращения к сервису в рамках одной сессии за невозможный промежуток времени — эффект телепортации
Поведенческие факторы: быстрый переход к изменению чувствительных настроек — лимитов, платежных данных, привязки карт — сразу после смены сетевого окружения
Технические маркеры: нетипично высокая скорость навигации, которая может указывать на автоматизацию действий скриптами
