Infostealer-Logs verändern die Bedrohungslandschaft

Jahrelang waren Phishing-E-Mails und Software-Exploits die bevorzugten Einstiegspunkte für Angreifer, die in Unternehmensnetzwerke eindringen wollten. Das ändert sich. Sicherheitsforscher sehen nun Infostealer-Malware und die dadurch erzeugten Anmeldedaten-Protokolle als die führende Vorstufe zu Sicherheitsverletzungen in Unternehmen und Ransomware-Angriffen. Statt überzeugende Phishing-Köder zu entwerfen oder nach ungepatchten Schwachstellen zu suchen, kaufen oder handeln kriminelle Gruppen zunehmend einfach gestohlene Anmeldeinformationen, die Infostealer bereits von infizierten Geräten gesammelt haben.

Diese Verschiebung ist bedeutsam, weil sie verändert, wo die eigentliche Schwachstelle liegt. Es geht nicht mehr nur darum, ob die Firewall oder der E-Mail-Filter eines Unternehmens einen bösartigen Link abgefangen hat. Es geht darum, ob der private Laptop eines Mitarbeiters, der Heimcomputer eines Auftragnehmers oder ein gemeinsam genutztes Gerät irgendwo in der Lieferkette jemals mit einer Schadsoftware infiziert wurde, die Anmeldedaten stiehlt – selbst wenn das Monate oder Jahre vor dem eigentlichen Vorfall geschah.

Wie Infostealer-Logs Cloud-Datenlecks befeuern

Infostealer sind eine Kategorie von Schadsoftware, die für einen einzigen Zweck entwickelt wurde: Benutzernamen, Passwörter, Browser-Cookies, Sitzungs-Token und automatisch ausgefüllte Daten geräuschlos von einem infizierten Rechner zu extrahieren und alles an den Angreifer zu senden. Das Ergebnis wird in der Regel in einem sogenannten „Log“ verpackt – im Untergrund der Cyberkriminalität ein Bündel sämtlicher Anmelde- und Sitzungsdaten, die von einem infizierten Gerät stammen.

Diese Logs werden auf kriminellen Marktplätzen gehandelt und verkauft, oft zu niedrigen Preisen, da sie in großen Mengen produziert werden. Was sie für Unternehmen so gefährlich macht, ist, dass sie häufig gültige Sitzungscookies und Authentifizierungs-Token für Cloud-Dienste, VPNs und Unternehmensportale enthalten. Das bedeutet, ein Angreifer muss kein Passwort erraten oder jemanden dazu verleiten, eines einzugeben. Er kann möglicherweise eine aktive Sitzung wiederverwenden und direkt an Anmeldebildschirmen und sogar an einer Multi-Faktor-Authentifizierung vorbeigehen, weil die Sitzung bereits authentifiziert war, bevor die Malware sie überhaupt abgreifen konnte.

Einmal drinnen, kann ein einzelner kompromittierter Log zum ersten Einfallstor für einen viel größeren Angriff werden: laterale Bewegung in Cloud-Umgebungen, Zugriff auf freigegebene Laufwerke und interne Tools und schließlich zu Datenschutzverletzungen oder Ransomware-Ausbrüchen, die Schlagzeilen machen. Die Infektion selbst kann auf einem privaten Gerät stattgefunden haben, das nie direkt mit dem Unternehmensnetzwerk verbunden war – einer der Gründe, warum dieser Angriffspfad für Sicherheitsteams so schwer vorhersehbar ist.

Warum Unternehmen kaum hinterherkommen

Herkömmliche Sicherheitsmaßnahmen basieren auf der Annahme, dass die größten Risiken von externen Einbruchsversuchen, bösartigen Anhängen, Brute-Force-Angriffen oder ungepatchten Softwareschwachstellen ausgehen. Von Infostealern verursachte Sicherheitsverletzungen umgehen all das. Der Kompromittierungsursprung liegt oft weit außerhalb des Unternehmensperimeters auf einem Gerät, das das Sicherheitsteam nicht einsehen kann, und die resultierenden Anmeldeinformationen werden einfach von einer zweiten kriminellen Gruppe gekauft oder erworben, die dann den eigentlichen Angriff durchführt.

