Infostealer

Ein Infostealer ist eine Klasse von Schadsoftware, die nach der Infektion eines Geräts still Daten einsammelt und an die Angreifer übermittelt: im Browser gespeicherte Passwörter, Session-Cookies und Tokens, Autofill-Daten, Kreditkartendaten, Krypto-Wallets, Dateien vom Desktop und Systeminformationen. Das Ergebnis, ein sogenannter Stealer-Log, wird in Untergrundmärkten verkauft oder in Messenger-Kanälen verteilt.

Warum Infostealer wichtig sind

Infostealer sind heute eine der häufigsten Ursachen für kompromittierte Unternehmenskonten. Der Grund ist die Vermischung von privat und dienstlich: Ein Mitarbeiter meldet sich auf dem privaten Laptop bei Microsoft 365 oder im VPN-Portal an, jemand installiert ein gecracktes Spiel, der Stealer läuft zwei Minuten, und die Session zum Unternehmen liegt im Log. Session-Cookies sind besonders gefährlich, weil sie MFA umgehen: Wer das Cookie besitzt, ist bereits angemeldet. Familien wie RedLine, Raccoon, Vidar und Lumma haben Millionen von Geräten infiziert; Takedown-Aktionen wie Operation Endgame haben einzelne Netze gestört, das Geschäftsmodell aber nicht beendet.

So funktionieren Infostealer

1. Verbreitung: Gecrackte Software, gefälschte Installer, bösartige Werbung, Phishing-Anhänge, Links in Videoplattformen und Chat-Diensten.
2. Sammlung: Der Stealer liest Browser-Datenbanken (Chrome, Edge, Firefox), Passwortmanager-Erweiterungen, E-Mail- und FTP-Clients, VPN-Konfigurationen und Dateien aus.
3. Exfiltration: Das Paket enthält Passwörter samt Login-URL, Cookies mit Ablaufdatum, Hardware-Fingerprint, Betriebssystem, installierte Antivirus-Software, IP-Adresse und Standort.
4. Verwertung: Logs werden nach Domains durchsucht. Zugänge zu Unternehmensportalen wandern zu Initial Access Brokern; Kundendaten werden für Kontoübernahmen und Betrug genutzt.

Der Stealer selbst bleibt oft nicht auf dem Gerät. Deshalb fällt die Infektion häufig erst auf, wenn die Daten bereits im Umlauf sind.

So adressiert blacklens.io Infostealer

Das Darknet Monitoring von blacklens.io wertet Stealer-Logs aus und ordnet Treffer Ihren Domains zu: kompromittierte Identitäten mit Angabe, ob Passwort, Cookie oder personenbezogene Daten betroffen sind, und kompromittierte Geräte mit IP, Hostname, Betriebssystem, Antivirus-Liste, Stealer-Pfad, Infektionsdatum und Standort. Treffer werden automatisch als Mitarbeiter oder Kunde klassifiziert. Gestohlene Session-Cookies werden anhand des Cookie-Namens gegen die Open Cookie Database bewertet, abgelaufene Cookies automatisch archiviert. Der Abgleich läuft standardmäßig alle 24 Stunden.

Schützt MFA vor Infostealern?

Nur teilweise. MFA schützt das Passwort, nicht die aktive Session. Ein gestohlenes Session-Cookie erlaubt den Zugriff ohne erneute Anmeldung, bis die Session abläuft oder widerrufen wird. Kurze Session-Laufzeiten, gerätebasierte Bedingungen und das Widerrufen von Sessions nach einem Treffer sind deshalb wichtig.

Was tun, wenn ein Gerät in einem Stealer-Log auftaucht?

Alle auf dem Gerät gespeicherten Passwörter ändern, aktive Sessions für Microsoft 365, VPN und SaaS-Dienste widerrufen, das Gerät neu aufsetzen (Stealer laden häufig weitere Schadsoftware nach) und prüfen, ob es sich um ein privates Gerät mit Zugriff auf Unternehmensdienste handelt.

Sind auch Macs und Smartphones betroffen?

Ja. Windows ist am häufigsten betroffen, aber es gibt Infostealer für macOS, und Android-Banking-Trojaner arbeiten nach demselben Prinzip. Das Risiko liegt weniger im Betriebssystem als in der Nutzung privater Geräte für Unternehmenszugänge.