Hoe worden infostealers gemaakt?

Infostealers worden ontwikkeld als Malware-as-a-Service (MaaS). Met dit model krijgen cybercriminelen zonder diepe technische kennis toegang tot geavanceerde malware door simpelweg een abonnement af te sluiten. Daardoor worden infostealers toegankelijk voor een bredere groep criminelen, die aanvallen kunnen uitvoeren zonder zelf malware te ontwikkelen.

In dit MaaS-model bieden criminele netwerken hun infostealers aan als kant-en-klare oplossingen, vergelijkbaar met hoe legitieme softwarebedrijven hun producten via abonnementen aanbieden. Bekende infostealers zoals Redline, Raccoon en Lumma worden door cybercriminelen ontwikkeld en continu bijgewerkt, en vervolgens op verschillende marktplaatsen op het dark web verkocht aan iedereen die wil betalen. Dat heeft geleid tot een toenemende professionalisering binnen het criminele ecosysteem. De marketing van deze infostealers lijkt op die van legitieme softwarebedrijven, compleet met advertenties die de effectiviteit van de malware aanprijzen.

‍

Intern ontwikkelproces

De malwareontwikkelaars achter infostealers volgen strakke ontwikkelprocessen en werken voortdurend aan het omzeilen van antivirussoftware. Een belangrijk onderdeel daarvan is het toepassen van technieken als code-obfuscatie en versleuteling, waardoor de malware er bij elke infectie anders uitziet en moeilijk te detecteren is voor traditionele antivirusprogramma's. Daarnaast voegen ontwikkelaars voortdurend nieuwe functies toe om de malware krachtiger te maken, zoals tools die sessietime-outs voorkomen, supercookies buitmaken of voorkomen dat apparaten in slaapstand gaan.

Command & Control-dashboards

Naast de ontwikkeling van de malware zelf geven MaaS-aanbieders hun klanten toegang tot gebruiksvriendelijke Command & Control-dashboards (C2). Deze dashboards werken vergelijkbaar met de portalen van legitieme SaaS-diensten en geven verspreiders van infostealers een overzicht van geïnfecteerde apparaten. Verspreiders kunnen inloggen op deze portalen, die zich vaak in verborgen delen van het dark web bevinden, en hun infecties eenvoudig beheren.

Eenmaal ingelogd op het C2-dashboard kunnen verspreiders acties uitvoeren zoals session hijacking, waarmee ze direct toegang krijgen tot de sessies van geïnfecteerde gebruikers zonder opnieuw te hoeven authenticeren. Vanuit het dashboard kunnen ze ook gestolen data exporteren, zoals inloggegevens en session tokens, en die verkopen op criminele marktplaatsen.

Onder de radar blijven

Een cruciaal onderdeel van het ontwikkelproces is ervoor zorgen dat de infostealer-malware niet wordt opgemerkt door antivirusprogramma's. Ontwikkelaars gebruiken technieken als code-obfuscatie en versleuteling om de malware te verbergen voor signature-based antivirussoftware. Daardoor ziet de malware er bij elke infectie anders uit en is de infostealer moeilijker te detecteren voor standaard antivirusprogramma's.

Daarnaast wordt de malware vaak verpakt in kleine, onopvallende stukjes code, zodat die langzaam en vrijwel onzichtbaar op de systemen van slachtoffers wordt uitgevoerd. Dit wordt vaak gecombineerd met technieken als "fileless" malware, waarbij de infostealer in het werkgeheugen van de computer draait in plaats van op de harde schijf te worden opgeslagen. Dat maakt detectie nog lastiger.

Evolutie en innovatie

Net als legitieme software worden infostealers continu geëvalueerd en verbeterd. Zowel geslaagde als mislukte infecties leveren waardevolle inzichten op, waarmee ontwikkelaars nieuwe functies bouwen en zwakke plekken in hun malware dichten. Een recent geïntroduceerde functie is bijvoorbeeld het buitmaken van supercookies. Daarmee kunnen aanvallers aanzienlijk langer ingelogd blijven, en deze supercookies zijn veel moeilijker ongeldig te maken.

Infostealer-communities volgen nauwlettend de ontwikkeling van nieuwe tools die data lokaal opslaan. Een recent voorbeeld was de aankondiging van de Recall-module van Microsoft Copilot, die screenshots maakt en lokaal opslaat. Zodra data lokaal wordt opgeslagen, is dat een kans voor infostealers om die informatie te stelen en te koop aan te bieden.

Conclusie

Door hun combinatie van geavanceerde functionaliteit en gebruiksgemak zijn infostealers een steeds aantrekkelijker middel voor cybercriminelen geworden. Het Malware-as-a-Service-model verlaagt de drempel voor criminele actoren en maakt het makkelijker om infecties op grote schaal te beheren en er winst mee te maken. Dat vergroot niet alleen de dreiging voor personen en organisaties, maar laat ook zien dat het infostealer-ecosysteem steeds professioneler wordt en steeds meer lijkt op een serieus techbedrijf.