Stealery są zwykle krótkimi gośćmi: wykonują się, zbierają magazyny poświadczeń przeglądarki, ciasteczka, dane autouzupełniania, portfele kryptowalut i dokumenty, przesyłają archiwum i usuwają się — czasem zanim właściciel cokolwiek zauważy. Zebrane „logi" zasilają podziemny rynek, na którym brokerzy dostępu odsprzedają je operatorom popełniającym oszustwa lub przygotowującym intruzje, w tym do środowisk korporacyjnych osiąganych przez konta osobiste i zapisane sesje.
Szkody następcze rutynowo przetrwają infekcję. Skradzione ciasteczka sesji omijają hasła całkowicie, zapisane poświadczenia firmowe zamieniają infekcję urządzenia osobistego w przyczółek korporacyjny, a sama zmiana hasła nie unieważnia tokenów ani nie ostrzega o kontach, o których ofiara zapomniała, że były zapisane.
Najważniejsze punkty
Cele zbieraniaMagazyny poświadczeń i ciasteczek przeglądarki, dane autouzupełniania i płatnicze, tokeny sesji, pliki i dokumenty, dane portfeli oraz odciski systemu (fingerprint), które pomagają kupcom wycenić i wycelować ofiarę.
Zakres reakcjiZresetuj każde poświadczenie zapisane na urządzeniu — nie tylko używane — unieważnij aktywne sesje i tokeny, przejrzyj aktywność kont pod kątem użycia skradzionego materiału i sprawdź, czy urządzenie miało dostęp korporacyjny lub do klientów.
PrewencjaOchrona punktów końcowych i kontrola wykonania, ograniczenie miejsc przechowywania poświadczeń, uwierzytelnianie odporne na phishing dla kont wysokiej wartości oraz higiena przy pobraniach, crackach i niepodpisanych narzędziach niosących stealery.
Istotne ograniczenieUsunięcie złośliwego oprogramowania nie cofa kradzieży — dane są już sprzedane lub przygotowane do użycia. Czysty skan po fakcie nic nie mówi o tym, które poświadczenia zostały już zabrane, a wykrycie stealera często przychodzi dopiero przy użyciu skradzionego dostępu.