Wie umgehen Infostealer die MFA?

Wie der Diebstahl von Sitzungstoken funktioniert

Der Angriff folgt einem einfachen Ablauf:

• Der Benutzer authentifiziert sich normal: Der Benutzer meldet sich mit seinem Passwort an und führt die MFA durch. Der Server erstellt ein Sitzungstoken (Session-Token) und speichert es als Cookie im Browser.

• Infostealer extrahiert das Cookie: Die Malware liest den Cookie-Speicher des Browsers aus und kopiert das Sitzungstoken zusammen mit allen anderen gespeicherten Daten.

• Das Token wird auf einem Marktplatz verkauft: Das gestohlene Token wird zusammen mit dem Rest des Protokolls auf einen kriminellen Marktplatz oder einen Telegram-Kanal hochgeladen.

• Der Angreifer importiert das Token: Der Angreifer oder Käufer importiert das Cookie in seinen eigenen Browser. Der Server erkennt das gültige Sitzungstoken und gewährt Zugriff – eine Anmeldung ist nicht erforderlich.

Warum MFA allein nicht ausreicht

MFA schützt den Moment der Authentifizierung: Es wird überprüft, ob die Person, die sich anmeldet, das richtige Gerät oder die richtige App kontrolliert. Sobald die Authentifizierung jedoch abgeschlossen ist, übernimmt das Sitzungstoken. Wenn dieses Token gestohlen und an anderer Stelle importiert wird, kann der Server nicht zwischen dem legitimen Benutzer und dem Angreifer unterscheiden. Dies ist der Kern des Pass-the-Cookie-Angriffs: Die Sitzung wurde bereits authentifiziert, sodass die MFA nicht erneut ausgelöst wird.

Dies unterscheidet sich grundlegend vom Diebstahl von Anmeldedaten bei einer Datenpanne. Gestohlene Passwörter können durch MFA blockiert werden. Gestohlene Sitzungstoken umgehen die meisten MFA-Methoden, da die Authentifizierung bereits stattgefunden hat. Die gestohlene Sitzung gewährt den Zugriff, nicht das Passwort. Hardwaregebundene Methoden wie YubiKey können dem widerstehen, wenn die Sitzung an das Gerät gebunden ist, aber die meisten Anwendungen erzwingen dies nicht.

Was Unternehmen tun können

Die Abwehr von Session-Hijacking und Pass-the-Cookie-Angriffen erfordert kurze Sitzungslaufzeiten, gerätegebundene Token, wo immer dies möglich ist, und Richtlinien für bedingten Zugriff, die den Gerätestatus überprüfen. Aber keine technische Kontrolle erfasst alles. Die entscheidende letzte Ebene ist die Überwachung: Zu wissen, wann gestohlene Sitzungen aus Ihren Systemen auf kriminellen Marktplätzen gehandelt werden, damit Sie diese widerrufen können, bevor sie missbraucht werden.

Passguard überwacht diese Marktplätze kontinuierlich und warnt Ihr Sicherheitsteam in dem Moment, in dem eine gestohlene Sitzung auftaucht, die mit Ihrem Unternehmen verknüpft ist.