Wie funktionieren Infostealer?
·
Verfasst von Hochzeit von Anthony
— Mitgründer
Kurzantwort
Infostealer folgen einem kurzen, automatisierten Prozess, der so konzipiert ist, dass er von Benutzern und Sicherheitssoftware unbemerkt bleibt. Der gesamte Angriff, von der Infektion bis zur Exfiltration, dauert in der Regel weniger als 30 Sekunden: Die Schadsoftware läuft kurzzeitig im Arbeitsspeicher, sammelt Anmeldedaten sowie Session-Token, verpackt diese in ein Protokoll (Log) und lädt sie auf eine kriminelle Infrastruktur hoch. Von dort aus werden die Logs meist innerhalb weniger Stunden auf Darknet-Marktplätzen verkauft oder über Telegram geteilt.
Die fünf Phasen eines Infostealer-Angriffs
Infektion: Das Opfer lädt eine schädliche Datei über Phishing, manipulierte Software oder Malvertising herunter.
Ausführung: Der Stealer wird kurzzeitig im Arbeitsspeicher ausgeführt, ohne Warnmeldungen zu generieren oder Persistenz zu etablieren.
Exfiltration: Er sammelt Anmeldedaten, Sitzungs-Tokens, Autofill-Daten und Systeminformationen.
Protokollerstellung: Die Daten werden in einem Protokoll (Log) zusammengefasst und auf einen Remote-Server hochgeladen.
Verteilung: Die Protokolle werden auf Darknet-Marktplätzen verkauft oder über Telegram geteilt.
Warum dieser Prozess unbemerkt bleibt
Dieser Prozess bleibt für Antiviren- oder EDR-Tools oft unsichtbar, insbesondere auf unmanaged oder persönlichen Geräten, da die Malware nur kurz ausgeführt wird und selten eine dauerhafte Präsenz (Persistenz) einrichtet. Eine visuelle Aufschlüsselung aktiver Infostealer-Aktivitäten finden Sie im Malware-Trends-Bericht von Any.Run.
Infostealer nutzen keine Sicherheitslücken aus. Sie nutzen Gewohnheiten aus und tauchen dort auf, wo Bequemlichkeit auf Gelegenheit trifft.
