Infostealere: Hvorfor lagring av jobbpassord i uadministrerte nettlesere er en kritisk risiko

En medarbeider laster ned et gratis PDF-verktøy på sin private datamaskin i helgen, klikker på den øverste sponsede lenken i søkemotoren og kjører installasjonsfilen. I løpet av et brøkdels sekund ser alt tilsynelatende normalt ut på skjermen: ingen varsler fra antiviruset, ingen mistenkelige forsinkelser. Likevel har en infostealer-skadevare nettopp hentet ut samtlige lagrede passord, aktive økt-cookies (session cookies) og autofyll-data som lå lagret i nettleseren.

Mandag morgen synkroniserer den samme medarbeideren sin private Chrome- eller Edge-profil med sin profesjonelle arbeidskonto, eller gjenbruker et lagret passord for å koble seg til bedriftens VPN. For en CISO og IT-sikkerhetsansvarlig starter marerittet her: Angriperen trengte verken å trenge gjennom brannmuren eller knekke avanserte krypteringsnøkler. De kjøpte rett og slett de stjålne påloggingsdataene på et undergrunnsforum, og logget seg direkte inn i virksomhetens interne systemer som om de var den legitime medarbeideren.

Hvordan stjeler infostealere bedriftstilganger fra private og uadministrerte enheter?#

Kort oppsummert: Infostealere infiltrerer maskiner via falsk programvare eller phishing og retter seg direkte mot nettleseres lokale SQLite-databaser. Skadevaren henter ut krypteringsnøkler fra minnet for å stjele passord i klartekst samt økt-cookies, noe som gjør at angripere kan omgå flerfaktorautentisering (MFA) direkte.

I motsetning til løsepengevirus (ransomware) som krypterer systemer for å kreve umiddelbare summer, opererer infostealere i fullstendig stillhet. Forretningsmodellen baserer seg på lynrask eksfiltrering av en datapakke (ofte kalt en "logg") som inneholder offerets komplette digitale fotavtrykk.

Angrepskjeden følger vanligvis faste trinn:

• Den innledende fellen: Brukeren søker etter et enkelt verktøy (dokumentvisning, spilloppdatering eller en falsk nettleserutvidelse for videomøter) og laster ned en kompromittert fil distribuert via malvertising (skadelige annonser i søkemotorer).
• Innbrudd i nettleserens lagring: Standard forbrukernettlesere lagrer påloggingsinformasjon i lokale databaser, kryptert via operativsystemets databeskyttelses-API (som DPAPI i Windows). Infostealeren, som kjører under brukerens egen kontekst og rettigheter, bruker de samme rettighetene til å dekryptere disse filene på millisekunder.
• Kapring av økt-cookies (Session Hijacking): Ved å hente ut aktive session cookies kan trusselaktøren gjenskape en gyldig skyøkt i virksomhetens systemer (som Microsoft 365 eller interne portaler) uten å taste inn passordet eller utløse et nytt varsel om flerfaktorautentisering (MFA).
• Dataeksfiltrering: Skadevaren komprimerer de innsamlede dataene og sender dem direkte til en Command and Control-server (C2) eller via automatiserte Telegram-boter.

I lys av NSMs grunnprinsipper for IKT-sikkerhet og nye regulatoriske rammeverk som Digitalsikkerhetsloven (NIS 2), utgjør kompromitterte identiteter en av de mest akutte truslene mot norske virksomheter i dag.

Synkronisering av nettleserprofiler: Den usynlige bakdøren inn i virksomheten#

Kort oppsummert: Skysynkronisering av nettleserprofiler mellom en usikret hjemmedatamaskin og en administrert jobbmaskin overfører automatisk bedriftens tilganger til et sårbart miljø. Dette eksponerer virksomhetens identiteter for skadevare i hjemmenettverket, helt utenfor IT-avdelingens innsyn.

Hjemmekontor og utstrakt bruk av personlige enheter har mangedoblet risikoen knyttet til nettlesere. Når en medarbeider aktiverer synkronisering av sin personlige Google- eller Microsoft-konto på sin arbeids-PC, kobles to miljøer sammen som strengt tatt burde vært fullstendig isolert fra hverandre.

Myten om nettleserens innebygde "passordhvelv"

Nettlesere foreslår rutinemessig å lagre passord for å gi en sømløs brukeropplevelse. Likevel kan aldri en uadministrert nettleser erstatte en dedikert passordbehandler for bedrifter:

• Nettleseren krever sjelden et separat hovedpassord for å hente ut legitimasjon i en aktiv innlogget økt.
• IT-sikkerhetsledelsen har ingen mulighet til å håndheve krav til passordkompleksitet, overvåke datalekkasjer eller utføre sentralisert tilgangstilbakekalling.
• Personlige underholdningskontoer blandes direkte med tilganger til virksomhetskritiske ERP-systemer, e-post og skybaserte administrasjonsgrensesnitt.