Diese Arbeitsteilung – eine Gruppe spezialisiert auf Infektion und Log-Ernte, eine andere auf die Monetarisierung des Zugriffs – hat die Cybercrime-Ökonomie effizienter und schwerer zu unterbrechen gemacht. Es bedeutet auch, dass das Patchen bekannter Sicherheitslücken zwar nach wie vor unerlässlich ist, aber nur einen Teil des Problems adressiert. Unsere Berichterstattung über die FortiClient EMS Infostealer-Kampagne zeigt, wie Angreifer eine spezifische technische Schwachstelle mit credential-stehlender Malware kombinieren, um in Unternehmens-Managementsysteme einzudringen, und verdeutlicht, dass Infostealer-Taktiken und herkömmliche Exploits zunehmend gemeinsam statt als getrennte Strategien eingesetzt werden.

Was das für Sie bedeutet

Wenn Sie in einem Unternehmen arbeiten, das auf Cloud-Dienste angewiesen ist – und das tun inzwischen fast alle –, dann ist die Sicherheit Ihrer privaten Geräte stärker mit dem Risiko Ihres Arbeitgebers verbunden, als Sie vielleicht denken. Eine einzige Infostealer-Infektion auf einem Heimrechner, der zum Abrufen der Arbeits-E-Mails oder zur Anmeldung am Unternehmensportal genutzt wird, kann einen Anmeldedaten-Log erzeugen, der letztlich einen viel größeren Sicherheitsvorfall auslöst.

Für Einzelpersonen unterstreicht dies einige altbekannte, aber zunehmend dringliche Gewohnheiten: Geräte aktuell halten, auf gecrackte Software und inoffizielle Downloads verzichten (häufige Verbreitungswege für Infostealer), einen Passwort-Manager statt im Browser gespeicherter Passwörter verwenden und überall dort, wo es angeboten wird, die Multi-Faktor-Authentifizierung aktivieren. Keine dieser Maßnahmen ist ein Allheilmittel gegen den Diebstahl von Sitzungs-Token, aber sie erhöhen den Aufwand und die Kosten für Angreifer spürbar.

Konkrete Handlungsempfehlungen

  • Vermeiden Sie das Herunterladen von raubkopierter Software, gecrackten Spielen oder inoffiziellen Browser-Erweiterungen – alles gängige Verbreitungswege für Infostealer.
  • Nutzen Sie einen dedizierten Passwort-Manager, anstatt Anmeldedaten im Browser zu speichern, da im Browser gespeicherte Daten ein Hauptziel von Infostealern sind.
  • Aktivieren Sie die Multi-Faktor-Authentifizierung für jedes Konto, das sie unterstützt, und ziehen Sie, wo verfügbar, Phishing-resistente Optionen in Betracht.
  • Löschen Sie regelmäßig gespeicherte Browser-Sitzungen und melden Sie sich auf gemeinsam oder privat genutzten Geräten, die für die Arbeit verwendet werden, von sensiblen Konten ab.
  • Wenn Sie den Verdacht haben, dass ein Gerät infiziert sein könnte, ändern Sie Passwörter von einem separaten, vertrauenswürdigen Gerät aus und überwachen Sie die Konten auf ungewöhnliche Aktivitäten.

Der Aufstieg von Infostealer-Logs als bevorzugtes Initial-Access-Werkzeug der Cybercrime-Industrie erinnert uns daran, dass die Prävention von Sicherheitsverletzungen zunehmend weit außerhalb des Unternehmensnetzwerks beginnt – auf den alltäglichen Geräten, mit denen sich Menschen von überall aus anmelden.