Infostealer: droga od zainfekowanego laptopa do ransomware

Czym jest infostealer i czym różni się od klasycznego wirusa

Infostealer to program, którego jedynym zadaniem jest jednorazowe skopiowanie danych z zainfekowanego urządzenia. Nie szyfruje plików, nie kasuje danych, nie rozsyła się po sieci i nie zostaje na dysku. Wchodzi, zbiera zawartość profili przeglądarek i kilku katalogów użytkownika, wysyła paczkę do operatora i kończy pracę.

Stąd cecha, która decyduje o całej reszcie: infekcja nie daje objawów, które użytkownik mógłby zauważyć. Nie ma komunikatu o okupie, zaszyfrowanych plików ani wolniejszego komputera, a zbieranie danych bywa krótsze niż minuta. Pobrany plik po prostu nie zadziałał tak, jak obiecywał.

Reakcja spóźnia się więc z definicji. Klasyczny szkodnik chce zostać, bo jego wartość rośnie z czasem; infostealer chce wyjść, bo jego wartość jest w danych.

Efektem infekcji jest log infostealera: zestaw plików z zawartością przeglądarek, wybranymi plikami użytkownika i zrzutem ekranu. Ten log jest towarem: trafia na giełdę logów, do kanału na Telegramie albo prosto do brokera dostępu. Jak sprawdzić, czy jest w nim Twoja domena, opisaliśmy w przewodniku po monitorowaniu wycieków danych.

Co naprawdę jest w logu infostealera

Log to nie jest lista haseł, tylko zrzut kontekstu, w którym pracował użytkownik. I to kontekst decyduje o jego wartości.

Dwie pozycje zmieniają sposób reagowania. Zrzut ekranu razem z listą oprogramowania sprawia, że kupujący nabywa nie worek poświadczeń, tylko konkretną osobę w konkretnej organizacji. Drugą są ciasteczka sesji. Same hasła żyją potem dalej w combolistach i plikach ULP; o ich maszynowym użyciu piszemy w tekście o credential stuffingu.

Dlaczego ciasteczko sesji jest cenniejsze niż hasło

Hasło to dowód, który trzeba przedstawić przy wejściu. Ciasteczko sesji to potwierdzenie, że wejście już się odbyło. Gdy przechodzisz w Microsoft 365 przez drugi składnik, usługa wystawia przeglądarce token i kolejne żądania nie pytają już ani o hasło, ani o kod.

Skradziona sesja jest już uwierzytelniona, więc omija uwierzytelnianie wieloskładnikowe. Atakujący nie musi znać hasła ani mieć telefonu ofiary. Importuje ciasteczko do własnej przeglądarki i trafia od razu do zalogowanej skrzynki. Dlatego zdanie „mamy MFA" nie zamyka tematu, choć w polskich tekstach zwykle na nim się kończy.

Druga konsekwencja jest operacyjna: zmiana hasła nie unieważnia skradzionej sesji. Reset w wielu środowiskach nie kończy aktywnych sesji ani wystawionych tokenów odświeżania. Dopóki token jest ważny, dostęp działa, a w logach widnieje porządny wpis o zmianie hasła. Kolejność jest tu odwrotna do intuicji: najpierw sesje, potem hasło.

Skala jest policzalna. Wśród 18,7 mln logów z 2025 roku Flare naliczył 2,05 mln z firmowymi danymi tożsamości, a 1,17 mln zawierało jednocześnie dane firmowe i ciasteczka sesji. Ponad połowa logów z firmową tożsamością niesie więc materiał, którego drugi składnik nie zatrzyma; pokazaliśmy to na kampanii w analizie obejścia MFA przy kradzieży poświadczeń.

Jak infostealer trafia na urządzenie

Wektory powtarzają się od lat i mają jedną cechę wspólną: wymagają, żeby użytkownik sam coś uruchomił. Group-IB wskazuje, że masowe kampanie zdominowały rodziny Vidar i Lumma, a jako drogi dostarczenia wymienia crackowane oprogramowanie, sieci malvertisingowe i kanały Telegram. Poniższa lista dokłada do nich dwie techniki, które opierają się na tym samym mechanizmie: użytkownik uruchamia infekcję sam.

