Czym jest infostealer i jak działa? Kompletny przewodnik po złośliwym oprogramowaniu kradnącym dane

Czym jest infostealer?

Infostealer to specjalny rodzaj złośliwego oprogramowania stworzony do wykradania poufnych informacji z zainfekowanych systemów. Informacjami tymi mogą być zarówno dane osobowe pracowników i klientów, jak również dokumenty zawierające tajemnice handlowe czy plany rozwoju.

Wprowadzenie do świata infostealerów

Infostealery jako rodzaj złośliwego oprogramowania z roku na rok stają się coraz chętniej wykorzystywane przez hakerów, pozwalając im na stałe zwiększanie zarobków z kradzieży poufnych i wrażliwych danych.

Ten rodzaju złośliwego oprogramowania działa w środkowych fazach ataku. Opierając się na Cyber Kill Chain, można wskazać, że tymi fazami są m.in.: dostarczenie (delivery), wykorzystanie (exploitation), instalacja (installation) oraz dowodzenie i kontrola (Command and Control) – często występująca w postaci komunikacji zainfekowanego systemu z zarządzanym przez atakującego serwerem C2, czyli Dowodzenia i Kontroli.

Infostealery zostały specjalnie zaprojektowane, aby wyszukiwać, wydobywać i wykradać poufne informacje z zainfekowanego systemu. Ten rodzaj złośliwego oprogramowania nie ogranicza się jedynie do systemów komputerowych, ale także może być wykorzystywany na urządzeniach mobilnych.

Pozyskane w ten sposób dane są dla atakujących bardzo cenne, ponieważ mogą być sprzedane na czarnym rynku przez brokerów, użyte do kradzieży tożsamości lub szantażu ofiary w celu wymuszenia okupu. Szantaż polega najczęściej na grożeniu opublikowaniem wykradzionych danych w przypadku braku zapłaty określonej sumy w kryptowalucie, w ściśle określonym czasie.

Jeżeli wśród skradzionych danych znajdują się dane uwierzytelniające, takie jak hasła, klucze prywatne, loginy czy nazwy użytkowników, to mogą one posłużyć do pogłębienia ataku i dalszej infiltracji środowiska ofiary.

Dystrybucja infostealerów

Infostealery są dystrybułowane przez cyberprzestępców głównie za pośrednictwem phishingowych wiadomości e-mail, zainfekowanych załączników lub poprzez zainfekowane strony internetowe.

Ich cechą charakterystyczną jest działanie w tle, wobec czego nie wzbudzają zainteresowania ofiary poprzez nietypowe działanie systemu. Są również trudne do wykrycia i stosują różne techniki utrudniające ich odkrycie. Ponadto są zdolne do przetrwania w systemie po jego ponownym uruchomieniu, odnajdywania innych celów w sieci ofiary oraz umożliwiają cyberprzestępcom zdalne zarządzanie zainfekowanym systemem.

Te najbardziej zaawansowane zbudowane są z modułów, które rozszerzają ich funkcjonalność, np. o możliwość importu poszczególnych ładunków po przeskanowaniu systemu w poszukiwaniu poufnych danych.

Infostealery są zazwyczaj dystrybuowane w modelu malware-as-a-service (MaaS), w którym cyberprzestępcy udostępniają je za opłatą abonamentową. Dzięki temu osoby o różnym poziomie wiedzy technicznej mogą wykorzystywać infostealery do nielegalnych działań.

W artykule z 2023 r. badacze z Georgia Institute of Technology zauważyli, że rynek hostowanych infostealerów jest niezwykle dojrzały i konkurencyjny, a niektórzy operatorzy oferują skonfigurowanie infostealerów za jedyne 12 USD.

Sposób działania infostealerów

Co do zasady infostealery składają się z dwóch części: struktury bota, która pozwala atakującemu skonfigurować zachowanie infostealera na komputerze ofiary, oraz panelu zarządzania, który przyjmuje formę serwera, do którego infostealer wysyła dane.

Panel zarządzania jest zazwyczaj napisany w językach takich jak PHP, HTML czy JavaScript i hostowany w komercyjnej infrastrukturze chmurowej. Interfejs działa jako serwer WWW, do którego wysyłane są poufne informacje, a także umożliwia kontrolowanie działania infostealera.

