Wie Angreifer über ein Log ersten Zugriff erlangen

Gestohlene Infostealer-Logs liefern Angreifern alles, was sie benötigen, um sich als echte Benutzer auszugeben, ohne sich anzumelden, eine MFA auszulösen oder Alarme zu generieren. Diese Zugriffsmethoden unterscheiden sich in ihrer Technik, nutzen jedoch alle bestehendes Vertrauen aus:

• Session-Hijacking: Angreifer übernehmen aktive Sitzungen mithilfe gestohlener Cookies und umgehen so die Authentifizierung.

• Token-Replay-Angriffe: Gestohlene Token werden wiederverwendet, um neue Sitzungen über API oder Browser-Injection zu starten.

• Passwortbasierte Anmeldungen: Viele Logs enthalten Zugangsdaten für Systeme ohne MFA oder mit Fallback-Anmeldungen.

Was nach dem ersten Zugriff geschieht

Sobald sie eingedrungen sind, gehen Angreifer häufig wie folgt vor:

• Vertrauensmissbrauch zur Rechteausweitung: Senden von internen Nachrichten oder Anfragen, um andere zu täuschen, Zugangsdaten zurückzusetzen oder tieferen Zugriff zu erlangen.

• Laterale Bewegung (Lateral Movement): Nutzung interner Integrationen oder Single Sign-On, um sich zwischen Systemen zu bewegen.

Da Angreifer gültige Sitzungen oder Zugangsdaten verwenden, wirkt der Zugriff legitim und entgeht oft jeglicher Entdeckung. Aus diesem Grund ist die Überwachung auf gestohlene Sitzungen, bevor diese missbraucht werden, wichtiger als der Versuch, den Angreifer aufzuspüren, wenn er sich bereits im System befindet.

Passguard überwacht kriminelle Marktplätze auf Sitzungen, die mit Ihrem Unternehmen verknüpft sind, sodass Sie den Zugriff entziehen können, bevor ein Angreifer die Möglichkeit zur Rechteausweitung oder lateralen Bewegung erhält.