Wie werden Infostealer erstellt?

Infostealer werden als Malware-as-a-Service (MaaS) entwickelt. Dieses Modell ermöglicht es Cyberkriminellen ohne tiefgehendes technisches Wissen, Zugriff auf hochentwickelte Schadsoftware zu erhalten, indem sie einfach ein Abonnement bezahlen. Dies macht Infostealer für eine breitere Palette von Kriminellen zugänglich, die Angriffe starten können, ohne selbst Malware entwickeln zu müssen.

In diesem MaaS-Modell bieten kriminelle Netzwerke ihre Infostealer als fertige Lösungen an, ähnlich wie legitime Softwareunternehmen ihre Produkte über Abonnements vertreiben. Bekannte Infostealer wie Redline, Raccoon und Lumma werden von Cyberkriminellen entwickelt, kontinuierlich aktualisiert und dann auf verschiedenen Darknet-Marktplätzen an jeden verkauft, der bereit ist, dafür zu bezahlen. Dies hat zu einer zunehmenden Professionalisierung innerhalb des kriminellen Ökosystems geführt. Die Marketingstrategien zur Bewerbung dieser Infostealer ähneln denen legitimer Softwareunternehmen, inklusive Werbeanzeigen, die die Effektivität ihrer Schadsoftware hervorheben.

‍

Interner Entwicklungsprozess

Die Softwareentwickler hinter den Infostealern folgen strengen Entwicklungsprozessen und arbeiten ständig daran, Antivirensoftware zu umgehen. Ein wesentlicher Teil dieses Prozesses ist die Implementierung von Techniken wie Code-verschleierung und Verschlüsselung, wodurch sich die Schadsoftware bei jeder Infektion anders darstellt und von traditionellen Antivirenprogrammen nur schwer zu erkennen ist. Darüber hinaus fügen Entwickler kontinuierlich neue Funktionen hinzu, um die Malware leistungsfähiger zu machen, wie beispielsweise Tools zur Verhinderung von Sitzungs-Timeouts, zum Extrahieren von Super-Cookies oder zur Blockierung des Energiesparmodus von Geräten.

‍

Command & Control Dashboards

Neben der Entwicklung der Malware selbst bieten MaaS-Anbieter ihren Kunden Zugriff auf benutzerfreundliche Command & Control (C2) Dashboards. Diese Dashboards funktionieren ähnlich wie die Portale legitimer SaaS-Dienste und bieten den Distributoren von Infostealern eine Übersicht über die infizierten Geräte. Die Distributoren können sich in diese Portale einloggen, die sich oft in verborgenen Bereichen des Darknets befinden, und ihre Infektionen ganz einfach verwalten.

Sobald sie im C2-Dashboard angemeldet sind, können Distributoren Aktionen wie Session Hijacking durchführen, wodurch sie sofort und ohne erneute Authentifizierung auf die Sitzungen der infizierten Benutzer zugreifen können. Über das Dashboard können sie zudem gestohlene Daten wie Anmeldedaten und Sitzungs-Token exportieren und diese auf kriminellen Marktplätzen verkaufen.

‍

Unter dem Radar bleiben

Ein entscheidender Teil des Entwicklungsprozesses besteht darin, sicherzustellen, dass die Infostealer-Malware von Antivirenprogrammen unentdeckt bleibt. Entwickler nutzen Techniken wie Code-Obfuskation und Verschlüsselung, um die Schadsoftware vor signaturbasierten Antivirenprogrammen zu verbergen. Diese Methoden stellen sicher, dass die Malware bei jeder Infektion anders aussieht, was es Standard-Antivirenprogrammen erschwert, den Infostealer aufzuspüren.

Zudem ist die Schadsoftware oft in kleinen, unauffälligen Codestücken verpackt, sodass sie sich langsam und nahezu unsichtbar auf den Systemen der Opfer ausführen lässt. Dies wird häufig mit Techniken wie „dateiloser“ Malware (fileless malware) kombiniert, bei der der Infostealer im Arbeitsspeicher des Computers ausgeführt wird, anstatt auf der Festplatte gespeichert zu werden, was die Erkennung zusätzlich erschwert.

‍

Evolution und Innovation

Wie legitime Software werden auch Infostealer kontinuierlich evaluiert und verbessert. Sowohl erfolgreiche als auch fehlgeschlagene Infektionen liefern wertvolle Erkenntnisse, die es den Entwicklern ermöglichen, neue Funktionen zu entwickeln und Schwachstellen in ihrer Schadsoftware zu beheben. Ein kürzlich eingeführtes Feature ist beispielsweise das Extrahieren von Super-Cookies, wodurch Angreifer über deutlich längere Zeiträume angemeldet bleiben können, da diese Super-Cookies weitaus schwieriger für ungültig zu erklären sind.

Die Infostealer-Communitys beobachten aktiv die Entwicklung neuer Tools, die Daten lokal speichern. Ein jüngeres Beispiel hierfür war die Ankündigung von Microsofts Copilot Recall-Modul, das Screenshots aufnimmt und lokal speichert. Wann immer Daten lokal gespeichert werden, bietet dies Infostealern die Möglichkeit, diese Informationen zu stehlen und zum Verkauf anzubieten.

‍

Fazit

Infostealer sind durch die Kombination aus fortschrittlicher Funktionalität und einfacher Handhabung zu einem immer attraktiveren Werkzeug für Cyberkriminelle geworden. Das Malware-as-a-Service-Modell senkt die Einstiegshürde für kriminelle Akteure und erleichtert es, großflächige Infektionen zu verwalten und Gewinne zu erzielen. Dies erhöht nicht nur die Bedrohung für Einzelpersonen und Organisationen, sondern verdeutlicht auch, wie sehr das cyberkriminelle Ökosystem zunehmend dem Bild legitimer Tech-Unternehmen gleicht. Infostealer sind mit ihrer Kombination aus fortschrittlicher Funktionalität und einfacher Bedienung zu einem immer attraktiveren Werkzeug für Cyberkriminelle geworden. Das Malware-as-a-Service-Modell senkt die Einstiegshürde für kriminelle Akteure und macht es einfacher, großflächige Infektionen zu verwalten und Profit zu generieren. Dies erhöht nicht nur die Bedrohung für Einzelpersonen und Organisationen, sondern verdeutlicht auch, dass das Ökosystem der Infostealer immer professioneller wird und zunehmend an ein seriöses Tech-Unternehmen erinnert.