I Log degli Infostealer Stanno Ridisegnando il Panorama delle Violazioni

Per anni, le email di phishing e gli exploit software sono stati i principali punti di accesso per gli aggressori che cercavano di penetrare nelle reti aziendali. Questo sta cambiando. I ricercatori di sicurezza ora indicano il malware infostealer, e i log di credenziali che genera, come il precursore principale delle violazioni aziendali e degli attacchi ransomware. Invece di creare esche di phishing convincenti o di cercare vulnerabilità non corrette, i gruppi criminali acquistano o scambiano sempre più spesso credenziali di accesso rubate che gli infostealer hanno già raccolto dai dispositivi infetti.

Questo cambiamento è importante perché sposta il punto in cui risiede la vera vulnerabilità. Non si tratta più solo di sapere se il firewall o il filtro email di un'azienda ha bloccato un link malevolo. Si tratta di sapere se il laptop personale di un dipendente, il computer di casa di un collaboratore o un dispositivo condiviso da qualche parte nella catena di fornitura è stato infettato da malware per il furto di credenziali, anche mesi o anni prima della violazione finale.

Come i Log degli Infostealer Alimentano le Violazioni dei Dati nel Cloud

Gli infostealer sono una categoria di malware progettata per un unico scopo: estrarre silenziosamente nomi utente, password, cookie del browser, token di sessione e dati di compilazione automatica da una macchina infetta, per poi inviarli all'aggressore. Il risultato viene solitamente impacchettato in quello che il sottobosco del crimine informatico chiama "log", essenzialmente un pacchetto di ogni credenziale e artefatto di sessione estratto da un singolo dispositivo infetto.

Questi log vengono scambiati e venduti nei mercati criminali, spesso a prezzi bassi data l'enorme quantità prodotta. Ciò che li rende così pericolosi per le organizzazioni è che contengono frequentemente cookie di sessione e token di autenticazione validi per servizi cloud, VPN e portali aziendali. Questo significa che un aggressore non ha bisogno di indovinare una password o di indurre qualcuno a inserirla. Può potenzialmente riutilizzare una sessione attiva e oltrepassare le schermate di accesso e persino l'autenticazione multi-fattore, perché la sessione era già stata autenticata prima che il malware la catturasse.

Una volta all'interno, quel singolo log compromesso può diventare il punto d'appoggio iniziale per un'intrusione molto più ampia: movimento laterale attraverso gli ambienti cloud, accesso a unità condivise e strumenti interni e, alla fine, il tipo di esposizione di dati o distribuzione di ransomware che fa notizia. L'infezione stessa potrebbe essersi verificata su un dispositivo personale che non ha mai toccato direttamente la rete aziendale, ed è anche per questo che questo percorso di attacco è così difficile da anticipare per i team di sicurezza.

Perché le Aziende Faticano a Stare al Passo

Le difese di sicurezza tradizionali sono costruite sul presupposto che i rischi maggiori provengano da tentativi esterni di intrusione, allegati malevoli, tentativi di accesso a forza bruta o vulnerabilità software non corrette. Le violazioni guidate dagli infostealer aggirano tutto questo. La compromissione spesso ha origine ben al di fuori del perimetro aziendale, su un dispositivo che il team di sicurezza non può vedere, e le credenziali risultanti vengono semplicemente acquistate o acquisite da un secondo gruppo di criminali che esegue la violazione vera e propria.

Questa divisione del lavoro – un insieme di attori specializzati nell'infezione e nella raccolta dei log, un altro nel monetizzare l'accesso – ha reso l'economia del crimine informatico più efficiente e più difficile da interrompere. Significa anche che l'applicazione di patch alle vulnerabilità software note, per quanto essenziale, affronta solo una parte del problema. La nostra analisi della campagna infostealer contro FortiClient EMS illustra come gli aggressori combinino una specifica vulnerabilità tecnica con il malware per il furto di credenziali per ottenere un punto d'appoggio all'interno dei sistemi di gestione aziendale, mostrando come le tattiche degli infostealer e gli exploit tradizionali vengano sempre più utilizzati insieme, anziché come strategie separate.

Cosa Significa per Te

Se lavori in un'azienda che si affida a servizi cloud, e oggi quasi tutte le organizzazioni lo fanno, la sicurezza dei tuoi dispositivi personali è più legata al rischio del tuo datore di lavoro di quanto potresti pensare. Una singola infezione da infostealer su un computer di casa usato per controllare la posta elettronica di lavoro o accedere al portale aziendale può produrre un log di credenziali che finisce per alimentare una violazione molto più ampia in seguito.

Per gli individui, questo rafforza alcune abitudini familiari ma sempre più urgenti: mantenere i dispositivi aggiornati, evitare software craccati e download non ufficiali (vettori comuni di consegna degli infostealer), utilizzare un gestore di password anziché le password salvate nel browser e abilitare l'autenticazione multi-fattore ovunque venga offerta. Nessuna di queste è una soluzione miracolosa contro il furto di token di sessione, ma alzano significativamente il costo e la difficoltà per gli aggressori.

Indicazioni Pratiche

Alcuni passi concreti possono ridurre l'esposizione al rischio derivante dagli infostealer:

  • Evitare di scaricare software piratato, giochi craccati o estensioni del browser non ufficiali, tutti metodi comuni di diffusione degli infostealer.
  • Utilizzare un gestore di password dedicato invece di salvare le credenziali nel browser, poiché i dati memorizzati nel browser sono un obiettivo primario degli infostealer.
  • Abilitare l'autenticazione multi-fattore su ogni account che la supporta e prendere in considerazione opzioni resistenti al phishing, ove disponibili.
  • Svuotare regolarmente le sessioni del browser memorizzate e disconnettersi dagli account sensibili su dispositivi condivisi o personali utilizzati per il lavoro.
  • Se si sospetta che un dispositivo possa essere infetto, cambiare le password da un dispositivo separato e fidato e monitorare gli account per attività insolite.

L'ascesa dei log degli infostealer come strumento preferito dal crimine informatico per l'accesso iniziale è un promemoria che la prevenzione delle violazioni inizia sempre più al di fuori della rete aziendale, sui dispositivi di tutti i giorni che le persone usano per accedere da qualsiasi luogo.