什麼是 Infostealer？竊取認證的惡意軟體如何運作

什麼是 Infostealer？

一台遭入侵且未部署端點防護的承包商筆電，將認證資訊暴露給雲端資料平台，而攻擊者甚至不需要破解任何一組密碼。這一句話就說明了 infostealer 問題。

Infostealer 是一類惡意軟體，專門設計用來從受感染系統中秘密擷取敏感資料，包括已儲存的密碼、工作階段 Cookie、加密貨幣錢包檔案，以及瀏覽器自動填入資料。Infostealer 的運作方式十分隱密：執行、蒐集、外傳，然後迅速退出。遭竊資料會被彙整成稱為 stealer logs 的結構化封存檔，接著在地下市場中販售，供其他犯罪分子購買並發動後續攻擊。

ENISA 報告將 infostealers 描述為「網路犯罪供應鏈中穩固且普遍存在的一環」，主要促成認證竊取、工作階段劫持與存取掮客活動。遭竊的認證資訊會成為勒索軟體操作者、商務電子郵件入侵活動，以及帳戶接管詐騙的初始存取。對您而言，這表示 infostealer 事件需要進行工作階段失效處理、認證輪替，以及行為式端點防護，而不只是清除惡意軟體。

Infostealers 位於身分安全與端點防護的交會點。它們鎖定的是使用者儲存在瀏覽器中的認證資訊、可證明已完成 MFA 的工作階段權杖，以及開發人員留存在本機檔案中的 API 金鑰。Verizon DBIR 將認證濫用與初始存取連結起來，並指出勒索軟體受害者與 infostealer 認證傾印之間存在重疊。

對您的 SOC 而言，發現 infostealer 會立即改變威脅模型。這不是可被侷限的端點事件，而是帳戶接管、橫向移動，甚至可能由完全不同的威脅行為者部署勒索軟體的前兆。要理解這為何可能發生，必須先從 infostealers 的建構方式開始。

Infostealer 的核心元件

現代 infostealers 具有一致的架構，圍繞五個功能元件建構：

1. 傳遞機制： 網路釣魚 電子郵件、惡意廣告活動、木馬化軟體，以及 ClickFix/假 CAPTCHA 攻擊，誘騙使用者透過 Windows Run 或 PowerShell 執行命令。以 Lumma Stealer 活動為例，其使用假 CAPTCHA 頁面，指示受害者透過 Windows Run 對話方塊複製並執行命令。
2. 認證蒐集模組： 瀏覽器認證擷取會鎖定 Chromium 瀏覽器中的 SQLite Login Data 資料庫，並透過 AES-GCM 或 Windows DPAPI 解密密碼。Infostealers 也會從密碼管理器、電子郵件用戶端、VPN 組態與加密貨幣錢包中蒐集認證資訊。
3. 工作階段權杖竊取： Cookie 與工作階段權杖蒐集可讓攻擊者在不需要您的密碼或 MFA 代碼的情況下，以您的身分完成驗證。遭竊的 Cookie 代表 MFA 已完成的證明，因而可完全繞過它。
4. 資料暫存與外傳： 遭竊資料會被封裝成結構化日誌，並傳送至攻擊者控制的 C2 伺服器、Telegram 機器人，或 Dropbox 等雲端儲存服務。 SentinelLabs report 記錄了用於加速外傳並簡化銷售流程的 Telegram 基礎設施。
5. 反分析與規避： VM/sandbox 識別、從記憶體進行無檔案執行、程序注入，以及旨在使分析工具當機的檔案填充。這些技術可直接對應到 MITRE ATT&CK T1027（混淆檔案或資訊）。

整個運作採用 Malware-as-a-Service (MaaS) 商業模式。開發者會在 Telegram 上維護 Web 控制面板、酬載建置器與客戶支援管道，之後由訂閱者執行各自獨立的活動。

Infostealers 如何運作

Infostealer 攻擊遵循可預測的 kill chain，但每個階段都經過設計，以盡可能縮短您發現它的時間窗口。

1. 階段 1：初始執行。 酬載會透過 網路釣魚、惡意廣告或社交工程送達。 SentinelLabs research 記錄了一起活動，其中使用者下載了封存檔，內含已簽署的 Haihaisoft PDF Reader 免費軟體應用程式副本，以及一個用於 sideloading 的惡意 DLL。
2. 階段 2：認證蒐集。惡意軟體會鎖定瀏覽器認證資料庫（T1555.003），對 Chrome 的 Login Data 檔案執行 SQL 查詢，並解密已儲存的密碼。 Katz Stealer 記錄了一種獨特技術：該惡意軟體會以無頭模式啟動瀏覽器，並注入專用 DLL，以利用瀏覽器自身的安全性內容存取敏感資料。
3. 階段 3：工作階段權杖竊取。 Infostealer 會複製已驗證的工作階段 Cookie（T1539），讓攻擊者能在這些工作階段仍然有效的 Web 應用程式上冒用您的使用者身分。某些變種也會竊取其他可協助重新產生或延長存取權限的權杖，這意味著變更密碼可能無法立即使攻擊者的存取失效。
4. 第 4 階段：補充性蒐集。 鍵盤側錄 (T1056)、針對加密貨幣地址與助記詞進行剪貼簿監控 (T1115)、竊取加密貨幣錢包檔案，以及用於受害者剖析的系統指紋識別。 SentinelLabs 分析 記錄了 Vidar 會蒐集位置資料，特別是為了協助威脅行為者在部署勒索軟體等次要酬載之前評估系統價值。
5. 第 5 階段：資料外洩與退出。 資料會透過加密通道傳輸至 C2 基礎架構，且經常濫用合法服務。該 惡意軟體 隨後會乾淨地退出，留下極少的鑑識痕跡。這種非持久性的執行模型是一種刻意的設計選擇：當你發現感染時，惡意軟體早已消失，而憑證也已經在販售中。