• Crackowane oprogramowanie i generatory kluczy: użytkownik sam wyłącza ochronę, bo „tak trzeba, żeby zadziałało"
• Malvertising: płatne wyniki wyszukiwania prowadzące do podrobionych stron popularnych narzędzi; ofiara pobiera program z pierwszego wyniku
• Kanały Telegram z modami i cheatami: pobieranie plików od nieznanych osób jest tam normą, a ostrzeżenie systemu przeszkodą do obejścia
• ClickFix: fałszywy komunikat o błędzie każe wkleić „polecenie naprawcze" do okna systemowego; użytkownik uruchamia infekcję własnoręcznie
• Złośliwe rozszerzenia przeglądarki: mają dostęp do tego, po co przychodzi infostealer, bez żadnego exploita

Pierwszy kontakt to więc wiadomość, reklama albo link, a nie luka w oprogramowaniu. Infostealer jest problemem tej samej klasy co phishing i różni się dopiero tym, co dzieje się po kliknięciu. Wektory dostarczenia rozłożyliśmy w przewodniku po rodzajach phishingu, a wariant z kodami QR — w tekście o quishingu.

Prywatny laptop z dostępem do firmowego SSO

Typowy scenariusz z firmową tożsamością w logu nie zaczyna się na sprzęcie firmowym. Zaczyna się na prywatnym komputerze, na którym ktoś raz zalogował się przez przeglądarkę do służbowej poczty. Profil zapamiętał tyle, ile zapamiętuje zawsze, i od tej chwili prywatne urządzenie przechowuje firmowy dostęp.

Dla atakującego pochodzenie logu nie ma znaczenia: liczy się, do czego pasują poświadczenia. Flare podaje, że Microsoft Entra ID występuje w 79% logów zawierających firmową tożsamość. Entra ID jest wejściem do poczty, plików i komunikatora, więc jeden komplet poświadczeń otwiera całe środowisko pracy.

Zasięg zdarzenia wyznacza więc tożsamość i jej uprawnienia, a nie ewidencja środków trwałych. Pytanie „czy urządzenie było firmowe" rozstrzyga co innego: ile jeszcze mogło wyciec i czego nie da się już zbadać.

Od logu do ransomware — jak wygląda cały łańcuch

Pojedyncza infekcja rzadko kończy się atakiem tego samego sprawcy. Między kradzieżą a incydentem stoi rynek, i to on tłumaczy, dlaczego skutki pojawiają się miesiącami później.

Te 95 dni to najważniejsza liczba w łańcuchu, bo opisuje okno, w którym da się jeszcze zadziałać taniej niż po fakcie. Dane logowania odpowiadały przy tym za 28% danych skompromitowanych w naruszeniach, a 48% naruszeń wiązało się z ransomware. Co dzieje się dalej, opisaliśmy w tekście o pierwszej godzinie po ataku ransomware, a ten sam mechanizm na konkretnej kampanii — przy łańcuchu poświadczeń wokół mistrzostw świata 2026.

Mniej infekcji, ale celniejszych

Rok 2025 przyniósł zmianę, która wygląda na dobrą wiadomość: łączna liczba infekcji infostealerami spadła o 20% rok do roku. Gdyby poprzestać na tej liczbie, wniosek brzmiałby, że problem się kurczy.

Druga liczba ten wniosek przewraca. Odsetek infekcji zawierających firmowe dane logowania do SSO rósł w tym samym czasie z około 6% na początku 2024 roku do około 14% pod koniec 2025, a dane wstępne wskazują 16%. Flare prognozuje, że w trzecim kwartale 2026 firmowe poświadczenia może zawierać jedna na pięć infekcji.

Razem opisują zmianę modelu, a nie odwrót: operatorzy przestali sprzedawać logi na wagę i filtrują je pod kątem wartości. Przeciętny log w obiegu jest dziś groźniejszy niż rok temu, a dla organizacji mierzącej ryzyko liczbą alertów to pułapka: alertów mniej, ekspozycja większa.

Log z Twojej domeny jest w obiegu — co teraz

Alert o logu zawierającym adres z Twojej domeny nie jest ciekawostką. Oznacza, że na jakimś urządzeniu — niekoniecznie firmowym — leżały poświadczenia i najprawdopodobniej aktywne sesje do Twoich systemów. Kolejność poniższych kroków nie jest dowolna.

1. Krok 1Administrator tożsamości
   Unieważnij sesje, zanim ruszysz hasła

   Wymuś unieważnienie aktywnych sesji i tokenów odświeżania, a dopiero potem zajmij się hasłem. Odwrotna kolejność zostawia okno, w którym stara sesja nadal działa, a Ty masz w logach wpis o resecie i fałszywe poczucie zamknięcia sprawy. Pamiętaj też o sesjach w aplikacjach mobilnych.

2. Krok 2Administrator tożsamości
   Zmień hasło i sprawdź metody uwierzytelniania

   Po unieważnieniu sesji wymuś zmianę hasła i sprawdź, czy do konta nie dopisano nowej metody uwierzytelniania: numeru telefonu, aplikacji albo klucza. Zarejestrowanie własnej metody MFA to typowy sposób utrwalenia dostępu, który przeżywa reset hasła.

