infostealer

Infostealer to złośliwe oprogramowanie wyspecjalizowane w wykradaniu danych z zainfekowanego komputera: zapisanych w przeglądarce haseł, ciasteczek, informacji o systemie i danych logowania do popularnych aplikacji ^[1]. CERT Polska opisuje je jako „szkodliwe oprogramowanie typu infostealer”, którego celem jest zainfekowanie komputera ofiary ^[1]. Skradzione dane uwierzytelniające trafiają do przestępców i służą do logowania się do usług ofiary, także do panelu jej strony internetowej ^[5].

Jak działa

Infostealer zwykle nie przychodzi sam. W kampanii opisanej przez CERT Polska w lutym 2023 roku ofiara dostawała e-mail podszywający się pod Główny Urząd Statystyczny, a załącznik był plikiem wykonywalnym z rodziny GuLoader, który pobierał właściwy program kradnący, Agent Tesla ^[1]. Takie programy pośredniczące nazywa się dropperami albo loaderami.

Po uruchomieniu infostealer przegląda typowe miejsca, w których system i aplikacje trzymają sekrety. Strela Stealer, przeanalizowany przez Sekuraka w kwietniu 2025 roku, kopiuje z profilu Thunderbirda pliki key4.db i logins.json, a z rejestru Windows odczytuje dane kont IMAP programu Outlook ^[2]. Zebrane dane są szyfrowane i wysyłane żądaniem HTTP POST do serwera C2 (command and control) ^[2]. Agent Tesla według CERT Polska wysyła łup e-mailem, przez FTP albo przez Telegram i Discord ^[1]. To klasyczna eksfiltracja danych.

RYS. 1Od załącznika do logowania w panelu

Szczególnie cenne są ciasteczka sesji. MITRE ATT&CK opisuje technikę kradzieży ciasteczka sesji aplikacji webowej, które pozwala wejść do usługi jako zalogowany użytkownik bez znajomości hasła ^[3]. Według MITRE takie ciasteczka mogą ominąć niektóre protokoły uwierzytelniania wieloskładnikowego ^[3]. To prosta droga do przejęcia sesji, bo token sesyjny jest już po etapie logowania.

Rodziny i model działania

Infostealery sprzedaje się jak usługę. Microsoft opisał Lummę jako malware-as-a-service (MaaS): autor oferował subskrypcje od 250 do 20 000 dolarów, a klienci mogli budować własne warianty i śledzić skradzione dane w portalu ^[4]. Lumma rozchodziła się przez spear phishing i malvertising ^[4].

MITRE wymienia kolejne rodziny, które zbierają ciasteczka z przeglądarek Chrome, Firefox, Edge i Safari, między innymi RedLine, Raccoon i Lumma ^[3].

W WordPressie

Infostealer nie atakuje strony bezpośrednio. Atakuje komputer osoby, która nią zarządza, a stronę przejmuje się potem legalnym logowaniem. Nie jest to więc podatność w rdzeniu, wtyczce ani motywie, tylko wyciek poświadczeń.

Dobrze to pokazuje kampania opisana przez GoDaddy Security w październiku 2024 roku. W fali z 2 i 3 września 2024 roku ktoś logował się do WordPressa prawidłowymi danymi administratora i od razu instalował fałszywą wtyczkę ^[5]. Zespół podał, że dotknęło to ponad 6000 domen, a łańcuch ataku nie wykorzystywał żadnej znanej podatności ^[5]. Jako prawdopodobne źródło danych logowania raport wskazuje infekcje komputerów właścicieli stron i infostealery takie jak Vidar ^[5]. Wtyczki podsuwały z kolei odwiedzającym fałszywe aktualizacje przeglądarki, czyli kolejne infostealery ^[5]. Strona staje się więc jednocześnie ofiarą i kanałem dystrybucji.

Po zalogowaniu WordPress ustawia ciasteczko wordpress_logged_in_[hash], a dla obszaru /wp-admin/ ciasteczko wordpress_[hash] ^[6]. Zawierają nazwę użytkownika, czas wygaśnięcia i skrót potwierdzający ważność sesji ^[6]. Ciasteczko przestaje działać po zmianie hasła albo po upływie czasu ważności ^[6]. Skradzione przez infostealer ciasteczko administratora działa więc, dopóki nie wygaśnie albo dopóki hasło nie zostanie zmienione.

Zagrożenia i skutki

• Przejęcie konta administratora strony, poczty albo panelu hostingu.
• Instalacja webshella albo fałszywej wtyczki i dalsze złośliwe przekierowania.
• Handel poświadczeniami. Dostęp zdobyty infostealerem odsprzedaje broker początkowego dostępu, a Microsoft wskazuje, że z Lummy korzystali także operatorzy ransomware, na przykład grupa Octo Tempest (Scattered Spider) ^[4].
• Kradzież pieniędzy: Lumma według Microsoftu kradła dane kart, kont bankowych i portfeli kryptowalut ^[4].

Jak się bronić

Po infekcji CERT Polska zaleca odłączyć urządzenie od sieci i z innego, czystego urządzenia zmienić wszystkie hasła, które były na nim zapisane ^[1]. System najlepiej zainstalować od nowa; program antywirusowy według CERT Polska nie daje gwarancji pełnego usunięcia szkodnika ^[1].

W WordPressie zmiana hasła unieważnia ciasteczka logowania ^[6]. Na ekranie profilu jest też przycisk „Log Out Everywhere Else”, który wylogowuje z innych urządzeń ^[7]. Dokumentacja WordPressa opisuje logowanie dwuetapowe jako użycie dwóch z trzech składników, zwykle hasła i telefonu, i wymienia wtyczki, które je wdrażają ^[8]. GoDaddy zaleca silne hasła administratorów, MFA i przegląd zainstalowanych wtyczek ^[5]. Trzeba jednak pamiętać, że skradzione ciasteczko sesji może ominąć część zabezpieczeń MFA ^[3], więc po infekcji sama zmiana hasła i wylogowanie wszystkich sesji są konieczne.

Historia i przykłady

21 maja 2025 roku Microsoft ogłosił akcję przeciw Lummie. Między 16 marca a 16 maja 2025 roku firma wykryła ponad 394 000 zainfekowanych komputerów z Windows, a na podstawie nakazu sądowego zajęto około 2300 domen infrastruktury szkodnika ^[4]. W Polsce CERT Polska w lutym 2023 roku opisał kampanię z Agent Tesla podszywającą się pod GUS ^[1], a Sekurak w kwietniu 2025 roku wskazał grupę Hive0145, działającą jako broker początkowego dostępu, jako prawdopodobnie jedynego operatora Strela Stealera ^[2].