Het verschijnen van het wachtwoord van een medewerker in een infostealer log is tegenwoordig een operationeel beveiligingsprobleem voor organisaties. Vaak begint een beveiligingsanalist de dag met een melding dat een bedrijfs-e-mailadres is teruggevonden in een recent verzamelde log, inclusief gebruikersnaam en wachtwoord voor een SaaS-applicatie. Naast deze credentials kunnen ook browsercookies en andere opgeslagen inloggegevens in de log staan, wat live sessies exploiteerbaar maakt.

Een voorbeeld is een persoonlijke computer van een medewerker die besmet raakte met malware zoals Vidar, op honderden kilometers afstand van het bedrijf. Het resetten van het wachtwoord lijkt dan een logische stap, maar lost niet altijd het probleem op. Als een aanvaller een geauthenticeerde sessiecookie heeft bemachtigd, kan die zonder wachtwoord of extra MFA-prompt toegang krijgen tot de applicatie. Bovendien kan het apparaat waarop de besmetting plaatsvond een niet-beheerde persoonlijke endpoint zijn, waardoor de organisatie minder controle heeft over de bron van de blootstelling. Ondertussen kan dezelfde informatie al circuleren in een ondergrondse Telegram-groep, waar aanvallers zoals initial access brokers of ransomware affiliates toegang tot deze data krijgen.

Volgens onderzoek van Flare blijkt dat ongeveer 46% van de logs met bedrijfscredentials afkomstig is van vermoedelijk niet-beheerde of persoonlijke apparaten. Daarnaast groeit het aantal blootstellingen van credentials en sessies voor belangrijke SaaS- en cloudservices jaarlijks met circa 29%. Voor beveiligingsteams is het niet langer de vraag of ze infostealer logs moeten monitoren, maar hoe ze onderscheid kunnen maken tussen oude, onbeduidende wachtwoorden en actuele identiteitscompromitteringen.

Infostealers zoals RedLine, Lumma en Vidar zijn ontworpen om informatie te verzamelen die op geïnfecteerde systemen is opgeslagen, waaronder opgeslagen browserwachtwoorden, cookies, autofill-gegevens, cryptocurrency wallets, systeeminformatie en VPN-configuraties. Eén infectie kan honderden tot duizenden individuele records opleveren, wat leidt tot een enorme hoeveelheid data die beveiligers moeten verwerken. Aanvallers hebben echter maar één bruikbare set credentials nodig om succesvol te zijn. Flare benadrukt dat het probleem niet is het vinden van een naald in een hooiberg, maar het vinden van een specifieke naald tussen miljoenen naalden in miljoenen hooibergen.

Waar infostealer logs vroeger vooral via underground forums en marktplaatsen circuleerden, verschijnen nu ongeveer 90% van deze logs op Telegram, waar publieke kanalen samples delen en privékanalen toegang bieden tot nieuwere datasets.

Een bijzonder risico vormen gestolen sessiecookies die de MFA kunnen omzeilen. Deze cookies geven een live, geauthenticeerde sessie zonder dat een wachtwoord of MFA-prompt nodig is. Door real-time monitoring van stealer logs op het dark web en Telegram kunnen organisaties blootgestelde bedrijfsidentiteiten en sessies signaleren voordat er sprake is van accountovername, zoals beschreven in Is a Stolen Session Cookie Already Bypassing Your MFA?.

Door de grote hoeveelheid data en meldingen is het lastig om het risico te prioriteren. Zo kan een melding gaan over een oud wachtwoord van een consumentensite, terwijl een andere melding een actuele bedrijfscredential betreft die direct exploiteerbaar is. Dit maakt het noodzakelijk om context en actuele dreigingsinformatie te combineren voor effectieve incidentrespons.