Kiedy cyberatak trafia na nagłówki, zwykle chodzi o ransomware, duży wyciek danych lub fałszywy przelew bankowy. Rzadko wspomina się, w jaki sposób atakujący w ogóle się dostał do środka. Coraz częściej odpowiedzią jest złośliwe oprogramowanie typu infostealer: cichy, mało efektowny program zaprojektowany, by robić jedną rzecz wyjątkowo dobrze – zbierać nazwy użytkowników, hasła, ciasteczka przeglądarki i dane finansowe z zainfekowanego urządzenia, nie zwracając niczyjej uwagi.

Zrozumienie, jak działa malware infostealer i dlaczego stał się preferowanym punktem wejścia dla cyberprzestępców, to pierwszy krok do obrony przed falą naruszeń opartych na kradzieży danych uwierzytelniających, które dominują w raportach bezpieczeństwa.

Jak malware infostealer faktycznie kradnie Twoje dane

Infostealery nie są krzykliwe. Nie blokują plików ani nie żądają okupu od razu. Zamiast tego wślizgują się na urządzenie przez pobranie pirackiego oprogramowania, złośliwy załącznik do e-maila, fałszywą aktualizację przeglądarki lub skompromitowaną reklamę, a potem po cichu pracują w tle.

Po zainstalowaniu malware skanuje zapisane w przeglądarce hasła, buforowane ciasteczka sesyjne, dane autouzupełniania, a nawet pliki portfeli kryptowalutowych. Pakuje wszystko, co znajdzie, w tak zwany „dziennik stealer”, a następnie przesyła go atakującemu, który często odsprzedaje go hurtowo na przestępczych rynkach. Jeden zainfekowany komputer może oddać dziesiątki aktywnych sesji – od poczty e-mail i bankowości po firmowe panele VPN i administracyjne chmury – wszystko bez wywołania pojedynczego alertu antywirusowego, jeśli malware jest dobrze wykonane.

Dokładnie ten schemat widać w przypadku ujawnienia dziennika stealer SunCloudNew, gdzie z jednego skompromitowanego zbioru danych wypłynęło blisko 6 000 rekordów zawierających hasła w postaci jawnej, adresy e-mail i adresy URL logowania. Ofiary w tej sprawie prawdopodobnie nigdy nie kliknęły linku phishingowego związanego z konkretnym kontem; malware po prostu odkurzył wszystkie dane uwierzytelniające, które znajdowały się w ich przeglądarkach.

Dlaczego skradzione dane uwierzytelniające napędzają teraz większość naruszeń i ransomware

Przez lata phishingowe e-maile i niezałatane luki w oprogramowaniu były głównymi punktami wejścia dla atakujących próbujących włamać się do sieci firmowych. To się zmieniło. Jak szczegółowo opisano w artykule o tym, jak dzienniki infostealer wyprzedziły phishing jako główną przyczynę naruszeń, badacze bezpieczeństwa obserwują, że ważne, skradzione dane logowania są wykorzystywane do po prostu przejścia frontowymi drzwiami, zamiast forsowania wejścia.

Zmiana ta ma sens z perspektywy atakującego. Phishing wymaga przekonania celu do działania w czasie rzeczywistym, a wykorzystanie luki w oprogramowaniu wymaga znalezienia takiej, która nie została jeszcze załatana. Zakup partii już zebranych danych uwierzytelniających z dziennika stealer jest szybszy, tańszy i znacznie mniej prawdopodobne, że wzbudzi podejrzenia, zwłaszcza gdy zawierają one aktywne ciasteczka sesyjne, które mogą całkowicie ominąć monity logowania.

Ta dynamika wpisała się już również w operacje ransomware. Zgodnie z doniesieniami, które wykazały, że cztery na pięć ataków ransomware zaczyna się od skradzionych tożsamości, a nie od exploita sieciowego, atakujący coraz częściej logują się jak pracownik, zamiast włamywać się jak stereotypowy intruz w bluzie z kapturem. Naruszenie w Stewart Home & School, które ujawniło 3 677 rekordów, przebiegało według tego samego scenariusza: incydent ransomware wynikający z kradzieży danych uwierzytelniających, a nie z wyrafinowanego exploita technicznego.

