L'MFA dovrebbe fermare un attaccante che possiede solo la tua password. Non serve a nulla una volta che ha ottenuto la tua sessione, ed è proprio questo che il furto del token di sessione gli consegna.

Non è più necessario scrivere malware per distribuirlo. Noleggialo, abbonati, ottieni assistenza clienti: gli sviluppatori di infostealer hanno trasformato l'attacco alle organizzazioni in un business SaaS, ed è esattamente per questo che oggi ci sono così tanti aggressori.

RedLine ha dominato il mercato degli infostealer per anni prima che un'operazione coordinata delle forze dell'ordine cercasse di fermarlo. Non ha funzionato: il codice si era già diffuso troppo e i log di RedLine compaiono ancora oggi nei mercati criminali.

Un solo registro, un solo dispositivo infetto e potenzialmente decine di servizi esposti contemporaneamente: questo è ciò che rende un log di un infostealer molto più pericoloso di una singola password trapelata.

Non tutti gli infostealer si fermano alle credenziali. Vidar si spinge oltre, arrivando a carpire file locali e documenti sul dispositivo infetto, ed è proprio per questo che continua a presentarsi come la mossa di apertura nelle campagne ransomware piuttosto che come un furto di credenziali isolato.

Una singola infezione da infostealer raramente si limita a una sola password. Questi strumenti sono progettati per sottrarre contemporaneamente tutto ciò che ha valore su un dispositivo infetto — credenziali, token di sessione, dettagli finanziari e altro ancora — e confezionarlo per la rivendita. Sapere esattamente cosa c'è in gioco aiuta a spiegare perché un singolo computer portatile infetto può esporre un'intera organizzazione.

Gli infostealer non scelgono i loro obiettivi in base al settore o alle dimensioni dell'azienda. Si diffondono ovunque siano diffusi dispositivi non gestiti e credenziali memorizzate nei browser, il che significa che le organizzazioni più a rischio non sono sempre quelle che ci si aspetterebbe.

L'MFA è stata creata per impedire a qualcuno di accedere al tuo posto. Non è mai stata progettata per impedire a qualcuno di continuare una sessione già avviata, che è esattamente la scappatoia sfruttata dagli infostealer.

Gli infostealer non sfruttano le vulnerabilità, sfruttano le abitudini, e compaiono ovunque la convenienza incontri l'opportunità. L'intero attacco, dall'infezione alla vendita, si conclude di solito prima ancora che tu possa accorgerti che qualcosa non va.

Nel momento in cui un'infezione da infostealer viene normalmente rilevata nei tuoi log, i dati rubati potrebbero essere già in vendita. Rilevarla prima significa cercare laddove i tuoi strumenti esistenti non arrivano: i marketplace stessi.

Poiché gli infostealer sono progettati per sfuggire agli antivirus e ai monitoraggi tradizionali, la prevenzione non può fare affidamento su un unico strumento. Richiede una combinazione di controlli di accesso, gestione dei dispositivi e abitudini degli utenti che lavorino in sinergia, e anche in questo caso, alcune infezioni riusciranno comunque a passare.

Oltre il 95% delle infezioni da infostealer ha inizio su dispositivi di cui il tuo team di sicurezza non ha mai sentito parlare. Software craccato, un annuncio falso, un'e-mail di phishing: il punto di ingresso si trova quasi sempre laddove le tue policy non arrivano.

Una sessione rubata non rimane nelle mani dell'attaccante che l'ha sottratta. Nel giro di poche ore viene indicizzata, prezzata e messa in vendita, cambiando spesso di mano più volte prima ancora di essere utilizzata contro l'organizzazione a cui appartiene.

La maggior parte delle organizzazioni non ha idea se le credenziali dei propri dipendenti stiano già circolando in un mercato criminale, e aspettare la notifica di una violazione non è una strategia di rilevamento. Una scansione del dominio può rispondere a questa domanda in circa un minuto.