Dersom en privat PC i husholdningen rammes av en infostealer, blir samtlige synkroniserte passord kompromittert, inkludert virksomhetens mest sensitive tilganger.

Hvilke tekniske og menneskelige tiltak må iverksettes mot infostealere?#

For å stoppe denne angrepsvektoren må tekniske sperrer kombineres med målrettet kompetansebygging blant de ansatte. Både Datatilsynet (GDPR) og tilsynsmyndigheter som Finanstilsynet og DORA-forordningen stiller strenge krav til kontroll på tilgangsstyring og robusthet.

Teknisk sikring av arbeidsflaten

IT- og sikkerhetsavdelingen må etablere streng kontroll over nettleserbruken:

• Deaktiver innebygd passordlagring: Blokker lagring av passord i uadministrerte nettlesere via GPO eller MDM-profiler, og rull ut en dedikert virksomhetspassordbehandler.
• Isoler profiler: Forhindre at personlige kontoer kan synkroniseres på bedriftens administrerte datamaskiner.
• Reduser levetiden på cookies: Korter ned gyldigheten for web-økter i kritiske applikasjoner og krev fornyet autentisering med enhetssamsvar (Conditional Access).

Styrk sikkerhetskulturen i hele organisasjonen

Tekniske tiltak alene kan ikke forhindre at en ansatt omgår retningslinjer for å jobbe fra en privat datamaskin eller laster ned uverifiserte verktøy. Det er avgjørende at medarbeiderne forstår hvordan disse truslene faktisk fungerer i praksis, uten at opplæringen oppleves som langdryg eller moraliserende.

For å skape reell atferdsendring er engasjerende formater og praktisk erfaring den mest effektive metoden. Med Cyber Cup fra Brain Security utfordrer dere de ansatte i en spillbasert cybersikkerhetskonkurranse i arkadeformat. Gjennom korte økter på 3 minutter og resultatlister i sanntid, lærer medarbeiderne å oppdage fellene ved utrygge nedlastinger, forstå viktigheten av å skille jobb og privatliv, samt etablere gode reflekser for tilgangssikkerhet.

I møte med den massive utbredelsen av infostealere er medarbeidernes årvåkenhet virksomhetens fremste førstelinjeforsvar. For å oppdage hvordan dere kan styrke deres opplæringsstrategi med involverende metoder, ta kontakt med oss for en samtale i dag.

BRAIN SECURITY I PRAKSIS · Cyber Cup

Les videre: relaterte artikler og løsninger fra Brain Security#

Relaterte artikler om dette temaet

• Hvor ofte bør man kjøre phishing-simuleringer: Riktig frekvens for norske virksomheter (Phishing & Social Engineering) : Hvor ofte bør dere teste ansatte mot phishing? Finn balansen som bygger årvåkenhet uten å overbelaste organisasjonen eller skape varslingstretthet.
• Scareware og falske nettleseradvarsler: Lær de ansatte å gjenkjenne nettbaserte feller (Phishing & Social Engineering) : Stopp scareware og falske virusadvarsler. Lær hvordan ClickFix fungerer, og tren de ansatte i å sikre nettleseren i tråd med NSMs prinsipper.
• Phishingsimulering i virksomheten: Fra straffende felle til nyttig trening (Phishing & Social Engineering) : Lær hvordan du transformerer phishingsimuleringer fra en mistenkeliggjort felle til engasjerende læring for de ansatte. Brain Security viser veien.
• Sikkerhetsplakater: Hvorfor skremselspropaganda ikke fungerer (og hva du bør gjøre i stedet) (Events & Arcade) : Lær hvordan du lager engasjerende sikkerhetsplakater med moderne pop-kultur og interaktive QR-koder for å styrke sikkerhetskulturen i virksomheten.

Utforsk Brain Securitys løsninger på nettstedet vårt

• Tilknyttet løsning : Cyber Cup : Intern cybersikkerhetsturnering: korte lagkamper som bygger varige sikkerhetsvaner i hele virksomheten.
• Se bruksområder etter mål og bransje
• Sammenlign våre formater for cyber- og AI-bevissthet
• Utforsk hele den interaktive katalogen fra Brain Security
• Snakk med teamet vårt om deres behov (demo og oppsett)