Oznaki, że Twoje dane uwierzytelniające mogły już zostać skompromitowane

Ponieważ malware infostealer jest zaprojektowany tak, by być niewidoczny, większość ludzi nie zdaje sobie sprawy z infekcji, dopóki nie zostaną już wyrządzone szkody. Warto zwracać uwagę na kilka sygnałów ostrzegawczych: nieznane alerty logowania lub e-maile o resetowaniu hasła, których nie żądałeś, nowe urządzenia lub sesje przeglądarki pojawiające się w historii aktywnych logowań Twojego konta, nieoczekiwane zmiany w informacjach odzyskiwania konta czy nagłe spowolnienia i nieznane procesy działające na urządzeniu.

Usługi monitorowania danych uwierzytelniających i narzędzia do powiadamiania o naruszeniach mogą również sygnalizować, gdy Twój adres e-mail lub hasła pojawią się w wyciekłym dzienniku stealer, często zanim sam zauważysz coś niepokojącego. Biorąc pod uwagę, jak rutynowo takie dzienniki wypływają – od małych naruszeń w okręgach szkolnych po większe incydenty w portalach opieki zdrowotnej – sprawdzanie, czy Twoje dane się w nich nie znalazły, jest rozsądnym nawykiem, a nie paranoją.

Praktyczna obrona: menedżery haseł, 2FA i bezpieczne nawyki przeglądania

Dobra wiadomość jest taka, że malware infostealer, mimo całej swojej skrytości, jest pokonywany przez dość podstawową higienę stosowaną konsekwentnie. Menedżer haseł eliminuje zapisane w przeglądarce hasła, które stealery są specjalnie zaprojektowane, by zgarniać, oraz sprawia, że używanie unikalnego hasła do każdego konta staje się realistyczne, a nie wyczerpujące. Włączenie uwierzytelniania dwuskładnikowego, najlepiej przez aplikację autoryzacyjną zamiast SMS, oznacza, że samo skradzione hasło nie wystarczy do uzyskania dostępu. Aktualizowanie oprogramowania i przeglądarek zamyka część kanałów dostawczych, z których korzysta malware, a unikanie pirackiego oprogramowania, nieoficjalnych rozszerzeń przeglądarki i niechcianych załączników całkowicie usuwa najczęstsze wektory infekcji.

Co to oznacza dla Ciebie

Kradzież danych uwierzytelniających przez malware infostealer nie wymaga, abyś był dyrektorem dużej firmy lub celem o wysokiej wartości. Dzienniki stealer są często masowe i zgarniają wszelkie dane uwierzytelniające, które akurat znajdują się na zainfekowanym komputerze – niezależnie od tego, czy należy on do administratora szpitala, pracownika szkoły, czy zwykłego konsumenta. Incydent z portalem Hartford HealthCare HUSKY Medicaid pokazał, jak nawet rutynowe logowania medyczne mają realną wartość dla atakujących, gdy trafią do zestawu skradzionych danych. Wnioskiem nie jest to, że jakaś pojedyncza osoba zrobiła coś złego, ale to, że same dane uwierzytelniające stały się walutą, którą handlują przestępcy.

Najskuteczniejszą odpowiedzią nie jest panika za każdym razem, gdy wypływa nowy dziennik stealer, ale sprawienie, by Twoje własne konta były mniej użyteczne dla kogokolwiek, kto mógłby je kupić. Używaj menedżera haseł, włącz uwierzytelnianie dwuskładnikowe wszędzie tam, gdzie jest oferowane, i traktuj nieznane alerty logowania jako warte zbadania, a nie ignorowania. Malware infostealer żywi się niewidzialnością i ponownie używanymi hasłami. Pozbawienie go obu tych elementów to jedna z najprostszych decyzji bezpieczeństwa o największym wpływie, dostępna dla każdego, kto ma konto online.