Infostealery. Co naprawdę trafia do logów sprzedawanych po infekcji

blackweb.pl 10 min
infostealery malware kradzież-tożsamości cookies incident-response

Kiedy ktoś mówi o wycieku haseł, zwykle wyobrażamy sobie tabelę: adres e-mail, login, hasło. Log infostealera jest czymś innym. To paczka zebrana bezpośrednio z komputera, na którym ofiara pracowała, robiła zakupy i logowała się do firmowych usług. Hasła są w niej tylko jedną pozycją.

Obok nich mogą leżeć aktywne sesje przeglądarki, dane wpisane wcześniej do formularzy, informacje o systemie, lista programów, dokumenty oraz pliki portfeli kryptowalutowych. Czasem dochodzi zrzut ekranu. Taki zestaw pozwala kupującemu ominąć część zabezpieczeń i wybrać konto warte dalszej pracy.

Dlatego po wykryciu infekcji zmiana hasła do poczty jest dobrym początkiem, ale fatalnym końcem reakcji.

Log nie jest dziennikiem zdarzeń

W języku obrony “log” oznacza zwykle zapis zdarzeń z systemu lub aplikacji. W obrocie przestępczym tym samym słowem nazywa się archiwum danych ukradzionych z jednego urządzenia. Zawartość zależy od rodziny malware, konfiguracji kampanii i tego, co rzeczywiście znajdowało się na komputerze.

Microsoft opisał w 2025 roku możliwości Lumma Stealera. Malware przeszukiwał przeglądarki oparte na Chromium oraz Mozilli, zbierał zapisane hasła, pliki cookie i dane autouzupełniania. Szukał też rozszerzeń i plików portfeli kryptowalutowych, konfiguracji VPN, danych klientów poczty i FTP, danych Telegrama, dokumentów w popularnych katalogach oraz informacji o systemie. Lista celów mogła przychodzić z serwera sterującego, więc operator nie musiał ograniczać się do jednego, niezmiennego zestawu.

W praktyce archiwum może zawierać:

  • adresy stron, loginy i hasła zapisane w przeglądarce,
  • pliki cookie oraz tokeny związane z zalogowanymi sesjami,
  • imiona, adresy, telefony i dane płatnicze zapamiętane przez autouzupełnianie,
  • informacje o komputerze, systemie, języku, strefie czasowej i zainstalowanych aplikacjach,
  • wybrane dokumenty oraz dane programów wskazanych przez operatora,
  • ślady portfeli kryptowalutowych, rozszerzeń i aplikacji komunikacyjnych.

Nie każdy log ma wszystko. Komputer używany wyłącznie do gier może oddać konta do platform i komunikatorów. Laptop księgowej może ujawnić pocztę, dostęp do chmury, panel bankowy i pliki z nazwami klientów. Ta różnica przekłada się na cenę.

Przeglądarka trzyma więcej, niż widać

Przeglądarka ma pamiętać za użytkownika. Zapisuje hasła, wypełnia adres dostawy, podpowiada numer karty i utrzymuje sesję po zamknięciu karty. W normalnym użyciu to wygoda. Po infekcji ten sam magazyn skraca drogę od uruchomienia malware do przejęcia konta.

Najbardziej mylące są pliki cookie. Po prawidłowym logowaniu serwis wydaje przeglądarce identyfikator sesji. Dzięki niemu nie pyta o hasło i drugi składnik przy każdym kliknięciu. Jeżeli napastnik przejmie ważny plik cookie i usługa zaakceptuje go na innym urządzeniu, może wejść do już uwierzytelnionej sesji. Nie musi znać hasła ani ponownie przepisywać kodu z aplikacji.

Google opisuje kradzież cookie jako przejęcie identyfikatora sesji utworzonego podczas logowania. Microsoft zwraca uwagę na jeszcze jeden problem: aplikacja może wystawić własny token sesji, którego dostawca tożsamości nie potrafi bezpośrednio unieważnić. Skuteczność i czas wylogowania zależą wtedy od zasad konkretnej aplikacji.

To nie znaczy, że uwierzytelnianie wieloskładnikowe nie działa. Nadal zatrzymuje wiele prób logowania samym hasłem. Nie cofnie jednak sesji skradzionej po tym, jak użytkownik przeszedł już uwierzytelnienie. Ochrona konta i ochrona urządzenia spotykają się właśnie w tym miejscu.

Profil urządzenia ma swoją cenę

W kwietniu 2023 roku służby przejęły Genesis Market. Departament Sprawiedliwości USA podał, że rynek oferował dane z ponad 1,5 miliona zainfekowanych komputerów, obejmujące ponad 80 milionów danych dostępowych. Europol pisał o ponad dwóch milionach wystawionych tożsamości.

Towarem nie był sam plik z hasłami. Oferty obejmowały zapisane logowania, cookie, dane formularzy i odcisk urządzenia. Kupujący otrzymywali narzędzie pozwalające naśladować środowisko przeglądarki ofiary. Miało to ograniczyć alarmy wywoływane przez zmianę lokalizacji, systemu czy charakterystycznych cech przeglądarki.

