Wie verbreiten sich Infostealer?

Gecrackte Software und Spielmodifikationen

Der am häufigsten auftretende Infektionsvektor. Benutzer laden eine vermeintlich kostenlose Version einer kostenpflichtigen Software, einen Cheat für ein Spiel oder einen Key-Generator herunter. Der Download enthält einen gebündelten Infostealer, der während der Installation unbemerkt im Hintergrund ausgeführt wird. Dies ist für Unternehmen besonders gefährlich, da es in der Regel auf privaten Geräten geschieht, die über gespeicherte Browsersitzungen, VPN-Clients oder Cloud-Anwendungen auch Zugriff auf Unternehmenssysteme haben.

Phishing

Infostealer werden über gezielte und massenhafte Phishing-Kampagnen verbreitet. Zu den gängigen Formaten gehören E-Mail-Anhänge, die als Rechnungen, Versandbenachrichtigungen oder Personalabteilungs-Dokumente getarnt sind. Einige Kampagnen nutzen SEO-Poisoning, um gefälschte Download-Seiten in den Suchergebnissen weit oben zu platzieren. Sobald das Opfer die Datei öffnet oder dem Link folgt, wird der Stealer ausgeführt und beginnt mit dem Sammeln von Daten.

Malvertising (Schadwerbung)

Angreifer erwerben Werbeflächen auf legitimen Plattformen und leiten Nutzer auf Seiten weiter, die Infostealer-Nutzdaten ausliefern. Diese Anzeigen für gängige Software-Downloads erscheinen häufig in den Suchergebnissen. Die Zielseiten imitieren die offiziellen Produkt-Websites detailgetreu, was eine Unterscheidung von legitimen Quellen erschwert.

Social Engineering auf Plattformen

Infostealer werden zunehmend durch Social Engineering auf Plattformen wie YouTube, Discord und Telegram verbreitet. Angreifer veröffentlichen Tutorials, Spiele-Leitfäden oder Tool-Empfehlungen mit Download-Links, die Stealer-Nutzerdaten enthalten. Diese Kanäle eignen sich besonders gut, um jüngere Nutzer sowie Mitarbeiter auf deren privaten Geräten zu erreichen.

Warum dies für Unternehmen von Bedeutung ist

Über 95 % der Infostealer-Infektionen beginnen auf nicht verwalteten Geräten. Dies sind Geräte, die Ihr EDR nicht erfassen kann und die nicht von Ihren Sicherheitsrichtlinien abgedeckt werden. Dennoch verfügen genau diese Geräte häufig über aktive Sitzungen für Unternehmensanwendungen. Prävention allein reicht nicht aus. Sie benötigen Transparenz darüber, was nach einer Infektion geschieht: Welche Sitzungen wurden gestohlen und ob diese bereits gehandelt werden.

Passguard überwacht die kriminellen Marktplätze, auf denen gestohlene Sitzungen aus Infostealer-Infektionen verkauft werden, und warnt Ihr Team, bevor Angreifer diese missbrauchen können.