Ein Infostealer ist eine Malware-Kategorie, die darauf ausgelegt ist, heimlich vertrauliche Daten wie gespeicherte Passwörter, Sitzungscookies, Wallet-Dateien von Kryptowährungen und Autofill-Daten des Browsers von einem infizierten System abzugreifen und an Angreifer zu übertragen.
Auf einen Blick
Greift gespeicherte Passwörter, Cookies und Sitzungstoken ab
Die erbeuteten Daten gehen an Angreifer und können weiterverkauft werden
Das Erkennen stützt sich vor allem auf die Folgen des Datendiebstahls, weniger auf die Malware selbst
Was ist Infostealer?
Der Begriff Infostealer bezeichnet Schadprogramme, die auf einem infizierten Gerät gespeicherte Zugangs- und Sitzungsdaten auslesen und nach außen übertragen. Zu der Kategorie zählen Familien wie RedLine, Raccoon, Lumma Stealer und StealC; laut BSI wird StealC seit Anfang 2023 im kriminellen Untergrund angeboten und deshalb von vielen verschiedenen Tätergruppen eingesetzt. Manche Infostealer gehen möglicherweise auf den Banking-Trojaner ZeuS zurück, der darauf ausgelegt war, Finanzdaten von Opfern heimlich zu stehlen. Verbreitet werden Infostealer zum Beispiel über manipulierte Software-Downloads, Phishing-E-Mails, Malvertising oder inoffizielle Modifikationen und Cheats für Videospiele. Die erbeuteten Daten werden zu Archiven gebündelt, den sogenannten Stealer Logs, und können auf Untergrundmärkten verkauft werden; Käufer starten mit den Daten weitere Angriffe.
Mit gestohlenen Cookies können Angreifer bestehende Sitzungen erneut verwenden, ohne weitere Authentifizierungsabfragen auszulösen. Ein Infostealer sammelt auf einem infizierten Rechner eines Versicherers gespeicherte Passwörter, Browser-Cookies und Sitzungstoken und übermittelt sie an Angreifer, die damit Konten übernehmen können. Solche Zugangsdaten dienen als Rohmaterial für Kampagnen zur Kontoübernahme und für Credential-Stuffing-Angriffe in Unternehmensumgebungen mit SaaS-Diensten. Gestohlene Zugangsdaten befeuern Ransomware, Kontoübernahmen und Betrug.
Wie funktioniert Infostealer?
Ein Infostealer wird ausgeführt, sammelt gespeicherte Daten des Systems, überträgt sie an die Angreifer und kann sich danach rasch wieder beenden. Gelesen werden gespeicherte Passwörter, Sitzungscookies, Wallet-Dateien von Kryptowährungen und Autofill-Daten des Browsers; Logins und Sitzungscookies sind ein beliebtes Ziel; gestohlene Sitzungscookies können die Umgehung der Multifaktor-Authentifizierung ermöglichen. Die vom BSI beschriebene Familie StealC kann darüber hinaus Dateien stehlen, Bildschirmfotos anfertigen und weitere Schadsoftware nachladen.
Einige Varianten stehlen zusätzlich weitere Token, die den Zugriff erneuern oder verlängern können; auch deshalb macht eine Passwortänderung den Zugriff der Angreifer nicht unbedingt sofort unwirksam. Laut MITRE ATT&CK sammelte Lumma Stealer Zugangsdaten und weitere Informationen aus mehreren Browsern und erfasste Informationen von Zwei-Faktor-Authentifizierungs-Erweiterungen mehrerer Browser. Weil sich ein Infostealer nach dem Datendiebstahl rasch wieder beenden kann, stützt sich das Erkennen vor allem auf die Folgen des Datendiebstahls und weniger auf die Malware selbst; ein reines Rotieren von Passwörtern gilt als unzureichend.
Infostealer im Vergleich
| Kriterium | Infostealer | Keylogger |
|---|---|---|
| Vorgehen | liest gespeicherte Passwörter, Cookies und Formulardaten unter anderem aus Browsern aus | protokolliert Tastatureingaben, um Zugangsdaten abzufangen, während sie eingetippt werden |
| Einordnung | Kategorie von Malware, die mehrere Techniken einsetzen kann | Keylogging wird als eine Technik genannt, die bestimmte Infostealer einsetzen |
| Erfasste Daten | gespeicherte Daten wie Passwörter, Sitzungscookies, Autofill-Daten und Wallet-Dateien von Kryptowährungen | eingetippte Eingaben, etwa Zugangsdaten |
Woran erkenne ich einen Infostealer?
| Signal | Woran erkennbar |
|---|---|
| Anmeldungen von unerwarteten Standorten | Logins aus ungewohnten Regionen können darauf hindeuten, dass gestohlene Sitzungstoken erneut verwendet werden. |
| Neue Gerätekennungen | Ein bisher unbekannter Gerätefingerabdruck (Device Fingerprint) kann auf wiederverwendete Sitzungstoken hindeuten. |
| Gleichzeitige Sitzungen aus verschiedenen Regionen | Parallele Sitzungen eines Kontos aus verschiedenen Regionen können darauf hindeuten, dass gestohlene Sitzungstoken genutzt werden. |
Schutz im Ernstfall
Vorbeugen
- Software und Apps nur aus offiziellen Stores und Quellen herunterladen, als Regel für Mitarbeiter.
