Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Infostealery to wyspecjalizowane złośliwe oprogramowanie zaprojektowane do wykradania danych uwierzytelniających, tokenów sesyjnych, artefaktów przeglądarkowych, danych portfeli kryptowalutowych oraz informacji o systemie. Ich znaczenie rośnie, ponieważ umożliwiają przejęcie legalnego dostępu do usług i środowisk firmowych bez konieczności wykorzystywania klasycznych luk bezpieczeństwa.
Z perspektywy obrony oznacza to wyraźne przesunięcie zagrożeń z ataków opartych na exploitach w kierunku ataków bazujących na tożsamości. Dla organizacji kompromitacja jednego endpointu może dziś oznaczać znacznie więcej niż utratę pojedynczego urządzenia — może stać się początkiem przejęcia kont, usług chmurowych i infrastruktury zdalnego dostępu.
W skrócie
Infostealery należą obecnie do najważniejszych źródeł przejętych poświadczeń wykorzystywanych przez operatorów ransomware i inne grupy cyberprzestępcze. Według przywoływanych danych w 2025 roku zainfekowanych zostało ponad 11,1 mln urządzeń, a do nielegalnego obiegu trafiło ponad 3,3 mld rekordów obejmujących loginy, hasła, ciasteczka, dane sesyjne i inne elementy tożsamości cyfrowej.
- atakujący uzyskują dostęp do legalnych kont bez potrzeby przełamywania zabezpieczeń metodą klasycznego włamania,
- model malware-as-a-service obniża próg wejścia dla mniej zaawansowanych przestępców,
- skradzione logi są dalej odsprzedawane lub wykorzystywane w kampaniach ransomware, oszustwach i przejęciach kont,
- kradzież tokenów sesyjnych zwiększa ryzyko obejścia części mechanizmów uwierzytelniania wieloskładnikowego.
Kontekst / historia
Przez wiele lat istotna część kampanii cyberataków zaczynała się od wykorzystania podatności, źle zabezpieczonej usługi lub phishingu prowadzącego bezpośrednio do wdrożenia kolejnego malware. Obecnie dla przestępców coraz cenniejsze stają się gotowe dane dostępowe, ponieważ umożliwiają wejście do środowiska ofiary jako pozornie legalny użytkownik.
Taki model jest szybszy, mniej widoczny i trudniejszy do wykrycia przez klasyczne mechanizmy bezpieczeństwa. Rozwój podziemnego rynku doprowadził do jego uprzemysłowienia: pojawiły się liczne rodziny infostealerów, ich warianty oraz oferty abonamentowe. W 2025 roku wśród najaktywniejszych rodzin wymieniano m.in. Lumma, Acreed, Rhadamanthys, Vidar i StealC, a początek 2026 roku przyniósł wyraźne zmiany udziałów i wzrost aktywności niektórych z nich. Pokazuje to, jak dynamicznie zmienia się ten segment zagrożeń.
Analiza techniczna
Typowy infostealer rozpoczyna działanie od sprawdzenia środowiska uruchomieniowego. Może analizować, czy nie działa w sandboxie, środowisku testowym albo pod obserwacją narzędzi bezpieczeństwa. Jeśli wykryje warunki wskazujące na analizę, często kończy działanie, aby ograniczyć szansę wykrycia.
Kolejnym etapem jest utrudnianie analizy statycznej. Kod bywa obfuskowany, a łańcuchy znaków szyfrowane i odszyfrowywane dopiero w pamięci. Dzięki temu malware trudniej zidentyfikować za pomocą prostych sygnatur opartych wyłącznie na plikach.
Po uruchomieniu infostealer zbiera szeroki zakres danych z systemu i aplikacji użytkownika. Najczęściej celem są:
- zapisane hasła do serwisów internetowych,
- poświadczenia do VPN, RDP, VNC i poczty,
- dane logowania do usług SaaS i środowisk chmurowych,
- informacje z menedżerów haseł,
- dane z autofill, w tym informacje osobowe,
- ciasteczka przeglądarkowe i aktywne tokeny sesyjne,
- artefakty przeglądarkowe, rozszerzenia i identyfikatory środowiska,
- dane kart płatniczych,
- informacje o portfelach kryptowalutowych, seedach i kluczach prywatnych.