Lumma non ha preso il posto di RedLine per caso. Aggiornamenti costanti, un design modulare e un modello di abbonamento accessibile lo hanno reso l'infostealer che altri criminali vogliono noleggiare.

Abbattuto una volta, Raccoon Stealer è tornato ricostruito da zero, e il suo prezzo basso e il funzionamento semplice lo hanno reso uno dei preferiti tra gli aggressori che non hanno le competenze tecniche per strumenti più sofisticati.

Non tutti gli strumenti che si definiscono di monitoraggio degli infostealer monitorano effettivamente gli infostealer. Alcuni controllano solo i vecchi database delle violazioni e si lasciano sfuggire completamente la minaccia attiva, quindi sapere cosa cercare fa la differenza tra una visibilità reale e un falso senso di sicurezza.

I minuti successivi alla scoperta che un infostealer è attivo contano più di quasi qualsiasi altra fase della risposta. Conoscere il giusto ordine delle operazioni — prima revocare, poi indagare — è ciò che impedisce a una brutta giornata di trasformarsi in una violazione dei dati.

Dietro ogni sessione rubata c'è un mercato strutturato per apparire e funzionare come un comune sito di e-commerce, completo di ricerca, indicizzazione e consegna istantanea, con la sola differenza che il prodotto venduto è l'accesso ai sistemi di qualcun altro.

Un log acquistato non è la fine di un attacco, ma il punto di partenza. Da una singola sessione rubata, gli utenti malintenzionati si muovono lateralmente, aumentano i privilegi e impersonano dipendenti reali senza mai aver bisogno di accedere autonomamente.

La direttiva NIS2 spinge le organizzazioni dei settori critici a dimostrare di essere effettivamente in grado di rilevare una minaccia, e non solo di avere una policy al riguardo. Gli infostealer assumono qui grande rilevanza poiché rappresentano uno dei modi più comuni utilizzati dagli aggressori per ottenere un primo accesso, anche attraverso fornitori che non si controllano direttamente.

Il DORA richiede agli istituti finanziari di dimostrare di saper rilevare e rispondere alle minacce ICT, e gli infostealer si collocano proprio al centro di questo requisito. Un singolo token di sessione rubato può consentire a un cybercriminale l'accesso diretto a una piattaforma bancaria, senza che siano richiesti password o fattori MFA.

Il monitoraggio delle violazioni e il monitoraggio degli infostealer sembrano simili e vengono costantemente raggruppati, ma uno segnala una fuga di dati già avvenuta anni fa, mentre l'altro avverte di una sessione attiva che un utente malintenzionato potrebbe sfruttare in questo preciso momento.

Non tutti gli strumenti di monitoraggio proteggono dalle stesse minacce. Il monitoraggio tradizionale del dark web e il monitoraggio degli infostealer vengono spesso confusi, ma rilevano tipi di esposizione fondamentalmente diversi: uno storico, l'altro attivo. Capire la differenza determina se si riesce a cogliere una minaccia in tempo per agire.

Rimanere invisibili non è un effetto collaterale di un buon infostealer, è l'intero modello di business. Più a lungo la vittima ne rimane ignara, più a lungo le credenziali rubate mantengono il loro valore di rivendita.

Gli infostealer si annunciano raramente. Non c'è alcun blocco del sistema, nessun avviso evidente e spesso nessun allarme dall'antivirus, solo un processo silenzioso in esecuzione in background mentre credenziali, token di sessione e file sensibili vengono raccolti e spediti a un mercato criminale. Questo silenzio è esattamente ciò che li rende una delle minacce più pericolose che le organizzazioni si trovano ad affrontare oggi.

Dietro quasi ogni infezione da infostealer si nasconde una delle poche famiglie di malware ben note, ognuna noleggiata in abbonamento e ciascuna con la propria specializzazione, dal furto di file ai dati finanziari.

Probabilmente non coglierai mai l'infostealer stesso sul fatto. Quello che puoi cogliere sono i deboli segnali che si lascia alle spalle in seguito, a patto di sapere quali monitorare tra dispositivi, identità e comportamenti delle sessioni.