Genesis nazywał zainfekowane profile “botami” i aktualizował część danych wraz ze zmianami na komputerze ofiary. Według Europolu ceny zaczynały się poniżej dolara, a kończyły na setkach dolarów. Droższe były profile zawierające dostęp do finansów.

Rynek ocenia log podobnie jak zestaw kluczy znaleziony na ulicy. Jeden prowadzi tylko do starej skrzynki, drugi otwiera mieszkanie, garaż i biuro. Wartość rośnie, gdy paczka jest świeża, zawiera aktywne sesje i pokazuje konta firmowe albo finansowe. Znaczenie ma też możliwość połączenia danych: adres poczty wskazuje pracodawcę, historia i zakładki zdradzają używane usługi, a zapisane logowania mówią, gdzie warto spróbować wejść.

Stare dane również krążą. Hasła bywają używane ponownie, a organizacje zostawiają konta techniczne bez rotacji przez lata. Nie każdy nabywca potrzebuje świeżej sesji. Czasem wystarczy mu wskazówka, że pod konkretnym adresem istnieje dostęp do cennej usługi.

Świeżość zmienia wszystko

Hasło może działać przez miesiące. Cookie ma zwykle krótsze życie, ale przez ten czas daje prostszą drogę do konta. Z tego powodu data infekcji i data użycia skradzionych danych nie są drobnym szczegółem. Log obejrzany po kilku godzinach ma inną wartość niż archiwum, które leżało na forum pół roku.

Nie każda rodzina malware sprzedaje dane w ten sam sposób. Operator może przekazać jednorazowe archiwum, wystawić je w panelu albo zasilać profil kolejnymi informacjami z nadal zainfekowanego urządzenia. Genesis Market wyróżniał się tym ostatnim modelem. Nabywca mógł dostać aktualizację po zmianie hasła, jeżeli malware wciąż działał i ponownie przechwycił dane.

Skala jest większa, niż sugeruje liczba głośnych włamań. Microsoft poinformował, że tylko między 16 marca a 16 maja 2025 roku jego systemy rozpoznały ponad 394 tysiące komputerów zainfekowanych Lumma Stealerem. W operacji przeprowadzonej razem z partnerami firma przejęła, zablokowała lub skierowała do wyłączenia około 2300 domen używanych przez tę infrastrukturę. To dane z dwumiesięcznego wycinka i jednej rodziny malware, nie licznik całego rynku.

Ofiara może więc dowiedzieć się o problemie późno, gdy pierwsza paczka zdążyła zmienić właściciela. Brak podejrzanej transakcji dzień po infekcji niczego nie zamyka. Dane firmowe mogą czekać, aż trafi na nie ktoś zainteresowany konkretną domeną, stanowiskiem albo usługą.

Od domowego komputera do firmowej chmury

Najgorszy scenariusz nie musi zaczynać się na służbowej stacji. Pracownik może zalogować się do firmowego panelu z prywatnego laptopa, zapisać hasło albo pozostawić aktywną sesję. Infostealer zbiera dane z urządzenia, a log później trafia do osoby szukającej dostępu do określonej firmy.

Mandiant opisał ten mechanizm przy włamaniach do środowisk klientów Snowflake w 2024 roku. W badanych przypadkach napastnik używał danych, które wcześniej ukradły infostealery. Firma nie znalazła dowodów na włamanie do infrastruktury samego Snowflake. Problem leżał po stronie kont klientów. Część haseł nie była zmieniana nawet przez cztery lata, a dotknięte konta nie wymagały MFA.

Po wejściu do chmury skradzionymi danymi grupa oznaczona jako UNC5537 pobierała zawartość baz, wystawiała dane na sprzedaż i próbowała wymuszać pieniądze od ofiar. Jeden niepilnowany login do usługi SaaS mógł więc otworzyć magazyn danych całej organizacji.

Infostealery służą także jako hurtownia dostępu dla bardziej zaawansowanych grup. Google Threat Intelligence opisał przypadek APT29, grupy łączonej z rosyjskim wywiadem zagranicznym. Operatorzy użyli danych prawdopodobnie kupionych po kampanii prowadzonej przez inną grupę. Na stacjach powiązanych z celem wcześniej działał CRYPTBOT, a później skradziony token sesji posłużył do dostępu do Microsoft 365.

Podział pracy jest prosty. Jedna grupa rozprowadza malware na dużą skalę. Inna sortuje logi. Kolejna kupuje wybrany dostęp i wykorzystuje go do kradzieży danych, oszustwa albo wejścia do sieci przed ransomware. Ofiara widzi pojedynczą infekcję. Po drugiej stronie może działać kilka niezależnych ekip.

Skąd biorą się logi

Infostealer musi najpierw uruchomić się na urządzeniu. Microsoft obserwował Lumma Stealera w fałszywych instalatorach i aktualizacjach, zatrutych reklamach, stronach podszywających się pod legalne usługi oraz kampaniach wykorzystujących socjotechnikę. Inne rodziny trafiają do pirackiego oprogramowania, modyfikacji gier i załączników.

