Infostealer malware biedt cybercriminelen een sluipende methode om toegang te krijgen tot de cloudomgevingen van bedrijven. Deze malware infecteert apparaten van werknemers of ontwikkelaars en steelt daarbij inloggegevens, API-sleutels en actieve sessies die door de organisatie al vertrouwd worden. De initiële infectie kan plaatsvinden via phishing-aanvallen, misleidende downloads of geïnfecteerde software-afhankelijkheden. Aanvallers maken hierbij gebruik van legitieme Windows-tools en kunnen gaming-gerelateerde bestanden voorzien van kwaadaardige code. Eenmaal actief, verzamelt de malware razendsnel browserdata en lokale ontwikkelaarsgeheimen.

De gestolen toegang wordt vervolgens doorverkocht aan andere criminelen. Operators van malware-as-a-service distribueren de 'stealers', terwijl gespecialiseerde partijen de gestolen logs doorzoeken, waardevolle accounts valideren en deze vervolgens opnieuw verkopen. Een enkele onvoorzichtige download kan na infectie leiden tot een significant cloudincident. Deze aanvallen stellen steeds vaker cloud-, code- en AI-omgevingen bloot aan risico's.

Een geldig gestolen token kan toegang verlenen tot cloudconsoles, codeopslagplaatsen, build-pipelines en AI-services, met potentiële datalekken of onverwacht hoge kosten als gevolg. Gestolen repository-tokens, SSH-sleutels of sessies van broncodebeheerplatforms kunnen privécode, CI/CD-variabelen en implementatie-instellingen blootleggen. GitHub-tokens waren goed voor ongeveer tien procent van de gestolen geheimen. Aanvallen op AI-platforms zijn goed voor vijf procent van de gestolen geheimen. Gestolen sleutels van AI-platforms kunnen leiden tot excessief verbruik van diensten ten koste van het slachtoffer, terwijl gestolen sessies interne chatgeschiedenissen kunnen onthullen.

Secrets gerelateerd aan AWS en Google Cloud vertegenwoordigden respectievelijk 46 procent en 13 procent van de gecompromitteerde geheimen. Toegangssleutels voor AWS die in configuratiebestanden van ontwikkelaars zijn opgeslagen, kunnen directe programmatische toegang bieden. Gecachede AWS SSO-tokens kunnen een aanvaller in staat stellen om nieuwe tijdelijke inloggegevens te verkrijgen. Binnen Azure kunnen lokale CLI- en identiteitscaches toegangstokens, vernieuwingstokens, tenantinformatie en accounts onthullen. Google Cloud-ontwikkelaarsmachines zijn eveneens aantrekkelijk, aangezien command-line inloggegevens en service-account sleutelpaden duurzame toegang kunnen bieden tot waardevolle productieprojecten.

Aanvallers hoeven vaak geen multi-factor authenticatie te omzeilen, omdat een sessietoken van de browser wordt aangemaakt nadat een legitieme gebruiker is ingelogd. Als malware dit token steelt en een aanvaller het in een andere browser laadt, kan de service de aanvaller beschouwen als de geauthenticeerde gebruiker. Langdurige inloggegevens vergroten deze mogelijkheid. Hoewel sterke multi-factor authenticatie belangrijk blijft, is het onvoldoende wanneer een aanvaller een geldig sessie kan afspelen. Persoonlijke of slecht beheerde apparaten van ontwikkelaars kunnen bevoorrechte bedrijfs toegang bevatten zonder dezelfde bedrijfsbeschermingen.

Supply-chain aanvallers richten zich nu op buildservers en CI/CD-processen zonder te vertrouwen op phishing. Het vastzetten van afhankelijkheden en het controleren van gedrag tijdens het bouwen worden ondersteund door geleerde lessen uit de LiteLLM supply-chain blootstelling. Lumma C2, RedLine en Vidar waren verantwoordelijk voor 85,7 procent van de gedetecteerde incidenten.

Een bevestigde infostealer-infectie moet worden behandeld als een identiteitsincident. Aanbevolen acties bij een infectie omvatten het isoleren van het getroffen apparaat, het onderzoeken van gebruikte accounts, het intrekken van actieve sessies, en het roteren van wachtwoorden, API-sleutels, SSH-sleutels, cloudcredentials en repository-tokens vanaf een schoon apparaat. Het is veiliger om getroffen eindpunten opnieuw op te bouwen vanaf schone bronnen dan om ervan uit te gaan dat het verwijderen van malware ook gestolen toegang elimineert.

Teams wordt aangeraden cloud-, identiteits-, broncodebeheer- en CI/CD-logs te controleren op onbekende sessies, nieuwe toegangssleutels, ongebruikelijke tokenactiviteit, wijzigingen in rollen en onverwachte repositories. Ze moeten ook monitoren op blootgestelde inloggegevens en sessies snel intrekken wanneer risicosignalen veranderen. Organisaties zouden apparaat-gebaseerde toegangscontroles moeten vereisen voor gevoelige diensten. Preventie moet gericht zijn op het verminderen van de waarde van gegevens die op eindpunten beschikbaar zijn. Er wordt geadviseerd om kortstondige credentials en workloadidentiteit waar mogelijk te gebruiken. Geheimen moeten worden beschermd met de keychain van het besturingssysteem of een beheerde kluis. Apparaten van ontwikkelaars moeten beheerd worden en permissies moeten nauwkeurig worden afgebakend.