Schnelle Session-Übernahme: Wie Stealer-Malware Unternehmen bedroht

LONDON (IT BOLTWISE) – In der modernen Cyberwelt hat sich die Bedrohung durch Stealer-Malware erheblich weiterentwickelt. Während früher vor allem Passwörter im Visier standen, sind es heute die aktiven Sitzungen, die ins Visier der Angreifer geraten. Diese Entwicklung stellt eine erhebliche Gefahr für Unternehmen dar, da Angreifer in der Lage sind, innerhalb von weniger als 24 Stunden auf Unternehmensressourcen zuzugreifen.

In der heutigen digitalen Landschaft hat sich die Bedrohung durch Stealer-Malware dramatisch verändert. Diese Schadsoftware, die einst hauptsächlich für den Diebstahl von Passwörtern bekannt war, hat sich weiterentwickelt und zielt nun auf aktive Sitzungen ab. Diese Entwicklung stellt eine erhebliche Gefahr für Unternehmen dar, da Angreifer in der Lage sind, innerhalb von weniger als 24 Stunden auf Unternehmensressourcen zuzugreifen.

Die Forschung von Flare zeigt, dass Angreifer infizierte Endpunkte von Mitarbeitern nutzen, um Unternehmenssitzungen zu kapern. Diese Angriffe beginnen oft mit der Ausführung eines bösartigen Payloads, das als geknackte Software, gefälschte Updates oder Phishing-Anhänge getarnt ist. Bekannte Stealer wie Redline, Raccoon und LummaC2 übernehmen dann die Kontrolle und extrahieren Browser-Cookies, gespeicherte Anmeldedaten, Sitzungstokens und Krypto-Wallets.

Innerhalb von Minuten wird die gestohlene Datenmenge über Telegram-Bots oder Command-and-Control-Server exfiltriert. Die Angreifer konzentrieren sich auf hochgradig wertvolle Sitzungstokens, die ihnen Zugang zu Microsoft-, Google- und Cloud-Diensten wie AWS, Azure oder GCP verschaffen. Diese Tokens werden in Telegram-Kanälen gehandelt, wobei der Preis für gestohlene Sitzungen je nach Wert stark variiert.

Einmal im Besitz der Sitzungstokens, importieren Angreifer diese in Anti-Detect-Browser, um nahtlosen Zugang zu geschäftskritischen Plattformen zu erhalten, ohne dass MFA oder Login-Warnungen ausgelöst werden. Dies ermöglicht es ihnen, auf Geschäftsemails, interne Tools und Cloud-Plattformen zuzugreifen, sensible Daten zu exfiltrieren und Ransomware zu verbreiten.

Die Bedrohung durch diese Art von Angriffen ist enorm, da Millionen von gültigen Sitzungen wöchentlich gestohlen und verkauft werden. Die Angriffe resultieren nicht aus Sicherheitsverletzungen bei großen Dienstanbietern, sondern aus der Infektion einzelner Benutzer durch Stealer-Malware. Diese Angriffe unterstreichen die Notwendigkeit eines neuen Verteidigungsansatzes, bei dem Sitzungstokens genauso kritisch wie Passwörter behandelt werden.

Um sich zu schützen, sollten Unternehmen alle aktiven Sitzungen sofort nach einem Endpunktkompromiss widerrufen und den Netzwerkverkehr auf Telegram-Domains überwachen. Die Verwendung von Browser-Fingerprinting und Anomalieerkennung kann helfen, verdächtige Sitzungsnutzung zu identifizieren. Die Anpassung der Verteidigungsstrategien an diese neue Realität ist entscheidend, um schnell agierende Bedrohungsakteure zu stoppen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!