De vier stappen van een infostealer-aanval

Hoe verloopt een aanval op een organisatie met een infostealer? Wie voorbeelden als Uber en EA Games bekijkt, ziet een plan in vier stappen dat aanvallers gebruiken om een organisatie aan te vallen.

1. De infectie

De eerste stap hoort nog niet bij de actieve aanval. Verspreiders van infostealer-malware proberen zoveel mogelijk apparaten te infecteren. Deze malware, die op grote schaal inloggegevens en session cookies steelt, zit vaak verstopt in illegale downloads of phishingmails. Het doel van deze aanvallers? Simpel: zoveel mogelijk apparaten infecteren om eraan te verdienen. Hoe: zie stap 2.

Bij het infecteren zijn zakelijke apparaten natuurlijk het waardevolst. Maar ook privéapparaten kunnen nuttig zijn, zeker als er toch wat zakelijk gebruik op plaatsvindt. Hoe vaak komt het immers voor dat mensen met hun privéapparaat inloggen op zakelijke systemen? De aanval op Uber begon bijvoorbeeld met een privéapparaat van een externe medewerker dat met malware was geïnfecteerd.

‍

2. De verkoop

Verspreiders van infostealer-malware gaan zelden zelf in de aanval. Hun verdienmodel is zoveel mogelijk apparaten infecteren en die vervolgens succesvol te gelde maken. Dat is precies wat er gebeurde bij Uber en EA Games.

Deze transacties vinden plaats op afgesloten marktplaatsen waar niet zomaar iedereen toegang toe heeft. Daar wordt de controle over het apparaat of over specifieke sessies te koop aangeboden voor bedragen van tien tot duizend dollar, en heel soms zelfs tienduizend dollar. Bij EA Games bleek bijvoorbeeld dat de sessie van het nog actieve Slack-account voor $10 was verkocht.

Eenmaal, andermaal, verkocht! De controle over het account en/of apparaat gaat nu over naar een andere aanvaller. Die aanvaller heeft, anders dan de verspreider van de malware, wel als doel de data te misbruiken voor een aanval.

3. De vermomming

Infostealer-malware geeft hackers in feite een vermomming waarmee ze via de voordeur een organisatie binnenkomen. De nog actieve sessie laat de aanvaller namelijk inloggen op de interne systemen van de organisatie alsof hij de medewerker is.

Bij Uber was de sessie blijkbaar niet meer geldig of niet aanwezig, en moest de aanvaller het doen met alleen een gebruikersnaam en wachtwoord. Daarmee voerde de aanvaller een MFA Fatigue-aanval uit, met een flinke dosis misleiding: het slachtoffer kreeg een sms waarin de aanvaller zich voordeed als Uber IT: "We zien veel inlogpogingen in onze systemen. Om ze te laten stoppen, moet je één van die verzoeken even accepteren." Zo kreeg de aanvaller onder meer toegang tot Google Workspace en Slack.

Bij EA Games was er wel een actieve sessie, waardoor de aanvaller direct kon inloggen op Slack alsof hij de medewerker was. Een ideale vermomming, zo bleek. In die rol nam de hacker contact op met de IT-support van EA: "Ik ben gisteravond op een feestje mijn telefoon kwijtgeraakt." Er werd een nieuw MFA-token aangemaakt voor het interne netwerk van EA, waarmee de aanvaller zijn aanval kon voortzetten.

4. En verder…

Eenmaal binnen in de interne systemen van een organisatie kan een aanvaller verder. Bij EA Games werd ongeveer 750 GB aan bestanden gestolen, waaronder de broncode van meerdere games. Bij Uber wordt de schade volgens de aanklager geschat op minimaal $3 miljoen. Wat een aanvaller precies van plan is (ransomware of spyware installeren, of bestanden aanpassen) verschilt per aanvaller. Feit blijft dat hij in deze fase midden in de aanval zit en dat organisaties kwetsbaar zijn.

De conclusie is duidelijk: infostealers vormen een geavanceerde dreiging. Ook in Nederland hebben ze al meerdere grote organisaties flink geraakt. Wil je weten hoe wij deze aanvallen in een vroeg stadium detecteren? Lees hier meer