Når et cyberangreb skaber overskrifter, skyldes det som regel ransomware, et stort databrud eller en svigagtig bankoverførsel. Hvad der sjældent nævnes, er, hvordan angriberen overhovedet kom ind. Svaret er i stigende grad infostealer-malware: en stilfærdig, uimponerende software, der er designet til at gøre én ting ekstremt godt: at høste brugernavne, adgangskoder, browser-cookies og finansielle oplysninger fra en inficeret enhed uden at offeret nogensinde bemærker det.
At forstå, hvordan infostealer-malware fungerer, og hvorfor det er blevet det foretrukne indgangspunkt for cyberkriminelle, er det første skridt mod at forsvare sig mod den bølge af legitimationsdrevne brud, der nu dominerer sikkerhedsrapporter.
Sådan stjæler infostealer-malware rent faktisk dine data
Infostealere er ikke prangende. De låser ikke dine filer eller kræver en løsesum på stedet. I stedet sniger de sig ind på en enhed via et download af cracket software, en ondsindet e-mail-vedhæftning, en falsk browseropdatering eller en kompromitteret annonce og går derefter i gang med at arbejde stille i baggrunden.
Når den først er installeret, scanner malwaren browserens gemte adgangskodeboks, cachelagrede login-cookies, autofyldningsdata og endda cryptocurrency-tegnebogsfiler. Den pakker alt, hvad den finder, i det, sikkerhedsforskere kalder en "stealer log", og sender derefter den logfil til angriberen, som ofte videresælger den i store mængder på kriminelle markedspladser. En enkelt inficeret maskine kan overgive dusinvis af aktive sessioner, fra e-mail og bank til virksomheds-VPN og cloud-administratorpaneler, alt sammen uden at udløse en eneste antivirus-alarm, hvis malwaren er veludformet.
Det er præcis det mønster, der blev set i SunCloudNew stealer-log-eksponeringen, hvor næsten 6.000 poster med klartekstadgangskoder, e-mailadresser og login-URL’er dukkede op fra et enkelt kompromitteret datasæt. Ofrene i dette tilfælde klikkede sandsynligvis aldrig på et phishing-link knyttet til en bestemt konto; malwaren støvsugede simpelthen de legitimationsoplysninger, der lå i deres browsere.
Hvorfor stjålne legitimationsoplysninger nu driver de fleste brud og ransomware
I årevis var phishing-e-mails og ulappede software-sårbarheder de foretrukne indgangspunkter for angribere, der ville bryde ind i virksomhedsnetværk. Det har ændret sig. Som detaljeret beskrevet i rapporteringen om, hvordan infostealer-logfiler har overhalet phishing som den vigtigste brudårsag, ser sikkerhedsforskere, at gyldige, stjålne loginoplysninger bruges til blot at gå ind ad fordøren i stedet for at tvinge en adgang.
Skiftet giver mening set fra angriberens perspektiv. Phishing kræver, at man overbeviser et mål om at handle i realtid, og udnyttelse af en software-sårbarhed kræver, at man finder en, der endnu ikke er lappet. At købe en portion allerede-indsamlede legitimationsoplysninger fra en stealer-logfil er hurtigere, billigere og langt mindre sandsynligt at vække mistanke, især når disse oplysninger omfatter aktive sessionscookies, der helt kan omgå login-prompten.
Denne dynamik er nu også indbygget i ransomware-operationer. Ifølge rapportering, der fandt, at fire ud af fem ransomware-angreb starter med stjålne identiteter snarere end en netværksudnyttelse, logger angribere i stigende grad ind som en medarbejder i stedet for at hacke sig ind som en stereotypisk hætteklædt indtrænger. Bruddet hos Stewart Home & School, der afslørede 3.677 poster, fulgte samme skabelon: en ransomware-hændelse med rod i legitimations-tyveri i stedet for en sofistikeret teknisk udnyttelse.
Tegn på, at dine legitimationsoplysninger måske allerede er kompromitteret
Fordi infostealer-malware er bygget til at være usynlig, er det de færreste, der opdager, at de er inficeret, før skaden allerede er sket. Nogle advarselstegn er værd at holde øje med: ukendte login-advarsler eller e-mails om nulstilling af adgangskode, du ikke har anmodet om; nye enheder eller browsersessioner, der dukker op i din kontos aktive login-historik; uventede ændringer i kontooplysninger til gendannelse; eller pludselige nedbremsninger og ukendte processer, der kører på din enhed.
Overvågningstjenester for legitimationsoplysninger og værktøjer til brud-notifikationer kan også advare dig, når din e-mailadresse eller adgangskoder optræder i en lækket stealer-logfil, ofte før du selv bemærker noget usædvanligt. I betragtning af hvor rutinemæssigt disse logfiler dukker op – fra små skole-distrikters brud til større hændelser på sundhedsportaler – er det at tjekke, om dine oplysninger er dukket op i en af dem, en fornuftig vane snarere end paranoia.
Praktisk forsvar: Adgangskodeadministratorer, 2FA og sikre browservaner
Den gode nyhed er, at infostealer-malware, på trods af al sin snigen, besejres af ret basal hygiejne, der praktiseres konsekvent. En adgangskodeadministrator eliminerer de browser-gemte adgangskoder, som stealere er specifikt designet til at skrabe, og gør det realistisk – i stedet for udmattende – at bruge en unik adgangskode til hver enkelt konto. Aktivering af to-faktor-godkendelse, ideelt set via en autentificerings-app snarere end SMS, betyder, at en stjålet adgangskode alene ikke er nok til at give adgang. At holde software og browsere opdateret lukker for nogle af de leveringskanaler, malwaren er afhængig af, og ved at undgå piratsoftware, uofficielle browserudvidelser og uopfordrede vedhæftninger fjerner man de mest almindelige smitteveje helt.
Hvad dette betyder for dig
Tyveri af legitimationsoplysninger via infostealer-malware kræver ikke, at du er direktør i et større firma eller et mål af høj værdi. Stealer-logfiler er ofte vilkårlige og indsamler de legitimationsoplysninger, der tilfældigvis ligger på en inficeret maskine, hvad enten den tilhører en hospitalsadministrator, en skoleansat eller en almindelig forbruger. Hændelsen med Hartford HealthCare HUSKY Medicaid-portalen viste, hvordan selv rutinemæssige sundhedslogins har reel værdi for angribere, når de først ender i et sæt stjålne oplysninger. Lektien er ikke, at nogen bestemt person har gjort noget forkert, men at legitimationsoplysninger i sig selv er blevet den valuta, som kriminelle handler med.
Den mest effektive reaktion er ikke at gå i panik, hver gang en ny stealer-logfil dukker op, men at gøre dine egne konti mindre værdifulde for den, der måtte købe en. Brug en adgangskodeadministrator, slå to-faktor-godkendelse til overalt, hvor det tilbydes, og behandl ukendte login-advarsler som noget, der er værd at undersøge, i stedet for at ignorere dem. Infostealer-malware trives på usynlighed og genbrugte adgangskoder. At fjerne begge dele er en af de enkleste sikkerhedsbeslutninger med størst effekt, der er tilgængelig for enhver med en online konto.
