Infostealer-logs hervormen het dataleklandschap

Jarenlang waren phishing-e-mails en software-exploits de favoriete ingangen voor aanvallers die bedrijfsnetwerken wilden binnendringen. Dat is aan het veranderen. Beveiligingsonderzoekers wijzen nu naar infostealer-malware, en de credential-logs die deze genereert, als de belangrijkste voorbode van bedrijfsinbreuken en ransomware-aanvallen. In plaats van overtuigende phishing-lokmiddelen te maken of naar ongepatchte kwetsbaarheden te zoeken, kopen of ruilen criminele groeperingen steeds vaker gestolen inloggegevens die infostealers al van besmette apparaten hebben geoogst.

Deze verschuiving is belangrijk omdat het verandert waar de echte kwetsbaarheid ligt. Het gaat niet langer alleen om de vraag of de firewall of het e-mailfilter van een bedrijf een kwaadaardige link heeft tegengehouden. Het gaat erom of de persoonlijke laptop van een medewerker, de thuiscomputer van een externe medewerker of een gedeeld apparaat ergens in de toeleveringsketen ooit is besmet met malware die inloggegevens steelt, zelfs maanden of jaren vóór de uiteindelijke inbreuk.

Hoe infostealer-logs cloud-datalekken in de hand werken

Infostealers zijn een categorie malware gebouwd met één doel: stilletjes gebruikersnamen, wachtwoorden, browsercookies, sessietokens en automatisch ingevulde gegevens van een besmette machine halen en alles terugsturen naar de aanvaller. De output wordt doorgaans verpakt in wat de cybercrime-onderwereld een "log" noemt, een bundel van elk credential en sessieartefact dat van één besmet apparaat is geplukt.

Deze logs worden verhandeld op criminele marktplaatsen, vaak tegen lage prijzen gezien de enorme hoeveelheid die wordt geproduceerd. Wat ze zo gevaarlijk maakt voor organisaties, is dat ze vaak geldige sessiecookies en authenticatietokens bevatten voor clouddiensten, VPN's en bedrijfsportalen. Dat betekent dat een aanvaller geen wachtwoord hoeft te raden of iemand te verleiden er één in te voeren. Ze kunnen mogelijk een actieve sessie hergebruiken en rechtstreeks langs inlogschermen en zelfs multi-factorauthenticatie lopen, omdat de sessie al was geverifieerd voordat de malware deze kon bemachtigen.

Eenmaal binnen kan dat ene gecompromitteerde log de eerste voet aan de grond worden voor een veel grotere inbraak: laterale beweging door cloudomgevingen, toegang tot gedeelde schijven en interne tools, en uiteindelijk het soort datalek of ransomware-inzet dat de krantenkoppen haalt. De infectie zelf kan hebben plaatsgevonden op een persoonlijk apparaat dat nooit rechtstreeks in contact is geweest met een bedrijfsnetwerk, wat deels verklaart waarom dit aanvalspad zo moeilijk te voorzien is voor beveiligingsteams.

Waarom ondernemingen moeite hebben om bij te blijven

Traditionele beveiligingsverdedigingen zijn gebouwd rond de aanname dat de grootste risico's komen van buitenaf: pogingen om in te breken, kwaadaardige bijlagen, brute-force inlogpogingen of ongepatchte softwarefouten. Infostealer-gedreven inbreuken omzeilen dat allemaal. De compromittering vindt vaak ver buiten de bedrijfsperimeter plaats, op een apparaat waar het beveiligingsteam geen zicht op heeft, en de resulterende inloggegevens worden simpelweg gekocht of verkregen door een tweede groep criminelen die de daadwerkelijke inbreuk uitvoert.

Deze taakverdeling – de ene groep die zich specialiseert in infectie en het oogsten van logs, de andere in het te gelde maken van toegang – heeft de cybercrime-economie efficiënter en moeilijker te verstoren gemaakt. Het betekent ook dat het patchen van bekende softwarekwetsbaarheden, hoewel nog steeds essentieel, slechts een deel van het probleem aanpakt. Onze berichtgeving over de FortiClient EMS infostealer-campagne illustreert hoe aanvallers een specifieke technische kwetsbaarheid combineren met credential-stelende malware om voet aan de grond te krijgen in bedrijfsbeheersystemen, en laat zien hoe infostealer-tactieken en traditionele exploits steeds vaker samen worden gebruikt in plaats van als aparte strategieën.

Wat dit voor jou betekent

Als je werkt bij een bedrijf dat afhankelijk is van clouddiensten – en dat is tegenwoordig bijna elke organisatie – dan is de veiligheid van je persoonlijke apparaten meer verbonden met het risico voor je werkgever dan je misschien denkt. Een enkele infostealer-infectie op een thuiscomputer die wordt gebruikt om werkmail te checken of in te loggen op een bedrijfsportaal, kan een credential-log opleveren die uiteindelijk een veel grotere inbreuk veroorzaakt.

Voor individuen onderstreept dit enkele bekende maar steeds urgentere gewoonten: apparaten up-to-date houden, illegale software en onofficiële downloads vermijden (veelvoorkomende infectiemethoden voor infostealers), een wachtwoordmanager gebruiken in plaats van in de browser opgeslagen wachtwoorden, en multi-factorauthenticatie inschakelen waar die wordt aangeboden. Geen van deze maatregelen is een waterdichte oplossing tegen sessietokendiefstal, maar ze verhogen de kosten en moeilijkheidsgraad voor aanvallers aanzienlijk.

Concrete actiepunten

Een paar praktische stappen kunnen je blootstelling aan infostealer-gerelateerd risico verminderen:

  • Vermijd het downloaden van illegale software, gekraakte games of onofficiële browserextensies; allemaal veelvoorkomende distributiemethoden van infostealers.
  • Gebruik een aparte wachtwoordmanager in plaats van inloggegevens in je browser op te slaan, omdat in de browser opgeslagen gegevens een primair doelwit zijn van infostealers.
  • Schakel multi-factorauthenticatie in voor elk account dat dit ondersteunt, en overweeg phishing-bestendige opties waar beschikbaar.
  • Wis regelmatig opgeslagen browsersessies en log uit bij gevoelige accounts op gedeelde of persoonlijke apparaten die voor werk worden gebruikt.
  • Als je vermoedt dat een apparaat besmet is, wijzig dan wachtwoorden vanaf een apart, vertrouwd apparaat en controleer accounts op ongebruikelijke activiteit.

De opkomst van infostealer-logs als het favoriete initiële-toegangsmiddel van de cybercrime-industrie herinnert ons eraan dat inbreukpreventie steeds vaker begint ver buiten het bedrijfsnetwerk, op de alledaagse apparaten die mensen gebruiken om overal vandaan in te loggen.