Infostealer-skadevare: Hvordan stjålne pålogginger gir næring til 4 av 5 angrep

Når et cyberangrep når overskriftene, er det vanligvis på grunn av ransomware, et stort datainnbrudd eller en svindelaktig pengeoverføring. Det som sjelden nevnes, er hvordan angriperen kom seg inn i utgangspunktet. Stadig oftere er svaret infostealer-skadevare: et stillferdig, lite glamorøst program designet for å gjøre én ting ekstremt godt: høste brukernavn, passord, nettleserinformasjonskapsler og økonomiske detaljer fra en infisert enhet uten at offeret noen gang merker det.

Å forstå hvordan infostealer-skadevare opererer, og hvorfor den har blitt den foretrukne inngangsporten for cyberkriminelle, er det første steget mot å forsvare seg mot bølgen av påloggingsdrevne innbrudd som nå dominerer sikkerhetsrapportene.

Hvordan infostealer-skadevare faktisk stjeler dataene dine

Infostealere er ikke prangende. De låser ikke filene dine eller krever løsepenger på stedet. I stedet sniker de seg inn på en enhet via en cracket programvarenedlasting, et ondsinnet e-postvedlegg, en falsk nettleseroppdatering eller en kompromittert annonse, og jobber deretter lydløst i bakgrunnen.

Når den er installert, skanner skadevaren nettleserens lagrede passord, hurtigbufrede påloggingsinformasjonskapsler, autofylldata og til og med kryptovaluta-lommebokfiler. Den pakker alt den finner i det sikkerhetsforskere kaller en «stealer-logg», og sender deretter denne loggen til angriperen, som ofte videreselger den i bulk på kriminelle markedsplasser. En enkelt infisert maskin kan overlevere dusinvis av aktive økter, fra e-post og bank til bedrifts-VPN og skyadministrasjonspaneler, uten å utløse et eneste antivirusvarsel hvis skadevaren er godt laget.

Dette er nøyaktig mønsteret sett i SunCloudNew stealer-logg-eksponeringen, der nesten 6 000 poster som inneholder klartekstpassord, e-postadresser og påloggingsadresser dukket opp fra et enkelt kompromittert datasett. Ofrene i det tilfellet klikket sannsynligvis aldri på en phishing-lenke knyttet til en bestemt konto; skadevaren sugde rett og slett opp hvilke som helst påloggingsopplysninger som lå i nettleserne deres.

Hvorfor stjålne påloggingsopplysninger nå driver de fleste innbrudd og ransomware

I årevis var phishing-e-poster og upatchede programvaresårbarheter de foretrukne inngangsveiene for angripere som ønsket å bryte seg inn i bedriftsnettverk. Det har endret seg. Som detaljert i rapporteringen om hvordan infostealer-logger har gått forbi phishing som den viktigste innbruddsårsaken, ser sikkerhetsforskere at gyldige, stjålne påloggingsopplysninger brukes til å ganske enkelt spasere inn gjennom inngangsdøren i stedet for å tvinge seg inn.

Skiftet gir mening fra en angripers perspektiv. Phishing krever å overbevise et mål om å handle i sanntid, og å utnytte en programvaresårbarhet krever å finne en som ennå ikke er patchet. Å kjøpe en bunke allerede høstede påloggingsopplysninger fra en stealer-logg er raskere, billigere og langt mindre sannsynlig å vekke mistanke, spesielt når disse opplysningene inkluderer aktive øktinformasjonskapsler som kan omgå påloggingsprosessen helt.

Denne dynamikken er nå også bakt inn i ransomware-operasjoner. Ifølge rapportering som fant at fire av fem ransomware-angrep starter med stjålne identiteter i stedet for en nettverksutnyttelse, logger angripere i økende grad inn som en ansatt i stedet for å hacke seg inn som en stereotypisk hettegenserkledd inntrenger. Innbruddet hos Stewart Home & School, som eksponerte 3 677 poster, fulgte samme mønster: en ransomware-hendelse forankret i påloggingstyveri snarere enn en sofistikert teknisk utnyttelse.

Tegn på at påloggingsopplysningene dine allerede kan være kompromittert

Fordi infostealer-skadevare er bygget for å være usynlig, innser de fleste aldri at de er infisert før skaden allerede har skjedd. Noen advarselstegn er verdt å se etter: ukjente påloggingsvarsler eller e-poster om tilbakestilling av passord du ikke ba om, nye enheter eller nettleserøkter som dukker opp i kontoens aktive påloggingshistorikk, uventede endringer i kontogjenopprettingsinformasjon, eller plutselige nedbremsinger og ukjente prosesser som kjører på enheten din.

Overvåkingstjenester for påloggingsopplysninger og verktøy for innbruddsvarsling kan også flagge når e-postadressen eller passordene dine dukker opp i en lekket stealer-logg, ofte før du selv merker noe uvanlig. Gitt hvor rutinemessig disse loggene dukker opp, fra små skoledistriktsinnbrudd til større helseportalhendelser, er det å sjekke om informasjonen din har dukket opp i en av dem en fornuftig vane snarere enn paranoia.

Praktisk forsvar: passordbehandlere, tofaktorautentisering og trygge surfevaner

Den gode nyheten er at infostealer-skadevare, til tross for all sin snikhet, beseires av ganske grunnleggende hygiene som praktiseres konsekvent. En passordbehandler eliminerer de nettleserlagrede passordene som stealere er spesifikt designet for å skrape, og den gjør det realistisk i stedet for utmattende å bruke et unikt passord for hver konto. Å aktivere tofaktorautentisering, helst via en autentiseringsapp snarere enn SMS, betyr at et stjålet passord alene ikke er nok til å gi tilgang. Å holde programvare og nettlesere oppdatert stenger noen av leveringskanalene skadevare er avhengig av, og å unngå piratkopiert programvare, uoffisielle nettleserutvidelser og uoppfordrede vedlegg fjerner de vanligste infeksjonsvektorene fullstendig.

Hva dette betyr for deg

Infostealer-skadevares påloggingstyveri krever ikke at du er en leder i et stort selskap eller et høyverdimål. Stealer-logger er ofte vilkårlige, og samler opp hvilke som helst påloggingsopplysninger som tilfeldigvis ligger på en infisert maskin, enten den tilhører en sykehusadministrator, en skoleansatt eller en vanlig forbruker. Hendelsen med Hartford HealthCare HUSKY Medicaid-portalen viste hvordan selv rutinemessige helsepålogginger har reell verdi for angripere når de havner i et stjålet påloggingsdatasett. Lærdommen er ikke at en bestemt person gjorde noe galt, men at påloggingsopplysninger i seg selv har blitt valutaen kriminelle handler med.

Den mest effektive responsen er ikke å få panikk hver gang en ny stealer-logg dukker opp, men å gjøre dine egne kontoer mindre nyttige for den som måtte kjøpe en. Bruk en passordbehandler, slå på tofaktorautentisering overalt der det tilbys, og behandle ukjente påloggingsvarsler som verdt å undersøke i stedet for å ignorere. Infostealer-skadevare trives på usynlighet og gjenbrukte passord. Å fjerne begge deler er en av de enkleste, mest virkningsfulle sikkerhetsbeslutningene som er tilgjengelige for alle med en nettkonto.