Infostealer
Infostealer to klasa złośliwego oprogramowania nastawiona na kradzież danych z zainfekowanego komputera, przede wszystkim z przeglądarki. Nie szyfruje dysku jak ransomware. Nie rozsyła się głośno jak robak. Zbiera to, co użytkownik już zapisał: hasła, pliki cookie, dane formularzy, czasem fragmenty dokumentów i konfiguracje portfeli kryptowalutowych. Potem wysyła paczkę na serwer operatora.
W języku obrony i threat intelligence to narzędzie do kradzieży poświadczeń i sesji. W obiegu przestępczym wynik działania nazywa się logiem. Jedna infekcja, jedno archiwum. Cena zależy od tego, co było na maszynie: poczta firmowa, bankowość, panel administracyjny albo konta, które da się odsprzedać dalej.
Co zwykle trafia do paczki
Typowy stealer celuje w magazyny przeglądarek Chromium i Firefox. Stamtąd bierze zapisane loginy, cookie i autouzupełnianie. Często dorzuca fingerprint urządzenia: system, język, strefę czasową, listę programów. To nie jest dekoracja. Kupujący logu chce wiedzieć, czy konto wygląda na “żywe” i czy warto je odpalić.
Część rodzin szuka też plików z katalogów użytkownika, konfiguracji klientów poczty, VPN albo komunikatorów. Lista celów bywa ustawiana z serwera sterującego, więc jeden wariant malware w dwóch kampaniach może zbierać coś innego. Nie opisuję tu konfiguracji. Ważne jest tylko to, że zakres nie jest magiczny i stały. Zależy od tego, co operator włączył i co ofiara faktycznie trzymała lokalnie.
Dlaczego cookie biją hasła
Hasło da się zmienić. Aktywna sesja w pliku cookie pozwala czasem wejść do konta bez ponownego logowania i bez drugiego składnika. Jeśli usługa akceptuje skradziony identyfikator sesji na innym urządzeniu, napastnik omija część ochrony, którą ofiara uważała za wystarczającą. Stąd po wykryciu infekcji sama zmiana hasła do poczty jest początkiem reakcji, nie końcem. Trzeba unieważnić sesje, sprawdzić dostęp do banku, chmury i paneli, przejrzeć urządzenia zaufane.
Szerszy rozbiór tego, co naprawdę leży w logach, jest w tekście Infostealery. Co naprawdę trafia do logów. Osobno warto przeczytać o skanach dokumentów w Nexus IDScan: to inny towar, ale ten sam obieg, w którym dane z komputera stają się produktem.
Skąd biorą się infekcje
Wektorów jest wiele i żaden nie wymaga tu podręcznika. Phishing, fałszywe instalatory, cracki, zainfekowane reklamy, czasem łańcuch przez już skompromitowane konto. Infostealer bywa też “ładunkiem” dostarczanym przez inne malware, czyli dropperem w sensie pakowania. Dla ofiary efekt jest ten sam: przeglądarka oddaje magazyn, a ktoś po drugiej stronie dostaje archiwum.
W firmach problem bywa gorszy niż u prywatnego użytkownika. Jedna stacja z zalogowaną pocztą i SSO potrafi otworzyć drogę do chmury, ticketów i repozytoriów. Dlatego incident response po stealerze nie kończy się na skanowaniu antywirusem. Trzeba założyć, że sesje i hasła mogły wyjść.
Czego tu nie ma
Nie ma adresów forów, nie ma “jak kupić log”, nie ma checklisty dla napastnika. Infostealery są tematem obrony, forensyki i opisu rynku danych. Jeśli ktoś szuka praktyki ochrony źródła i urządzeń, bliższy trop to opsec dziennikarza oraz hasła o modelu zagrożeń i sesjach.