W zależności od szczepu oraz stopnia skomplikowania, infostealery wykorzystują różne techniki w celu wyodrębnienia danych z zainfekowanego systemu. Mogą to być zarówno proste skrypty, jak i wyrafinowane modułowe oprogramowanie umożliwiające głęboką infiltrację systemu lub sieci. Dane mogą być również wykradane poprzez narzędzia wbudowane w system operacyjny – jest to tzw. atak LOTL (Living Off The Land).

Do zwiększenia skuteczności infostealery mogą wykorzystywać podatności oraz luki w oprogramowaniu.

Najpopularniejsze techniki działania infostealerów

• Browser session hijacking – przejęcie sesji przeglądarki poprzez kradzież plików cookie i tokenów sesji.
• Clipboard hijacking – przechwytywanie i modyfikowanie danych kopiowanych do schowka.
• Credential dumping – wyodrębnianie danych uwierzytelniających zapisanych w systemie.
• Crypto-Wallet Harvesting – kradzież kluczy prywatnych z portfeli kryptowalut.
• Email harvesting – skanowanie wiadomości i plików w celu zdobycia adresów e-mail.
• Form grabbing – przechwytywanie danych z formularzy przed ich zaszyfrowaniem.
• Keylogging – rejestrowanie naciśnięć klawiszy.
• Man-in-the-Browser – wstrzyknięcie złośliwego kodu do przeglądarki.
• Screen capturing – wykonywanie zrzutów ekranu w kluczowych momentach.

Najpowszechniejsze szczepy złośliwego oprogramowania

Z uwagi na ciągłą ewolucję malware oraz pojawianie się nowych wariantów, oszacowanie liczby szczepów infostealerów jest trudne. Eksperci przyznają, że istnieją setki lub nawet tysiące szczepów. Na potrzeby tego artykułu wyróżniono następujące:

Agent Tesla

Znany szczep infostealera działający jako keylogger oraz RAT, odkryty w 2014 roku. Jego dystrybucja odbywa się głównie przez złośliwe załączniki w wiadomościach e-mail.

AZORult

Odkryty w 2020 roku infostealer, znany z kradzieży plików cookie, historii przeglądania, haseł oraz danych z portfeli kryptowalut.

LokiBot

Odkryty w 2015 roku, kradnie dane uwierzytelniające, portfele kryptowalut i może pobierać dodatkowe złośliwe moduły.

Raccoon Stealer

Złośliwe oprogramowanie z 2019 roku, popularne wśród początkujących cyberprzestępców ze względu na prostotę obsługi.

Redline Stealer

Odkryty w 2020 roku infostealer kradnący hasła i dane kart, a także zbierający informacje o środowisku systemowym.

TrickBot

Wielozadaniowy infostealer odkryty w 2016 roku, który ewoluował w narzędzie wykorzystywane także do ataków ransomware.

Ursnif (Gozi)

Trojan bankowy znany z wyrafinowanych technik unikania wykrycia i kradzieży danych finansowych.

Zeus (Zbot)

Jeden z najsłynniejszych infostealerów, używany od 2007 roku głównie do oszustw finansowych.

Trochę statystyki

W 2023 roku najczęściej wykorzystywanymi infostealerami były:

• Vidar – 1325 ataków (41,4%)
• LummaC2 – 571 ataków (17,8%)
• Stealc – 412 ataków (12,9%)
• Aurora Stealer – 179 ataków (5,6%)
• RedLine Stealer – 146 ataków (4,6%)

Pozostałe 17,7% stanowią mniej popularne warianty, takie jak: Vidar Variant, RisePro Stealer, MetaStealer, Atomic Stealer, Rhadamanthys Stealer, LummaC2 Variant, Nexus Stealer, Stealc Variant, Monster Stealer oraz inne.

Proliferacja dostawców infostealerów jako usług przyczyniła się do wzrostu liczby incydentów cyberbezpieczeństwa. Według badań Kaspersky z 2023 r. aż 24% złośliwego oprogramowania oferowanego jako usługa (MaaS) to infostealery.

Podsumowanie

Infostealery, stanowiące oddzielny typ złośliwego oprogramowania, z roku na rok stają się coraz bardziej popularne i odgrywają kluczową rolę w środkowych etapach cyberataku. Poprzez wykradanie danych kluczowych i istotnych dla osób i organizacji, są niezwykle groźnym narzędziem w rękach cyberprzestępców.