3. Krok 3Zespół bezpieczeństwa
   Przejrzyj logowania wstecz, nie od dnia alertu

   Log mógł krążyć miesiącami, więc data alertu nie jest datą kradzieży. Cofnij się tak daleko, jak pozwala retencja, i szukaj logowań z nietypowych lokalizacji, sesji trwających nieprzerwanie i dostępu do zasobów spoza codziennej pracy tej osoby. Retencja krótsza niż okno obiegu logu jest ustaleniem sama w sobie; o jej doborze piszemy w porównaniu SIEM, SOAR, XDR i EDR.

4. Krok 4Administrator poczty
   Sprawdź reguły i uprawnienia w skrzynce

   Reguły przekierowania i automatycznego usuwania wiadomości to charakterystyczny ślad po przejęciu skrzynki i zarazem łatwy do przeoczenia. Sprawdź reguły klienta i serwera, przekierowania na adresy zewnętrzne, delegacje oraz aplikacje z dostępem do poczty. Reguła atakującego działa dalej po zmianie hasła.

5. Krok 5IT i właściciel procesu
   Ustal, czy urządzenie było firmowe

   Jeśli tak, izoluj je, zabezpiecz materiał do analizy i przyjmij, że wyciekło wszystko, co widział profil przeglądarki, a nie tylko konto z alertu. Przy urządzeniu prywatnym zakres ustala się od strony tożsamości: od uprawnień tej osoby i tego, co było osiągalne przez przeglądarkę.

6. Krok 6IOD i zarząd
   Zdecyduj o zgłoszeniu i udokumentuj decyzję

   Jeśli w zasięgu konta były dane osobowe, zdarzenie wymaga oceny pod kątem obowiązku zgłoszenia naruszenia, a zegar liczy się od stwierdzenia naruszenia, nie od zamknięcia analizy technicznej. Udokumentuj też decyzję o niezgłaszaniu wraz z uzasadnieniem. Podmioty objęte ustawą o KSC mają osobną ścieżkę, opisaną w tekście o NIS2 i ustawie o KSC.

Dwa kroki odróżniają realną reakcję od odhaczenia alertu: unieważnienie sesji na początku i przegląd reguł w skrzynce na końcu. Oba dotyczą trwałości dostępu, a nie hasła. A na haśle kończy się wiele opisów reakcji na wyciek. Jak zorganizować monitorowanie wycieków haseł na bieżąco, opisaliśmy w przewodniku po monitorowaniu wycieków danych.

Dlaczego takedown nie kończy sprawy

Infrastruktura infostealerów bywa wyłączana i te działania mają sens. W maju 2025 roku Europol i Microsoft rozbili zaplecze Lummy; między 16 marca a 16 maja 2025 zidentyfikowano ponad 394 000 zainfekowanych komputerów z systemem Windows. Między 10 a 14 listopada 2025 roku, w kolejnej fazie Operation Endgame, wyłączono 1025 serwerów obsługujących między innymi Rhadamanthysa.

Każda taka operacja przerywa dopływ nowych danych, ale nie robi jednej rzeczy: nie wycofuje z obiegu tego, co już wykradziono. Logi zostają u kupujących, są przepakowywane w combolisty i pliki ULP i krążą pod nowymi nazwami, dziś nie tyle w ukrytych serwisach w sieci Tor, ile w kanałach komunikatorów. Group-IB opisuje przypadek poświadczeń z urządzenia zainfekowanego 8 lipca 2024 roku, dystrybuowanych ponownie w marcu 2025.

Data wyłączenia infrastruktury nie jest więc datą, po której poświadczenia przestają działać. Przestają działać wtedy, gdy ktoś unieważni je po stronie ofiary.

Najczęstsze pytania

Podsumowanie

Infostealer jest najcichszym ogniwem łańcucha i dlatego łatwym do zlekceważenia. Nie generuje incydentu w dniu infekcji i nie zostawia śladu, o którym użytkownik zdąży komuś powiedzieć. Generuje towar: log, który przez tygodnie zmienia właściciela, aż trafi do kogoś, kto ma pomysł, co z nim zrobić. Organizacja dowiaduje się o tym na końcu tej drogi, a okno między infekcją a skutkiem otwiera wyłącznie wiedza, że log już krąży. W tle skala nie maleje: CERT Polska obsłużył w 2025 roku 260 783 unikalne incydenty, o 152% więcej niż rok wcześniej.

Zmiana hasła zamyka drzwi. Skradziona sesja jest już w środku.