Infostealeri kao gorivo za velike sajber napade
Sirov paket podataka pokupljen sa jednog zaraženog računara na kriminalnom tržištu ide za jedan do pedeset dolara. Provereni ulaz u kompaniju košta između 500 i 5.000, zavisno od toga koliko vrata otvara. U toj razlici u ceni stoji cela priča. Infostealer je malver koji sa zaraženog uređaja pokupi sve što pregledač i aplikacije čuvaju: lozinke, podatke za automatsko popunjavanje, pristupe VPN-u i poslovnim servisima, kripto-novčanike, kolačiće i tokene aktivnih sesija. Sve to pakuje u takozvani stealer log, zapis vezan za jedan uređaj. Paketi završavaju na tržištima gde se pretražuju po firmi, domenu, državi ili vrsti pristupa. Posrednici kupuju na veliko, izdvajaju logove sa poslovnim VPN-om, jedinstvenom prijavom ili administratorskim pristupom oblaku, provere da li pristup još radi i prodaju ga dalje. Kupci su grupe koje se bave krađom podataka, iznudom i ransomverom. Prema izveštaju firme Flare, samo tokom 2025. izloženo je 2,05 miliona logova sa poslovnim kredencijalima, a u 1,17 miliona njih bili su i kolačići aktivnih sesija. Cisco Talos je u prvom kvartalu 2026. zabeležio da su ukradeni kredencijali prestigli probijanje ranjivosti kao najčešći način ulaska u firme.
Infostealer je postao veza između naizgled benigne infekcije jednog računara i ozbiljnog napada na čitavu kompaniju. Kriminalni posao je podeljen između više učesnika. Jedni šire malver preko fišinga, krekovanih programa, lažnih ažuriranja i zlonamernih oglasa. Drugi prosejavaju ogromne količine ukradenih podataka i traže poslovne naloge, administratorske pristupe i prijave na servise u oblaku. Posrednici zatim prodaju već pronađen ulaz grupama koje imaju ljude i alate za kretanje kroz mrežu i pokretanje ransomvera. Najvredniji su kolačići i tokeni aktivnih sesija: ako su ukradeni dok još važe, napadač nastavlja već odobrenu sesiju, bez lozinke i bez MFA koda. To ne znači da je višefaktorska autentifikacija beskorisna, nego da ona čuva tok prijavljivanja, a ne već otvorenu sesiju. Vremena za reakciju je malo — podaci sa zaraženog računara na tržištu osvanu u roku od dva dana, a kupci ih upotrebe u naredna dva. Kod nas se ceo lanac obično svede na kućni računar sa kojeg neko skine krek za igricu, a sa istog tog računara roditelj se prijavljuje na firmin VPN. Nema tu naprednog napada ni probijene ranjivosti. Ima samo lozinke koja je vredela par dolara dok nije stigla do nekoga ko zna šta će s njom.
- Infekciju infostealerom tretiraj kao mogući početak šireg napada, a ne kao izolovan problem jednog računara
- Sa čistog uređaja promeni sve naloge korišćene na zaraženom računaru, uključujući one čije lozinke nisu bile sačuvane u pregledaču
- Opozovi aktivne sesije, pristupne tokene, aplikacijske lozinke, API ključeve i sumnjive OAuth dozvole, i skrati trajanje sesija za osetljive sisteme
- Proveri poslovni VPN, udaljeni pristup, Microsoft 365, administrativne panele i servise u oblaku, pa pregledaj prijave, promene MFA podešavanja i pristupe sa novih uređaja i neuobičajenih lokacija
- Prati pojavljivanje domena organizacije u stealer logovima, ali svaki nalaz proveri kroz sopstvenu evidenciju uređaja i prijava