Infostealer je malware, jehož hlavní cíl není počítač „rozbít“, ale ukrást z něj přihlašovací údaje, cookies, session tokeny, údaje z prohlížeče, peněženky ke kryptoměnám, platební údaje, cloudové klíče nebo vývojářské přístupy.
Bývá nenápadný a často stačí, aby uživatel spustil falešný instalátor, crack, „opravu“ z webu, přílohu z e-mailu nebo terminálový příkaz z podvodné stránky. Microsoft popisuje moderní infostealery jako hrozbu, která už dávno není jen pro Windows: cílí i na macOS, používá Python, falešné DMG instalátory, ClickFix triky a krade i data z prohlížečů, Keychainu, cloudových a vývojářských prostředí.
Navíc i “obyčejná” krádež cookies (sušenek) je malér, protože útočník často nepotřebuje znát heslo. Když získá platnou přihlašovací cookie nebo session token, může se tvářit jako uživatel, který už se přihlásil. MITRE ATT&CK to popisuje jako techniku, kdy útočník použije session cookies pro přístup do webových aplikací jako ověřený uživatel, a to bez znalosti přihlašovacích údajů.
Infostealer často neútočí jen na jeden účet. Ukradne celý „balíček identity“ z prohlížeče. To může znamenat e-mail, sociální sítě, banku, e-shop, cloud, firemní služby, WordPress, hosting, reklamní účty, domény, Discord, Steam, GitHub, správce hesel v prohlížeči i kryptoměny.
Proč jsou cookies a session tokeny tak nebezpečné
Po přihlášení do webu si prohlížeč uloží cookie nebo token, který říká „tenhle uživatel je už přihlášený“. Díky tomu nemusíte při každém kliknutí znovu zadávat heslo/ dvoufaktorový ověřovací kód.
Když útočník ukradne platnou session cookie, může ji vložit do svého prohlížeče nebo použít automatizovaným nástrojem a dostat se do účtu jako uživatel. Okta vysvětluje, že pokud útočník ukradne session cookie a uloží ji do svého prohlížeče, může se často dostat do stejné relace jako legitimní uživatel.
Co to umí a neumí:
- Umí obejít klasické přihlášení.
- Umí obejít situaci, kdy heslo uživatel nezadává znovu.
- Může obejít i MFA (dvoufaktor), protože MFA už proběhla při vytvoření relace.
- Ne vždy funguje dlouho. Záleží na službě, délce relace, ochranách, IP adrese, zařízení a chování služby.
- Některé služby umí tokeny zneplatnit při změně hesla nebo odhlášení všech zařízení, jiné méně spolehlivě.
Uživatel může mít pocit „mám dvoufaktor, jsem v bezpečí“. Jenže ten chrání hlavně proces přihlášení. Ukradená session cookie je problém po přihlášení. Čili MFA je velmi účinné proti ukradeným heslům, ale za určitých okolností může být obejita právě krádeží session cookies.
TIP: Uniklo vaše heslo? Změna hesla je nutná, ale sama o sobě nemusí stačit. Musíte také odhlásit všechna zařízení a zneplatnit aktivní relace.
Nutno dodat, Lidé často znají cookies jen z otravných lišt na webech. Jenže cookie může být i technický prvek, který drží přihlášenou relaci. Reklamní cookies jsou soukromí a sledování. Session cookies jsou bezpečnost a přístup. Oboje jsou „cookies“, ale dopad krádeže je úplně jiný.
Na darknetu a v kriminálních tržištích se neprodávají jen „hesla“, ale celé logy z infikovaných zařízení. Check Point popisuje ekosystém, kde se infostealery prodávají jako Malware-as-a-Service a ukradené logy se dále prodávají nebo směňují.
Jak se infostealer dostane do počítače
Typické cesty:
- falešný instalátor známé aplikace,
- crack, keygen, pirátská hra, aktivátor Windows/Office,
- falešná AI aplikace, PDF nástroj, video downloader,
- malvertising = škodlivá reklama ve vyhledávání,
- phishingový e-mail s přílohou,
- Discord/Telegram/WhatsApp soubor,
- falešný „návod“, který vás nutí vložit příkaz do Terminálu nebo PowerShellu,
- škodlivé rozšíření prohlížeče,
- kompromitovaná stránka nebo podvodná kopie známé služby.
