Infostealers : Hvorfor lagring af arbejdsadgangskoder i uadministrerede browsere udgør en kritisk risiko

En medarbejder installerer en gratis PDF-konverter på sin private pc i weekenden, klikker på det øverste sponsorerede link i søgemaskinen og kører eksekveringsfilen. På brøkdelen af et sekund sker der tilsyneladende ingenting på skærmen: ingen advarselsbokse, ingen mistænkelig nedgang i ydeevnen. Ikke desto mindre har en infostealer-malware netop udtrukket samtlige gemte legitimationsoplysninger, aktive sessionscookies og autofyld-data, der lå lagret i webbrowseren.

Mandag morgen synkroniserer den samme medarbejder sin personlige profil i Chrome eller Edge med sin arbejdsmaskine eller genbruger en gemt adgangskode til virksomhedens VPN. For CISO'en og it-sikkerhedsafdelingen starter mareridtet her: Angriberen behøvede hverken at forcere en avanceret firewall eller knække komplekse krypteringsalgoritmer. De stjålne legitimationsoplysninger blev blot opkøbt på lukkede fora, hvorefter angriberen logger direkte ind i organisationens kernesystemer med medarbejderens legitime rettigheder.

Hvordan stjæler infostealer-malware virksomhedsadgange på private og professionelle enheder?#

Kort sagt: Infostealers infiltrerer enheder via ondsindet software eller phishing for at målrette lokale SQLite-databaser i browsere. Malwaren udtrækker krypteringsnøgler fra hukommelsen og stjæler gemte adgangskoder samt sessionscookies i klartekst, hvilket omgår multifaktor-godkendelse (MFA) direkte.

I modsætning til ransomware, der krypterer systemer og kræver løsesum under fuld opmærksomhed, opererer en infostealer i fuldstændig stilhed. Forretningsmodellen bygger på hurtig og uobserveret eksfiltrering af en samlet datapakke (ofte kaldet en "log"), som indeholder offerets samlede digitale identitet.

Angrebet udføres typisk gennem faste trin:

• Den indledende fælde: Brugeren søger efter et simpelt værktøj (en dokumentfremviser, en gaming-klient eller et falsk plugin til videomøder) og downloader en kompromitteret installationsfil, der promoveres via malvertising (ondsindede annoncer i søgeresultater).
• Udtrækning fra browserens boks: Almindelige forbrugerbrowsere lagrer adgangskoder i lokale databaser, som beskyttes af styresystemets indbyggede API'er. Da infostealeren kører i den aktuelle brugers kontekst, anvender den præcis samme rettigheder til at dekryptere disse filer på få millisekunder.
• Kapring af sessionscookies (Session Hijacking): Ved at stjæle aktive cookies kan trusselsaktøren genoptage en igangværende session i virksomhedens cloud-miljøer uden at taste adgangskoden eller udløse et MFA-prompt.
• Eksfiltrering af data: Malwaren komprimerer de indsamlede data og overfører dem direkte til en Command and Control-server (C2) eller en krypteret beskedbot.

Synkronisering af browserprofiler: Den usynlige indgang til virksomhedens netværk#

Kort sagt: Cloud-synkronisering af browserprofiler mellem en usikret hjemme-pc og en arbejdsstation overfører automatisk kritiske virksomhedsadgange til et sårbart miljø. Dermed eksponeres organisationens legitimationsoplysninger for malware i hjemmet uden it-afdelingens kendskab.

Udbredelsen af hybridarbejde og sammenblanding af enheder har forstærket sårbarhederne i browserlaget markant. Når en medarbejder aktiverer synkronisering af en privat Google- eller Microsoft-konto på arbejdscomputeren, nedbrydes adskillelsen mellem to miljøer, der burde holdes fuldstændigt isolerede.

Illusionen om browseren som sikker password manager

Moderne browsere opfordrer som standard brugeren til at gemme adgangskoder for bekvemmelighedens skyld. Men en browser er ikke en professionel adgangskodestyring:

• Den kræver sjældent et centralt master-password for at tilgå logins under en aktiv session.
• Den giver ikke it-afdelingen mulighed for at håndhæve regler om adgangskodestyrke, monitorere datalækager eller foretage central tilbagekaldelse.
• Den blander private underholdningstjenester sammen med adgang til ERP-systemer, e-mailkonti og administrative cloud-paneler.

