Een infostealer is malware die inloggegevens van een apparaat steelt: wachtwoorden, maar ook browsercookies en actieve sessies. Met die sessie is een aanvaller al binnen, zonder je wachtwoord opnieuw in te voeren en zonder je tweefactorauthenticatie te hoeven passeren. Die stap is namelijk al gezet.

Infostealers groeien hard. Beveiligingsbedrijf ESET detecteerde in één jaar meer dan 33.000 infostealer-aanvallen in Nederland. Een deel van die malware is als kant-en-klare dienst te koop, waardoor ook aanvallers met weinig technische kennis ermee aan de slag kunnen.

Het lastige is dat je er weinig van merkt. Een infostealer legt niets plat en versleutelt niets. Hij verzamelt stil je gegevens en verdwijnt weer. Vaak wordt pas duidelijk dat er iets mis is als een account al misbruikt wordt.

In deze blog lees je hoe infostealers werken, hoe ze een organisatie binnenkomen en waarom je bestaande beveiliging ze vaak niet opmerkt.

Wat is een infostealer?

Infostealers bestaan al jaren, maar ze zijn de laatste tijd veel gevaarlijker geworden. Dat komt door wat ze stelen. Vroeger ging het vooral om wachtwoorden. Nu nemen ze ook de cookies en sessietokens mee waarmee je al bent ingelogd.

De malware komt binnen via een bijlage in een phishingmail, een nepdownload of illegale software. Eenmaal actief zoekt hij naar opgeslagen wachtwoorden, cookies, sessietokens en soms bestanden. Die stuurt hij door naar de aanvaller. Daarna verdwijnt hij weer.

Het hele proces duurt vaak maar seconden. En het valt nauwelijks op, want er gaat niets kapot. Je computer werkt gewoon door.

Wat gebeurt er met de gestolen gegevens?

De buitgemaakte gegevens worden verzameld in bestanden die stealer logs heten. Die worden verhandeld op marktplaatsen op het darkweb, via fora of via Telegram-kanalen. Andere criminelen kopen ze en gebruiken ze voor een volgende aanval.

Zo ontstaat een keten. De partij die de gegevens steelt, is vaak niet de partij die ze misbruikt.

Waarom een gestolen sessie erger is dan een gestolen wachtwoord

Veel mensen denken dat ze veilig zijn met een sterk wachtwoord en tweefactorauthenticatie. Tegen een infostealer helpt dat maar beperkt.

Als je inlogt op een dienst, onthoudt je browser dat je bent ingelogd. Dat gebeurt met een sessiecookie. Zolang die cookie geldig is, hoef je niet opnieuw je wachtwoord of je tweede stap in te vullen. Handig voor jou, maar ook voor een aanvaller.

Een infostealer steelt die cookie. Wie de cookie heeft, neemt je sessie over. Hij hoeft je wachtwoord niet te kennen en je tweefactorauthenticatie niet te omzeilen, want die stappen zijn al gezet toen jij inlogde.

Dat is het verschil met vroeger. Een gestolen wachtwoord kun je resetten. Maar een aanvaller die je actieve sessie overneemt, is op dat moment gewoon binnen, als jou.

Ze breken niet in, ze loggen in

Dit is waarom infostealers zo lastig zijn. Er is geen inbraak in de klassieke zin. Geen geforceerde toegang, geen reeks mislukte inlogpogingen. Voor de systemen ziet het eruit als een normale gebruiker die normaal inlogt.

Hoe infostealers een bedrijf binnenkomen

De besmetting begint bijna altijd bij één apparaat. En vaak is dat een apparaat waar de organisatie geen zicht op heeft.

Een concreet voorbeeld

Bij het Snowflake-incident in 2024 kregen aanvallers op grote schaal toegang tot klantomgevingen. Niet doordat het platform zelf gehackt werd, maar doordat inloggegevens en sessies via onbeheerde apparaten waren buitgemaakt en daarna op een criminele marktplaats waren gekocht.

Waarom je beveiliging een gestolen sessie vaak niet ziet

De meeste beveiligingstools letten op wat er verdacht uitziet. Een reeks mislukte inlogpogingen. Een aanmelding vanaf een vreemde locatie. Software die zich vreemd gedraagt.

Een overgenomen sessie geeft niets van dat alles. De aanvaller heeft een geldige cookie en logt in als een echte gebruiker. Geen mislukte pogingen, geen wachtwoord dat gekraakt moet worden. Voor je systemen ziet het eruit als gewoon gebruik.

Detectie is moeilijker dan preventie

Je kunt veel doen om besmetting te voorkomen. Maar volledig tegenhouden lukt niet, want de zwakke plek zit vaak op een apparaat dat je niet beheert. Daarom is de tweede vraag net zo belangrijk als de eerste: als iemand met een gestolen sessie binnenkomt, zou je het dan merken?

Voor veel organisaties is het antwoord nee. De tooling staat aan, maar slaat niet aan op een login die er normaal uitziet.

Weten of je het zou merken

Dat is te testen. Door een aanval na te bootsen waarbij een geldige sessie wordt gebruikt, zie je in je eigen omgeving of je detectie afgaat. Dan weet je of je beveiliging doet wat je ervan verwacht, of dat een aanvaller ongezien binnen zou zijn.

Wat je tegen infostealers kunt doen

Je kunt infostealers niet volledig buiten de deur houden, want de zwakke plek zit vaak op een apparaat dat je niet beheert. Wel kun je de schade beperken en zorgen dat je het merkt als er iets misgaat.

Klaar zijn voor infostealers

Infostealers zijn lastig omdat ze twee zwakke plekken combineren. Ze komen binnen via apparaten die je niet beheert, en ze omzeilen de beveiliging waar je op vertrouwt.

Voorkomen lukt niet volledig. Daarom telt de tweede vraag net zo zwaar als de eerste: als iemand met een gestolen sessie binnenkomt, zou je het merken? Voor veel organisaties is dat antwoord op dit moment nee.

Wil je weten of je beveiliging een sessie-overname zou opmerken? Neem contact met ons op.

“We Got Your Back”

Veelgestelde vragen over infostealers