Waarom detecteren antivirus en EDR geen infostealers?

Infostealers zijn speciaal gebouwd om zo lang mogelijk onopgemerkt te blijven. Hoe langer een slachtoffer niets van de infectie weet, hoe langer de gestolen inloggegevens waardevol blijven. Zodra een inbraak wordt ontdekt, worden wachtwoorden gereset, tokens ingetrokken en gaat de toegang verloren. Daarom werken infostealers in stilte: zo blijft de doorverkoopwaarde van logs op de criminele marktplaats behouden. Late detectie is geen bijwerking. Het is het verdienmodel.

Hun activiteit is kortstondig, leunt meestal niet op persistentie (zeker niet in de vroege fases) en speelt zich vaak af buiten de beveiligingsperimeter van de organisatie.

De meeste AV- en EDR-systemen vangen ze niet af, omdat:

• Ze kort en in het geheugen draaien: ze laten geen sporen na voor gedragsanalyse of sandboxing

• Ze geen persistentie nodig hebben om effectief te zijn: al nestelen sommige zich later via droppers, autostarts of geplande taken

• Ze buiten beheerde omgevingen opereren: veel infecties vinden plaats op privé-apparaten, BYOD-apparaten of unmanaged devices die niet onder endpointbeveiliging vallen

Zelfs geavanceerde EDR-tools hebben moeite om infostealers te detecteren als het apparaat niet in beheer is of als er geen telemetrie beschikbaar is.

Veel stealers gebruiken technieken die zijn beschreven in MITRE ATT&CK T1555.003: het buitmaken van inloggegevens uit lokale opslag of wachtwoordmanagers zonder alerts te triggeren. Omdat de meeste infecties plaatsvinden op endpoints die de organisatie niet beheert, zien traditionele securitytools ze niet en geven ze nooit een alert.