- Für jedes Konto ein starkes, eigenes Passwort verwenden und in einem Passwortmanager ablegen.
- FIDO2- bzw. Passkey-Verfahren einsetzen, bei denen je Dienst eigene kryptografische Zugangsdaten erzeugt werden und private Schlüssel die Geräte der Nutzer nicht verlassen; gegen bereits gestohlene Sitzungscookies, die nach erfolgreicher Anmeldung ausgestellt wurden, schützt das allein nicht.
- Unerwartete Anhänge und Links auch bei bekannten Absendern nicht öffnen.
Was tun im Ernstfall
- Das betroffene Gerät sofort vom Netzwerk trennen.
- Den Vorfall der IT-Sicherheit melden, bevor das Gerät selbst bereinigt oder etwas deinstalliert wird.
- Alle auf dem Gerät verwendeten Zugangsdaten sofort von einem nicht betroffenen Gerät aus ändern und aktive Sitzungen der betroffenen Konten ungültig machen lassen, weil eine Passwortänderung aktive Sitzungstoken je nach Dienst nicht automatisch ungültig macht.
- Das Gerät durch die IT-Sicherheit analysieren und neu aufsetzen lassen.
Beispiele aus der Praxis
- RedLine wurde nach dem Stealer-as-a-Service-Modell angeboten und in Untergrundforen sowie über Telegram-Kanäle vertrieben.
- Kampagnen mit Lumma Stealer nutzen gefälschte CAPTCHA-Seiten, die Opfer anweisen, Befehle über das Windows-Dialogfeld „Ausführen“ einzufügen und auszuführen.
- Für Ransomware-Betreiber, die Stealer Logs kaufen, bieten VPN-Zugangsdaten einen direkten Weg in Unternehmensnetzwerke.
- Auf einem Rechner eines Versicherers kann ein Infostealer gespeicherte Browser-Passwörter und Sitzungstoken sammeln, mit denen Angreifer Konten übernehmen können.
Die Varianten im Detail (9)
Credential Stealer Credential Stealer ist ein Infostealer, der gezielt Zugangsdaten wie Benutzernamen und Passwörter ausliest.
Die Schadsoftware durchsucht Browser, Passwortspeicher und Anwendungen nach gespeicherten Anmeldedaten und sendet sie an die Angreifer, die damit Konten übernehmen oder die Daten weiterverkaufen können.
File-Stealer File-Stealer ist ein Infostealer, der Dateien von einem infizierten System sucht und überträgt.
Statt Zugangsdaten stehen Dokumente und andere Dateien im Mittelpunkt: Die Schadsoftware durchsucht Ordner nach bestimmten Dateitypen oder Namen und kopiert passende Treffer an einen Server der Angreifer.
Grabber Grabber bezeichnet ein Schadprogramm, das gespeicherte Daten auf einem System einsammelt und weiterleitet.
Der Begriff wird für einfach aufgebaute Stealer verwendet, die Browserdaten, Tokens oder Dateien in einem Durchlauf zusammentragen. Eine feste technische Abgrenzung zu anderen Infostealern besteht nicht.
Jupyter-Infostealer Jupyter-Infostealer ist ein namentlich bekannter Infostealer, der Browserdaten und Zugangsdaten abgreift.
Er wird als benannte Familie unter den Infostealern geführt und über den Namen von anderen unterschieden; er sammelt vertrauliche Daten aus Browsern und leitet sie an die Angreifer weiter.
Laplas Clipper Laplas Clipper ist ein Schadprogramm, das Kryptowährungs-Adressen in der Zwischenablage durch fremde ersetzt.
Kopiert ein Opfer eine Wallet-Adresse, tauscht der Clipper sie unbemerkt gegen die Adresse der Angreifer aus, sodass Überweisungen an diese gehen. Er entwendet damit Werte, ohne Dateien oder Passwörter auszulesen.
Pony-Stealer Pony-Stealer ist ein namentlich bekannter Infostealer, der gespeicherte Zugangsdaten ausliest.
Die Schadsoftware sammelt Anmeldedaten aus Browsern, E-Mail-Programmen und weiteren Anwendungen und überträgt sie an einen Server der Angreifer; der Name unterscheidet die Familie von anderen Stealern.
PoS-Malware PoS-Malware ist Schadsoftware auf Kassensystemen, die Zahlungskartendaten abgreift.
Sie greift Kartendaten auf Kassensystemen ab, je nach Variante etwa aus dem Arbeitsspeicher oder bei der Eingabe, und wird häufig den Infostealern zugeordnet. Ihr Ziel sind Zahlungsvorgänge im Handel.
Rogue-Erweiterung Rogue-Erweiterung ist eine schädliche Browser-Erweiterung, die Daten des Nutzers ausliest.
Sie gibt sich als nützliche Zusatzfunktion aus, erhält aber weitreichende Rechte im Browser und kann Eingaben, Sitzungen und besuchte Seiten mitschneiden. Der Weg zum Opfer führt über Erweiterungsverzeichnisse.
YouTube-Stealer YouTube-Stealer ist ein Infostealer, der Zugangsdaten und Sitzungen für YouTube-Konten abgreift.
Die Angreifer zielen auf Kanäle und Konten ab, um sie zu übernehmen, etwa für Betrugsvideos oder den Weiterverkauf. Der Name verweist auf das Ziel, nicht auf einen bestimmten technischen Aufbau der Schadsoftware.
