Wanneer een cyberaanval de krantenkoppen haalt, gaat het meestal om ransomware, een groot datalek of een frauduleuze overschrijving. Wat zelden wordt vermeld, is hoe de aanvaller überhaupt binnenkwam. Steeds vaker is het antwoord infostealer-malware: een stille, niet-glamoureuze software die is ontworpen om één ding extreem goed te doen: gebruikersnamen, wachtwoorden, browsercookies en financiële details van een geïnfecteerd apparaat oogsten zonder dat het slachtoffer het ooit merkt.
Begrijpen hoe infostealer-malware werkt en waarom het de favoriete ingang is geworden voor cybercriminelen, is de eerste stap om je te verdedigen tegen de golf van inbraken met gestolen inloggegevens die de beveiligingsrapporten nu domineert.
Hoe infostealer-malware daadwerkelijk uw gegevens steelt
Infostealers zijn niet opzichtig. Ze versleutelen uw bestanden niet en eisen niet meteen losgeld. In plaats daarvan glippen ze een apparaat binnen via een gedownloade gekraakte software, een schadelijke e-mailbijlage, een nep-browserupdate of een gecompromitteerde advertentie, en gaan dan stilletjes op de achtergrond aan het werk.
Eenmaal geïnstalleerd scant de malware de opgeslagen wachtwoordkluis van de browser, gecachte inlogcookies, automatisch ingevulde gegevens en zelfs cryptowalletbestanden. Het pakt alles wat het vindt in wat beveiligingsonderzoekers een "stealer log" noemen en stuurt dat log naar de aanvaller, die het vaak in bulk doorverkoopt op criminele marktplaatsen. Eén enkele geïnfecteerde machine kan tientallen actieve sessies overdragen, van e-mail en bankieren tot zakelijke VPN- en cloudbeheerpanelen, zonder ook maar één antiviruswaarschuwing te activeren als de malware goed is gemaakt.
Dit is precies het patroon dat te zien was bij de SunCloudNew stealer log-blootstelling, waar bijna 6.000 records met leesbare wachtwoorden, e-mailadressen en inlog-URL's opdoken uit één gecompromitteerde dataset. De slachtoffers in dat geval hebben waarschijnlijk nooit op een phishinglink geklikt die aan een specifiek account was gekoppeld; de malware zoog gewoon alle inloggegevens op die in hun browsers stonden.
Waarom gestolen inloggegevens nu de meeste datalekken en ransomware veroorzaken
Jarenlang waren phishing-e-mails en ongepatchte softwarekwetsbaarheden de favoriete ingangen voor aanvallers die bedrijfsnetwerken wilden binnendringen. Dat is veranderd. Zoals beschreven in de rapportage over hoe infostealer-logs phishing hebben ingehaald als belangrijkste oorzaak van datalekken, zien beveiligingsonderzoekers dat geldige, gestolen inloggegevens worden gebruikt om simpelweg door de voordeur naar binnen te lopen in plaats van een inbraak te forceren.
Vanuit het perspectief van een aanvaller is deze verschuiving logisch. Phishing vereist dat een doelwit in realtime handelt, en het uitbuiten van een softwarekwetsbaarheid vereist dat je er een vindt die nog niet is gepatcht. Een partij al geoogste inloggegevens kopen uit een stealer-log is sneller, goedkoper en veel minder waarschijnlijk om argwaan te wekken, vooral wanneer die inloggegevens actieve sessiecookies bevatten die loginschermen helemaal kunnen omzeilen.
Deze dynamiek is nu ook ingebakken in ransomware-operaties. Volgens rapportage waaruit bleek dat vier op de vijf ransomware-aanvallen beginnen met gestolen identiteiten in plaats van een netwerk-exploit, loggen aanvallers steeds vaker in als een werknemer in plaats van in te breken als een stereotiepe hoodie-dragende indringer. Het datalek bij Stewart Home & School, dat 3.677 records blootlegde, volgde hetzelfde script: een ransomware-incident dat zijn oorsprong vond in diefstal van inloggegevens in plaats van een geavanceerde technische exploit.
Tekenen dat uw inloggegevens mogelijk al zijn gecompromitteerd
Omdat infostealer-malware is gebouwd om onzichtbaar te zijn, beseffen de meeste mensen nooit dat ze geïnfecteerd zijn totdat de schade al is aangericht. Let op een paar waarschuwingssignalen: onbekende inlogwaarschuwingen of e-mails voor het opnieuw instellen van wachtwoorden die u niet heeft aangevraagd, nieuwe apparaten of browsersessies die verschijnen in de geschiedenis van actieve logins van uw account, onverwachte wijzigingen in accountherstelgegevens, of plotselinge vertragingen en onbekende processen die op uw apparaat draaien.
Diensten voor het monitoren van inloggegevens en tools voor melding van datalekken kunnen ook aangeven wanneer uw e-mailadres of wachtwoorden opduiken in een uitgelekt stealer-log, vaak voordat u zelf iets ongewoons opmerkt. Gezien hoe routinematig deze logs opduiken, van kleine datalekken op schooldistricten tot grotere incidenten met zorgportalen, is controleren of uw informatie in een dergelijk log is verschenen een redelijke gewoonte in plaats van paranoia.
Praktische verdediging: wachtwoordmanagers, 2FA en veilige surfgewoonten
Het goede nieuws is dat infostealer-malware, ondanks al zijn stealth, wordt verslagen door vrij basale hygiëne die consequent wordt toegepast. Een wachtwoordmanager elimineert de door de browser opgeslagen wachtwoorden die stealers specifiek zijn ontworpen om te schrapen, en maakt het gebruik van een uniek wachtwoord voor elk account realistisch in plaats van uitputtend. Het inschakelen van tweefactorauthenticatie, idealiter via een authenticator-app in plaats van sms, betekent dat een gestolen wachtwoord alleen niet voldoende is om toegang te verlenen. Door software en browsers up-to-date te houden, worden enkele van de aanleverkanalen afgesloten waar malware op vertrouwt, en het vermijden van illegale software, onofficiële browserextensies en ongevraagde bijlagen elimineert de meest voorkomende infectieroutes volledig.
Wat dit voor u betekent
Voor diefstal van inloggegevens door infostealer-malware hoeft u geen directeur van een groot bedrijf of een hoogwaardig doelwit te zijn. Stealer-logs zijn vaak willekeurig en vegen alle inloggegevens op die toevallig op een geïnfecteerde machine staan, of die nu van een ziekenhuisbeheerder, een schoolmedewerker of een gewone consument is. Het incident met de Hartford HealthCare HUSKY Medicaid-portal liet zien hoe zelfs routinematige zorglogins echte waarde hebben voor aanvallers zodra ze in een set gestolen inloggegevens terechtkomen. De les is niet dat iemand iets verkeerds heeft gedaan, maar dat inloggegevens zelf de valuta zijn geworden waarin criminelen handelen.
De meest effectieve reactie is niet om elke keer in paniek te raken als er een nieuw stealer-log opduikt, maar om uw eigen accounts minder bruikbaar te maken voor wie er ook maar een koopt. Gebruik een wachtwoordmanager, zet overal waar het wordt aangeboden tweefactorauthenticatie aan, en beschouw onbekende inlogwaarschuwingen als de moeite van het onderzoeken waard in plaats van ze te negeren. Infostealer-malware gedijt bij onzichtbaarheid en hergebruikte wachtwoorden. Beide wegnemen is een van de eenvoudigste en meest impactvolle beveiligingsbeslissingen die beschikbaar zijn voor iedereen met een online account.
