Warum unsichtbar zu bleiben das Geschäftsmodell ist

Infostealer sind speziell darauf ausgelegt, so lange wie möglich unentdeckt zu bleiben. Je länger ein Opfer nichts von der Infektion weiß, desto länger behalten die gestohlenen Zugangsdaten ihren Wert. Sobald ein Sicherheitsvorfall entdeckt wird, werden Passwörter zurückgesetzt, Token widerrufen und der Zugriff geht verloren. Aus diesem Grund agieren Infostealer im Verborgenen: Es sichert den Wiederverkaufswert der Protokolle auf dem kriminellen Marktplatz. Eine verzögerte Erkennung ist kein Nebeneffekt, sondern das Geschäftsmodell.

Ihr Verhalten ist kurzlebig und beruht in der Regel nicht auf Persistenz – insbesondere in der Anfangsphase – und findet oft außerhalb des Sicherheitsbereichs des Unternehmens statt.

Warum herkömmliche Tools sie übersehen

Die meisten Antiviren- (AV) und EDR-Systeme können Infostealer aus drei Gründen nicht abfangen:

• Sie werden nur kurz und im Arbeitsspeicher ausgeführt: Sie hinterlassen keine Spuren für Verhaltensanalysen oder Sandboxing.

• Sie benötigen keine Persistenz, um effektiv zu sein: Obwohl einige später über Dropper, Autostarts oder geplante Aufgaben dauerhaften Zugriff einrichten.

• Sie agieren außerhalb verwalteter Umgebungen: Viele Infektionen treten auf privaten Geräten (BYOD) oder unverwalteten Geräten auf, die nicht von Endpoint-Protection abgedeckt sind.

Selbst fortschrittliche EDR-Tools haben Schwierigkeiten, Infostealer zu erkennen, wenn das Gerät nicht in der Verwaltung registriert ist oder keine Telemetrie verfügbar ist. Viele Stealer nutzen Techniken, die in MITRE ATT\&CK T1555.003 dokumentiert sind, und extrahieren Anmeldedaten aus dem lokalen Speicher oder aus Passwortmanagern, ohne Alarme auszulösen.

Was die Lücke tatsächlich schließt

Da die meisten Infektionen auf Endgeräten stattfinden, die das Unternehmen nicht kontrolliert, können herkömmliche Sicherheitstools sie nicht erkennen und schlagen niemals Alarm. Um diese Lücke zu schließen, muss man den Blick völlig vom Endgerät abwenden und auf die kriminellen Marktplätze richten, auf denen gestohlene Sitzungen auftauchen, nachdem die Infektion bereits stattgefunden hat.

Passguard überwacht diese Marktplätze kontinuierlich, sodass Sie auch dann alarmiert werden, wenn Ihr Antivirenprogramm oder EDR-System die Infektion überhaupt nicht bemerkt hat.