Infostealer-Malware

Infostealer-Malware ist ein Programm, das jemand ohne Wissen des Nutzers auf einem fremden Computer laufen lässt. Sein einziges Ziel ist es, Informationen zu sammeln und wegzuschicken. Es sucht nach gespeicherten Passwörtern, nach Zugangsdaten für Online-Banking, nach Kreditkartennummern und nach Dateien mit persönlichen Daten. Anders als ein Erpressungsprogramm, das den Rechner sperrt und Geld fordert, will ein Infostealer möglichst unbemerkt bleiben. Der Nutzer merkt oft monatelang nichts, weil sich am Computer äußerlich nichts ändert. Der Name kommt aus dem Englischen: „information stealer“ heißt schlicht Informationsdieb.

Warum gestohlene Zugangsdaten so wertvoll sind

Ein einzelnes Passwort öffnet heute selten nur eine Tür. Viele Menschen benutzen dieselbe Kombination für mehrere Dienste. Wer also die Zugangsdaten für ein Forum erbeutet, kommt damit manchmal auch ins Mailkonto. Und das Mailkonto ist der Generalschlüssel, denn über „Passwort vergessen“ lassen sich damit weitere Konten übernehmen.

Besonders heikel sind gestohlene Sitzungsdaten, sogenannte Cookies. Das sind kleine Dateien, die dem Browser bestätigen: Dieser Nutzer hat sich bereits angemeldet. Wer solche Dateien kopiert, kann sich in ein Konto einloggen, ohne das Passwort zu kennen. Auch eine Bestätigung per Handy hilft dann nicht mehr, weil die Anmeldung ja schon erledigt scheint.

Für Unternehmen ist das ein ernstes Risiko. Wenn ein Mitarbeiter privat einen Infostealer einfängt, landen manchmal auch dienstliche Firmenzugänge im Datenpaket. Sicherheitsforscher berichten regelmäßig von Angriffen auf große Firmen, die genau so begonnen haben. Der eigentliche Einbruch passiert dann Wochen später, mit ganz normalen, gültigen Zugangsdaten.

Vom Klick bis zum Datenpaket

Der Weg auf den Rechner führt fast immer über eine freiwillige Handlung. Jemand lädt eine geknackte Version eines teuren Programms herunter. Oder er installiert ein angebliches Grafiktreiber-Update, das ein Video in der Beschreibung empfiehlt. Auch gefälschte Browser-Erweiterungen und E-Mail-Anhänge sind übliche Wege. Die Schadsoftware liegt dabei oft in einer Datei, die wirklich auch das Versprochene tut.

Ist das Programm gestartet, durchsucht es gezielt bekannte Speicherorte. Browser legen gespeicherte Passwörter in bestimmten Dateien ab, und der Infostealer weiß genau, wo. Dazu kommen Chatprogramme, Spieleplattformen und Wallets für Kryptowährungen. Alles Gefundene wird in ein Archiv gepackt und über das Internet an einen Server der Angreifer geschickt. Der ganze Vorgang dauert oft weniger als eine Minute.

Viele dieser Programme werden heute als Dienstleistung vermietet. Kriminelle zahlen eine monatliche Gebühr und bekommen dafür die fertige Software plus eine Weboberfläche zur Auswertung. Das senkt die technische Hürde erheblich. Die Beute wird in Paketen weiterverkauft, oft als „Logs“ bezeichnet, und ein einzelner Datensatz kostet auf entsprechenden Marktplätzen nur wenige Euro.

Datenlecks in den Nachrichten und der Schutz im Alltag

Wenn in den Nachrichten von Millionen geleakter Passwörter die Rede ist, stammt ein großer Teil davon aus Infostealern. Solche Sammlungen entstehen nicht durch einen einzigen Einbruch bei einem Konzern. Sie sind Zusammenstellungen aus unzähligen infizierten Privatrechnern. Dienste wie „Have I Been Pwned“ gleichen solche Listen ab und zeigen an, ob die eigene Mailadresse betroffen ist.

Der wirksamste Schutz ist unspektakulär. Programme nur aus offiziellen Quellen installieren, besonders keine geknackte Software. Für jeden Dienst ein eigenes Passwort verwenden, am besten über einen Passwortmanager. Und dort, wo es geht, die Anmeldung mit einem zweiten Faktor absichern.

Ein verbreiteter Irrtum lautet, ein Virenscanner erkenne so etwas immer. Infostealer werden aber ständig leicht verändert, damit sie neu und unbekannt wirken. Wer den Verdacht hat, betroffen zu sein, sollte nicht nur die Passwörter ändern, sondern auch alle aktiven Sitzungen beenden. Sonst bleiben die gestohlenen Cookies weiter gültig, und die Angreifer sind trotz neuem Passwort noch angemeldet.