Hoe omzeilen infostealers MFA?

Hoe diefstal van session tokens werkt

De aanval verloopt in een eenvoudige volgorde:

• 1. De gebruiker logt normaal in: de gebruiker logt in met zijn wachtwoord en doorloopt MFA. De server maakt een session token aan en slaat dat als cookie op in de browser.

• 2. De infostealer haalt de cookie op: de malware leest de cookieopslag van de browser en kopieert het session token samen met alle andere opgeslagen data.

• 3. Het token wordt verkocht op een marktplaats: het gestolen token wordt samen met de rest van de log geüpload naar een criminele marktplaats of Telegram-kanaal.

• 4. De aanvaller importeert het token: de aanvaller (of koper) importeert de cookie in zijn eigen browser. De server herkent het geldige session token en geeft toegang, zonder dat inloggen nodig is.

Waarom MFA alleen niet genoeg is

MFA beschermt het moment van authenticatie: het controleert of degene die inlogt het juiste apparaat of de juiste app in handen heeft. Maar zodra de authenticatie voltooid is, neemt het session token het over. Wordt dat token gestolen en elders geïmporteerd, dan kan de server de legitieme gebruiker niet van de aanvaller onderscheiden. Dat is de kern van de pass-the-cookie-aanval: de sessie is al geauthenticeerd, dus MFA wordt nooit opnieuw gevraagd.

Dit verschilt wezenlijk van diefstal van inloggegevens bij een datalek. Gestolen wachtwoorden kun je met MFA tegenhouden. Gestolen session tokens omzeilen de meeste MFA-methoden, omdat de authenticatie al heeft plaatsgevonden. De gestolen sessie geeft toegang, niet het wachtwoord. Hardwaregebonden methoden zoals YubiKey kunnen dit weerstaan als de sessie aan het apparaat gebonden is, maar de meeste applicaties dwingen dat niet af.

Wat organisaties kunnen doen

Verdediging tegen session hijacking en pass-the-cookie-aanvallen vraagt om een korte sessieduur, apparaatgebonden tokens waar mogelijk en conditional access-beleid dat de gezondheid van apparaten controleert. Maar geen enkele technische maatregel vangt alles af. De cruciale laatste laag is monitoring: weten wanneer gestolen sessies van jouw systemen op criminele marktplaatsen worden verhandeld, zodat je ze kunt intrekken voordat ze worden gebruikt. Passguard bewaakt deze marktplaatsen continu en waarschuwt je securityteam zodra er een gestolen sessie opduikt die aan jouw organisatie gekoppeld is.