Wspólny mianownik jest nudny: użytkownik dostaje plik albo polecenie przedstawione jako konieczny krok. Czasem chce obejrzeć materiał, zainstalować program lub naprawić rzekomy błąd. Sam moment infekcji może trwać krótko. Kradzież nie musi objawiać się szyfrowaniem dysku, blokadą ekranu ani hałasem wentylatorów.

To utrudnia ustalenie daty kompromitacji. Log mógł zostać wysłany kilka tygodni przed pierwszym zauważonym przejęciem konta. Zmiana jednego hasła po otrzymaniu alertu rozwiązuje tylko fragment problemu, zwłaszcza jeśli urządzenie nadal jest zakażone albo pozostałe skradzione dane czekają na kupca.

Dlaczego reset jednego hasła nie wystarcza

Załóżmy, że użytkownik zauważa obce logowanie do poczty i zmienia hasło. Napastnik może nadal mieć ważną sesję, token aplikacji albo dostęp do innego konta, z którego da się uruchomić odzyskiwanie. Jeżeli stealer przejął wszystkie hasła zapisane w tej samej przeglądarce, zagrożone są także konta z unikalnymi hasłami. Ich unikalność chroni przed skutkami wycieku jednej usługi, ale nie przed odczytem całego sejfu na zainfekowanym urządzeniu.

Reset wykonany na tym samym, nieoczyszczonym komputerze może od razu dostarczyć nowe dane. Do tego dochodzą zmiany wprowadzone już po przejęciu: obcy adres odzyskiwania, nowa metoda MFA, reguła przekazywania poczty, uprawniona aplikacja OAuth albo klucz API. Sama zamiana ciągu znaków nie usuwa żadnego z tych punktów zaczepienia.

Reakcja powinna objąć urządzenie, sesje i wszystkie dane, które mogły znajdować się w przeglądarce. Kolejność ma znaczenie:

  1. Odłącz podejrzane urządzenie od sieci i przestań używać go do logowania. W organizacji zgłoś incydent osobom odpowiedzialnym za bezpieczeństwo. Nie kasuj pochopnie śladów, jeśli będą potrzebne do analizy.
  2. Z zaufanego urządzenia zabezpiecz pocztę oraz menedżer haseł. To konta, które zwykle pozwalają odzyskiwać dostęp do pozostałych usług.
  3. Zakończ aktywne sesje i unieważnij tokeny tam, gdzie usługa daje taką opcję. Microsoft w procedurze dla przejętego konta osobno wymienia reset hasła i odwołanie sesji, ponieważ nie są to równoważne operacje.
  4. Sprawdź urządzenia, metody MFA, dane odzyskiwania, reguły pocztowe, uprawnione aplikacje i klucze. Usuń elementy, których nie rozpoznajesz.
  5. Zmień dane dostępowe do kont zapisanych lub używanych na zainfekowanym komputerze. Zacznij od poczty, finansów, pracy i usług przechowujących dane. Każde konto powinno dostać własne hasło.
  6. Usuń źródło infekcji. W firmie może to oznaczać analizę i ponowne przygotowanie stacji z zaufanego obrazu. Domowy użytkownik powinien co najmniej wykonać pełne skanowanie sprawdzonym narzędziem, a przy braku pewności rozważyć czystą instalację systemu.

Jeżeli w przeglądarce były dane karty lub dostęp do bankowości, trzeba skontaktować się z instytucją finansową i przejrzeć operacje. Przy kradzieży dokumentów zakres reakcji zależy od ich zawartości. Firmowy administrator powinien sprawdzić logowania, pobrania danych i działania wykonane przez konto od prawdopodobnego momentu infekcji.

Co zmieniają passkeys

Passkeys ograniczają ryzyko związane z kradzieżą i ponownym użyciem haseł. Są powiązane z konkretną usługą i odporne na klasyczny phishing. Nie pozwalają jednak ignorować stanu urządzenia. Infostealer może nadal kraść aktywne sesje, dokumenty i dane innych aplikacji.

Silne uwierzytelnianie odcina część dróg. Aktualny system, ograniczenie instalowania przypadkowych plików, osobny profil do pracy i kontrola sesji odcinają następne. Żaden pojedynczy mechanizm nie obejmuje całej paczki, którą potrafi wysłać współczesny stealer.

Jak ustalić zasięg

Log nie zawiera kompletnej tożsamości. Zawiera jednak wystarczająco dużo, żeby podszyć się pod użytkownika w wielu usługach: miejsca logowania, dane pozostawione w formularzach, opis sprzętu i sesje, których serwisy jeszcze nie zamknęły. Kupujący sprawdza przede wszystkim, które dostępy nadal działają.

Po alercie o infekcji trzeba ustalić, co znajdowało się na urządzeniu, które sesje były otwarte i czy z tego komputera prowadzono pracę. Pytanie o jedno wyciekłe hasło jest zbyt wąskie. Zasięg wyznacza wszystko, do czego w chwili infekcji miała dostęp przeglądarka i uruchomione na komputerze aplikacje.

Źródła

Powiązane

← Archiwum