Dnes se infostealer nemusí tvářit jako „virus“. Často vypadá jako nástroj, který uživatel sám hledal: PDF konvertor, AI pomocník, video kodek, faktura, plugin, hra, mod, crack, „oprava chyby“.
Co tedy zejména nedělat?
- nestahovat aplikace z reklam ve vyhledávači bez kontroly domény,
- nepoužívat cracky a keygeny,
- nevkládat příkazy do Terminálu/PowerShellu podle návodu z webu,
- neinstalovat rozšíření prohlížeče bez důvodu,
- neukládat firemní přístupy v osobním prohlížeči.
Jak poznat, že se něco stalo
Signály:
- upozornění na přihlášení z neznámého místa,
- změna hesla, kterou jste neudělali,
- e-maily o novém zařízení,
- zmizelé nebo přeposílané e-maily,
- změněný telefon/e-mail pro obnovu účtu,
- podivné zprávy odeslané z vašich účtů,
- nové OAuth aplikace napojené na Google/Microsoft/Facebook,
- nové rozšíření v prohlížeči,
- krátké záblesky oken terminálu,
- nezvyklé vytížení počítače,
- antivir hlásí něco, čemu nerozumíte,
- účty na sociálních sítích začnou spamovat,
- bankovní, reklamní nebo cloudové účty hlásí podezřelou aktivitu.
Ale pozor, sbsence příznaků nic neznamená. Infostealer může proběhnout rychle, odeslat data a smazat po sobě stopy.
Co udělat, když máte podezření na infostealer
Praktický postup pro běžného uživatele:
- Odpojit se od sítě, pokud je podezření čerstvé.
- Nepřihlašovat se z napadeného zařízení do dalších účtů.
- Z jiného, důvěryhodného zařízení změnit heslo k hlavnímu e-mailu.
- V hlavním e-mailu zkontrolovat:
- přeposílání,
- filtry,
- recovery e-mail,
- telefonní číslo,
- připojené aplikace,
- aktivní relace.
- Odhlásit všechna zařízení u Google, Microsoft, Apple, Facebooku, Instagramu, WordPressu, hostingu, banky, e-shopů.
- Změnit hesla ke kritickým účtům.
- Zapnout MFA, ideálně autentizační aplikaci, passkey nebo bezpečnostní klíč.
- Zkontrolovat správce hesel a změnit hesla, která byla uložena v prohlížeči.
- Spustit úplnou kontrolu systému aktualizovaným bezpečnostním nástrojem.
- U vážného podezření zvážit čistou reinstalaci systému.
- Zkontrolovat banku, platby, reklamní účty, domény, hosting, cloud.
- U firemních účtů okamžitě kontaktovat správce/IT.
Při podezření je mimo jiné vhodné ověřit úniky, provést důkladnou kontrolu zařízení, zvážit reinstalaci, měnit hesla z bezpečného zařízení, používat unikátní hesla, správce hesel a MFA. A pozor, samotná změna hesla nestačí, pokud je zařízení stále infikované. Proč? No, protože když změníte heslo na infikovaném počítači, můžete útočníkovi rovnou poslat i nové heslo nebo novou relaci.
Co ještě vědět
Mít antivirus/EDR je důležité, ale není kouzelný štít. Infostealery se snaží tvářit jako legitimní proces, používat systémové nástroje, šifrovat komunikaci, zneužívat běžné služby nebo rychle zmizet.
MFA, passkeys a hardwarové klíče chrání přihlašování. Session cookie ale vzniká až po úspěšném přihlášení. MFA tedy významné je, ale neochrání proti všemu.
Prohlížeče umí ukládat hesla. Samostatné správce hesel obvykle přidávají lepší správu, audit, sdílení, upozornění na úniky a silnější model práce s hlavním heslem nebo passkey. Infostealer typicky cílí právě na data v prohlížeči. Když má uživatel v prohlížeči uložené všechno, útočník může získat velmi bohatý balík. Je tedy vhodnější mít správce hesel a do prohlížeče hesla neukládat.
Infostealer na osobním počítači může ukrást firemní přístupy, pokud se z něj uživatel přihlašoval do práce, CRM, e-mailu, Slacku, účetnictví, GitHubu, hostingu nebo cloudu. A útok často nezačne na firemním serveru. Začne u osobního notebooku, kde někdo stáhl falešnou aplikaci nebo crack.
Tipy týkající se Bezpečného Internetu