Oprócz samych sekretów malware często pozyskuje też metadane systemowe, takie jak wersja systemu operacyjnego, konfiguracja sprzętowa czy adres IP. Taki kontekst podnosi wartość skradzionych danych, ponieważ pozwala przestępcom lepiej ocenić potencjał ofiary i dobrać sposób dalszego wykorzystania dostępu.
Zebrane informacje są następnie pakowane do tak zwanych stealer logs. Dane mogą zostać skompresowane i zaszyfrowane przed eksfiltracją do infrastruktury operatora. Na dalszym etapie logi są używane bezpośrednio przez atakujących albo sprzedawane innym grupom przestępczym, które wykorzystują je w ransomware, oszustwach finansowych, przejęciach kont czy atakach na łańcuch dostaw tożsamości.
Konsekwencje / ryzyko
Największe ryzyko wynika z faktu, że atakujący nie musi już włamywać się do środowiska wyłącznie przez klasyczne techniki. Dysponując ważnymi poświadczeniami lub aktywną sesją, może ominąć część mechanizmów ochronnych i działać z uprawnieniami prawdziwego użytkownika.
Dla organizacji oznacza to nie tylko wyższe prawdopodobieństwo przejęcia kont uprzywilejowanych, lecz także skrócenie czasu między infekcją stacji roboczej a wtórnym incydentem. W praktyce naruszenie może długo pozostawać niewidoczne, ponieważ aktywność napastnika przypomina normalne logowanie i standardowe użycie usług.
- wzrasta ryzyko przejęcia kont administracyjnych i uprzywilejowanych,
- możliwe staje się obejście części kontroli opartych na haśle,
- rośnie prawdopodobieństwo cichego rekonesansu przed wdrożeniem ransomware,
- użytkownicy prywatni są bardziej narażeni na kradzież tożsamości i środków finansowych,
- kompromitacja jednej przeglądarki może doprowadzić do naruszenia usług chmurowych i paneli administracyjnych.
Szczególnie niebezpieczne są skradzione tokeny sesyjne i ciasteczka. W niektórych scenariuszach pozwalają one ominąć dodatkowe warstwy uwierzytelniania i przejąć aktywną sesję bez potrzeby ponownego logowania.
Rekomendacje
Infostealery należy traktować jako zagrożenie tożsamościowe, a nie wyłącznie endpointowe. Skuteczna obrona wymaga połączenia zabezpieczeń stacji roboczych, kontroli dostępu, monitoringu sesji i reagowania na oznaki kompromitacji poświadczeń.
- wdrożenie MFA odpornego na phishing tam, gdzie to możliwe,
- ograniczenie przechowywania haseł i sekretów w przeglądarkach,
- stosowanie menedżerów haseł klasy enterprise,
- monitoring logowań oparty na ryzyku i wykrywaniu anomalii sesji,
- regularne unieważnianie sesji po wykryciu incydentu,
- rotacja haseł, kluczy i tokenów po podejrzeniu infekcji,
- segmentacja dostępu do usług krytycznych,
- wykorzystanie telemetrii EDR/XDR z naciskiem na procesy przeglądarek, pamięć i eksfiltrację,
- blokowanie uruchamiania nieautoryzowanych binariów i skryptów,
- szkolenia użytkowników dotyczące socjotechniki, fałszywych instalatorów i ryzyka pobierania nieznanego oprogramowania.
Warto także monitorować źródła wywiadu o zagrożeniach pod kątem obecności firmowych domen, poświadczeń i stealer logs w nielegalnym obiegu. Tego typu działania nie zastępują prewencji, ale mogą znacząco skrócić czas wykrycia i ograniczyć skalę strat.
Podsumowanie
Infostealery stały się jednym z kluczowych narzędzi współczesnej cyberprzestępczości, ponieważ umożliwiają przejęcie legalnego dostępu do zasobów ofiary. Ich skuteczność wynika z niskiego kosztu użycia, łatwej monetyzacji oraz wysokiej wartości operacyjnej skradzionych danych uwierzytelniających i sesyjnych.
Dla zespołów bezpieczeństwa oznacza to konieczność przesunięcia uwagi z samej ochrony przed exploitami na ochronę tożsamości, sesji i urządzeń końcowych. Organizacje, które nie monitorują ryzyka związanego z kradzieżą poświadczeń, mogą wykryć incydent dopiero wtedy, gdy napastnik działa już wewnątrz środowiska.