Wat zijn signalen van infostealer-activiteit?

Infostealer-infecties slaan zelden alarm. Vroege detectie hangt niet af van het opsporen van de malware zelf, maar van het herkennen van subtiele signalen in de nasleep. Infecties gaan snel, laten weinig sporen na en vinden vaak plaats op apparaten buiten jouw zicht. Toch laten ze signalen achter, als je weet waar je op moet letten.

Dit zijn veelvoorkomende signalen dat er een infostealer actief kan zijn in of rond je organisatie:

• Onverklaarbare logins vanaf ongebruikelijke apparaten of met afwijkende patronen, zoals nieuwe user agents, logintijden buiten de toegestane vensters of logins zonder MFA-verzoek (als dit zichtbaar is in logs of bij identity providers)

• Aanhoudende sessie-afwijkingen, zoals langlopende sessies vanuit meerdere regio's of hergebruik van verlopen tokens

• Misbruik van intern vertrouwen, zoals phishingmails vanaf echte accounts van medewerkers

• Activiteit van bevoorrechte accounts buiten normaal gedrag, zoals rechtenescalatie, configuratiewijzigingen of toegang tot systemen met een hoog risico

• Inlogpogingen met inloggegevens van inactieve, verouderde of uit dienst getreden accounts, vaak het eerste wat aanvallers proberen

• Nieuwe apparaten of unmanaged devices die interne systemen benaderen, vooral als ze plotseling opduiken in SSO-logs of toegangstelemetrie, of niet in de bedrijfsinventaris staan

Geen van deze signalen bevestigt een infostealer-infectie, maar ze duiken er vaak wel na op. Vroege detectie draait om het verbinden van zwakke signalen over apparaten, identiteiten en sessiegedrag heen, voordat ze uitgroeien tot een datalek