Infostealer in je organisatie? Zo reageer je

Heb je aanwijzingen dat er een infostealer actief is binnen je organisatie? Dan is dat reden tot serieuze zorg. Met infostealers kunnen aanvallers inloggegevens, wachtwoorden en gevoelige gegevens van je organisatie stelen, wat kan leiden tot datalekken en hacks.

Het is cruciaal om snel en effectief te reageren om verdere schade te voorkomen. Dit artikel geeft een stapsgewijze aanpak om de impact van de infectie te beperken en de risico's voor je organisatie te verkleinen.

Stap 1: Trek toegang direct in

Vermoed je een infostealer-infectie? Dan is het essentieel om direct te handelen. Het geïnfecteerde apparaat kan aanvallers nog steeds toegang geven tot interne systemen en gegevens.

Wat je moet doen:

• Trek toegangsrechten in: blokkeer tijdelijk de toegang van de getroffen gebruiker tot alle interne systemen en netwerken.

• Beëindig actieve sessies: forceer een uitlog voor alle actieve sessies en maak alle session tokens ongeldig. Infostealers kunnen session tokens hebben gestolen en die gebruiken om zonder wachtwoord toegang te krijgen.

  
  

Tip: Inventariseer alle applicaties waar een gebruiker toegang toe heeft. Neem naast de centrale inlogsystemen ook VPN, HR-applicaties en financiële systemen mee.

Waarom deze stap belangrijk is:
Door de toegang snel te blokkeren, voorkom je dat aanvallers hun activiteiten binnen je netwerk en systemen voortzetten.

 Stap 2: Onderzoek mogelijk misbruik

Zodra de toegang is beperkt, is het tijd om te onderzoeken of de infostealer is gebruikt om schade aan te richten. Dit onderzoek helpt de omvang van de infectie in te schatten en de volgende stappen te bepalen.

Analyseer de volgende signalen:

• Onbekende logins: controleer op inlogpogingen vanaf onbekende apparaten of IP-adressen.

• Activiteit op ongebruikelijke tijden: let op logins op vreemde tijdstippen, zoals midden in de nacht, of vanaf onverwachte geografische locaties.

• Toegang tot gevoelige gegevens: houd ongebruikelijke activiteit in de gaten, zoals het openen van bestanden of databases die de gebruiker normaal niet raadpleegt.

• Ongebruikelijke bestandsoverdrachten: let op grote downloads of het kopiëren van gevoelige documenten.

  
  

Acties bij verdachte activiteit:

• Start een forensisch onderzoek om de omvang van de aanval volledig in kaart te brengen. Dat kan verdere schade helpen voorkomen.

Waarom deze stap belangrijk is:
Als je snel inzicht hebt in wat er mogelijk is gebeurd, kun je gerichte acties nemen om extra schade te voorkomen.

Stap 3: Help de gebruiker de malware te verwijderen

Het geïnfecteerde apparaat moet grondig worden opgeschoond voordat het weer veilig kan worden gebruikt. De getroffen gebruiker heeft daarbij hulp nodig.

• Bij beheerde apparaten: neem het apparaat in beheer en laat je IT-team het opschonen. Zorg dat het apparaat op malware wordt gescand en grondig wordt opgeschoond.

• Bij unmanaged devices: schoon het apparaat op samen met de gebruiker of diens leverancier. Zie hieronder voor verdere instructies.

Je collega ondersteunen:
Reageren op een infostealer-infectie kan voor veel gebruikers een complex en stressvol proces zijn. Geef duidelijke instructies en begeleid de gebruiker bij het opschonen van het apparaat.

Voor begeleiding van de gebruiker kun je verwijzen naar deze handige gids [internal hyperlink].

Gewenste resultaten:

• De malware is volledig van het apparaat verwijderd.

• De gebruiker begrijpt wat een infostealer-infectie betekent en wat de mogelijke gevolgen zijn.

• De gebruiker neemt aanvullende beveiligingsmaatregelen, zoals nieuwe wachtwoorden instellen en het apparaat beveiligen.

• 
  

Ga pas door naar stap 4 als je zeker weet dat het apparaat grondig is opgeschoond.

Waarom deze stap belangrijk is:
Door de malware te verwijderen, voorkom je verdere schade en verklein je het risico dat het apparaat opnieuw een toegangspunt voor aanvallers wordt.

Stap 4: Reset wachtwoorden

Infostealers zijn specifiek ontworpen om wachtwoorden en inloggegevens te stelen. Beschouw alle wachtwoorden die op het geïnfecteerde apparaat zijn gebruikt als gecompromitteerd.

Acties:

• Reset wachtwoorden voor alle gebruikte systemen: begin met de meest kritieke systemen, zoals e-mail, financiële applicaties en interne portals.

• Help de gebruiker een wachtwoordmanager in te voeren: help de gebruiker een wachtwoordmanager in te stellen om eenvoudig veilige wachtwoorden te beheren.

• Schakel waar mogelijk MFA in: voeg een extra beveiligingslaag toe door MFA in te schakelen.

Waarom deze stap belangrijk is:
Door wachtwoorden te resetten en MFA in te schakelen, voorkom je dat aanvallers toegang houden tot kritieke accounts, ook als ze de inloggegevens hebben gestolen.

Stap 5: Evalueer en beperk toekomstige risico's

Zodra de directe dreiging is aangepakt, is het belangrijk om de infectie te evalueren en structurele verbeteringen door te voeren om toekomstige risico's te verkleinen.

Evaluatiepunten:

• Wat is de werkelijke impact van de infostealer-infectie? Wat zijn de gevolgen voor de vertrouwelijkheid, integriteit en beschikbaarheid van gegevens binnen de organisatie?

• Welke potentiële impact had de infectie? Wat had de aanvaller kunnen doen met de verkregen toegang?

• Hoe waarschijnlijk is het dat infostealers in de toekomst een risico vormen? Zijn er preventieve maatregelen mogelijk om herhaling te voorkomen?

Mogelijke verbeteringen:

• Beperk toegang vanaf unmanaged devices: overweeg om toegang tot interne omgevingen alleen toe te staan vanaf beheerde apparaten. Zo vormen infostealer-infecties op privéapparaten geen risico meer.

• Zorg dat externe partners beheerde apparaten gebruiken: verplicht externe partners om alleen via beheerde apparaten toegang te krijgen tot je netwerk.

• Verkort de sessieduur: verkort de levensduur van session tokens om de impact van mogelijke toekomstige aanvallen te beperken.

• Bewustwordingscampagnes: start een campagne om medewerkers bewust te maken van de risico's van infostealers en van hoe ze zichzelf kunnen beschermen. Behandel onderwerpen zoals de risico's van privéapparaten voor zakelijk gebruik en hoe je met infostealers in aanraking kunt komen.

• Continue infostealer-monitoring: zet monitoringtools zoals Passguard in om nieuwe infecties vroeg te detecteren, zodat je snel actie kunt ondernemen.

  
  

Waarom deze stap belangrijk is:
Toekomstige infecties voorkomen is net zo belangrijk als de huidige dreiging aanpakken. Met een proactieve aanpak wordt je organisatie weerbaarder tegen toekomstige infostealer-aanvallen.

 Tot slot

Een infostealer-infectie is een serieus risico, maar met een snelle en gestructureerde reactie kun je de schade beperken en je organisatie beschermen. Door te investeren in preventieve maatregelen, bewustwording en continue monitoring, verklein je de kans op toekomstige incidenten.

Hulp nodig bij het opsporen en oplossen van een infostealer-infectie? Neem contact op met onze experts voor ondersteuning.