Hvis familiens uadministrerede computer inficeres med en infostealer, kompromitteres hele det synkroniserede nøglebundt, inklusive organisationens mest følsomme adgange. Dette skaber store udfordringer i forhold til krav i NIS 2-loven, Datatilsynets retningslinjer for databeskyttelse og certificeringer som D-mærket.

Hvilke tekniske og menneskelige tiltag imødegår truslen fra infostealers?#

For at dæmme op for denne angrebsvektor skal tekniske restriktioner gå hånd i hånd med reel kompetenceudvikling af medarbejderne.

Teknisk afskærmning af arbejdsstationer

It-sikkerhedsansvarlige bør etablere klar kontrol over browseradfærd:

• Deaktivering af lokal lagring: Bloker muligheden for at gemme legitimationsoplysninger i browsere via GPO eller MDM-profiler, og udrul i stedet en godkendt, central password manager.
• Adskillelse af profiler: Forbyd synkronisering af personlige profiler på organisationens enheder.
• Kortere sessionstider: Reducer levetiden for webcookies på kritiske applikationer, og kræv genautentificering kombineret med betinget adgang baseret på enhedens compliance.

Styrkelse af organisationens sikkerhedskultur

Tekniske kontroller rækker kun et stykke ad vejen, hvis medarbejdere omgår retningslinjer ved at anvende private computere eller downloader usikre filer. Det er afgørende, at brugerne opbygger en reel forståelse for truslernes mekanismer uden at blive mødt af passiv og kedelig e-learning.

For at skabe et varigt engagement er praksisnære metoder og gamification yderst effektive. Med Cyber Cup fra Brain Security deltager medarbejderne i en engagerende cybersikkerhedsquiz bygget op som et arkadespil. Gennem korte sessioner på 3 minutter og realtids-leaderboards lærer personalet at gennemskue risici ved uautoriserede downloads, forstå nødvendigheden af at adskille privat- og arbejdsliv samt reagere hensigtsmæssigt ved mistænkelig adfærd.

I en tid med tiltagende malware-aktivitet udgør medarbejdernes viden jeres første aktive forsvarslinje. For at se hvordan interaktive læringsformater kan integreres i jeres sikkerhedsstrategi, kan I kontakte vores team for en gennemgang i dag.

BRAIN SECURITY I PRAKSIS · Cyber Cup

Læs videre: relaterede artikler og løsninger fra Brain Security#

Relaterede artikler om dette emne

• Hvor ofte bør I køre phishing-simuleringer: Den rette balance for jeres organisation (Phishing & Social Engineering) : Hvor ofte skal I teste jeres medarbejdere mod phishing? Find den rette kadence, der fastholder årvågenheden uden at overbelaste organisationen.
• Scareware og falske browseradvarsler: Laer medarbejderne at gennemskue webfaelder (Phishing & Social Engineering) : Bekaemp scareware og falske virusadvarsler. Forsta ClickFix taktikker og laer jeres medarbejdere at sikre browseren effektivt i hverdagen.
• Phishing-simulering i virksomheder: Fra straffende fælde til værdifuld træning (Phishing & Social Engineering) : Sådan forvandler I phishing-simuleringer fra en mistænkeliggørende fælde til effektiv læring. Brain Security styrker jeres cyberforsvar og kultur.
• De 7 kognitive bias hackere udnytter (og hvordan hjernen trænes til modstand) (Gamification) : Opdag hvordan cyberkriminelle manipulerer kognitive bias, og hvordan gamification opbygger stærke forsvarsreflekser mod social engineering.

Udforsk Brain Securitys løsninger på vores hjemmeside

• Relateret løsning : Cyber Cup : Intern cybersikkerhedsturnering: korte holdkampe, der skaber stærke sikkerhedsvaner på tværs af virksomheden.
• Se use cases efter sikkerhedsmål og branche
• Sammenlign vores formater til cyber- og AI-bevidsthed
• Udforsk hele det interaktive katalog fra Brain Security
• Tal med vores team om jeres behov (demo og opsætning)