Come funzionano gli infostealer?
·
Scritto da Matrimonio di Anthony
— cofondatore
Risposta breve
Gli infostealer seguono un breve processo automatizzato progettato per passare inosservato agli utenti e ai software di sicurezza. L'intero attacco, dall'infezione all'esfiltrazione, richiede in genere meno di 30 secondi: il malware viene eseguito brevemente in memoria, raccoglie credenziali e token di sessione, li raggruppa in un registro (log) e li carica sull'infrastruttura criminale. Da lì, i log vengono venduti sui mercati del dark web o condivisi tramite Telegram, spesso nel giro di poche ore.
Le cinque fasi di un attacco infostealer
Infezione: la vittima scarica un file dannoso tramite phishing, software craccato o malvertising.
Esecuzione: lo stealer viene eseguito brevemente in memoria, senza generare avvisi e senza persistenza.
Esfiltrazione: raccoglie credenziali, token di sessione, dati di compilazione automatica e informazioni di sistema.
Creazione dei log: i dati vengono organizzati in un registro (log) e caricati su un server remoto.
Distribuzione: i log vengono venduti sui marketplace del dark web o condivisi tramite Telegram.
Perché questo processo passa inosservato
Questo processo è spesso invisibile agli strumenti antivirus o EDR, specialmente sui dispositivi non gestiti o personali, perché il malware viene eseguito brevemente e raramente stabilisce una persistenza. Per un'analisi visiva delle operazioni di infostealer attive, consultare il report Malware Trends di Any.Run.
Gli infostealer non sfruttano le vulnerabilità. Sfruttano le abitudini e compaiono laddove la comodità incontra l'opportunità.