為何資訊竊取程式難以阻止

有幾項特性使資訊竊取程式特別難以防禦。

• MaaS 模式消除了技術門檻。非技術型操作人員可透過訂閱制服務部署憑證竊取工具。即使在執法單位干擾之後，操作人員通常也能迅速重建，而市場則轉向替代家族。
• 工作階段權杖竊取使 MFA 不足以提供防護。資訊竊取程式會將工作階段 Cookie 作為主要能力之一來竊取。 MITRE ATT&CK 記錄了 APT29、Scattered Spider、Star Blizzard 與 LAPSUS$ 都使用 T1539 來繞過 MFA。事件發生後進行密碼輪替，並不會使已落入攻擊者手中的有效權杖失效。
• 多型態規避可擊敗基於特徵碼的工具。 無檔案執行、記憶體內分段載入，以及處理程序注入，會完全繞過靜態防禦。產業報告指出，透過網路釣魚傳遞資訊竊取程式的情況增加，部分原因是攻擊者利用 AI 大規模建立釣魚電子郵件。
• 濫用合法平台會建立無法封鎖的通道。資訊竊取程式會透過 Telegram API、Dropbox 和 GitHub 進行資料外洩。你無法在不干擾業務營運的情況下封鎖這些服務，這迫使你的團隊必須依賴行為分析，而非網路層過濾。

這些特性並非單一工具所獨有。它們存在於持續成長的資訊竊取程式家族生態系中，各家族都在地下論壇上競逐市場占有率。

資訊竊取程式竊取的資料類型

資訊竊取程式會鎖定一組特定的高價值資料類型，而每一種類型之所以被選中，都是因為它能促成不同類別的後續攻擊。

1. 已儲存的密碼與瀏覽器自動填入資料。 Chromium 與 Firefox 系列瀏覽器會將憑證儲存在本機 SQLite 資料庫中。資訊竊取程式會直接查詢這些資料庫，使用作業系統 API 解密已儲存的密碼，並擷取自動填入項目，包括地址、電話號碼與付款卡詳細資料。這些憑證會成為帳戶接管活動與企業 SaaS 環境中憑證填充攻擊的原始材料。
2. 工作階段 Cookie 與驗證權杖。有效的工作階段 Cookie 可證明使用者已完成驗證，包括 MFA。遭竊的 Cookie 可讓攻擊者重放這些工作階段，而不會觸發額外的驗證挑戰。這是資訊竊取程式能如此有效繞過 MFA 的主要原因之一：攻擊者根本不需要完成驗證流程。
3. 加密貨幣錢包檔案與助記詞。 資訊竊取程式會複製 wallet.dat 檔案、像 MetaMask 這類錢包的瀏覽器擴充功能資料，並監控剪貼簿中的助記詞與錢包地址。加密貨幣竊盜不可逆轉，因此這些目標對於在地下市場活動的攻擊者而言特別有價值。
4. 系統指紋與環境資料。 主機名稱、IP 位址、已安裝軟體、執行中的處理程序，以及硬體識別碼，可協助攻擊者剖析受害者，並判斷哪些遭竊憑證屬於高價值的企業環境。 SentinelLabs 分析 記錄了 Vidar 會蒐集位置資料，特別是為了協助威脅行為者在部署次要酬載之前評估目標價值。
5. 電子郵件用戶端與訊息應用程式資料。從 Outlook 與 Thunderbird 等用戶端取得的本機儲存電子郵件、聊天記錄與應用程式憑證，會將攻擊者的存取範圍擴大到瀏覽器儲存資料之外。遭竊的電子郵件憑證會直接投入 商務電子郵件入侵 作業。
6. VPN 與 RDP 組態。 已儲存的 VPN 設定檔與遠端桌面憑證可提供遠超單一端點的網路層級存取。對於購買 stealer 日誌的勒索軟體操作人員而言，VPN 憑證是最有價值的項目之一，因為它們提供了直接進入企業網路的路徑。

資訊竊取程式鎖定資料的廣度，說明了為何有如此多不同的惡意軟體家族在這個領域競爭，而各家族都針對這些資料類型的不同組合進行最佳化。

主要資訊竊取程式家族

資訊竊取程式生態系相當擁擠，且隨著執法單位的干擾迫使操作人員轉向新工具而快速變動。這些家族代表了 Windows 與 macOS 上文件記錄最完整的威脅。

Windows 資訊竊取程式

MacOS 資訊竊取程式

macOS 資訊竊取程式態勢在 2024 年迅速擴張。 SentinelLabs 研究記錄了包括 Amos Atomic、Banshee Stealer、Cuckoo Stealer 與 Poseidon 在內的家族，這些家族皆鎖定 Keychain 憑證、瀏覽器資料與加密貨幣錢包。這些家族使用 AppleScript 偽造密碼對話方塊，誘騙使用者提供登入憑證，使惡意程式得以存取 Keychain 與系統中儲存的所有密碼。

無論家族或平台為何，被竊取的憑證都遵循相同路徑：流入地下市場，而且經常落入勒索軟體營運者手中。

從資訊竊取程式到勒索軟體的管線

資訊竊取程式與 勒索軟體 之間的關聯已有多個獨立來源充分記錄。資訊竊取程式是兩階段攻擊鏈中的第一階段。 SANS Institute 記錄指出，勒索軟體威脅行為者「通常透過資訊竊取惡意程式所竊取的憑證進入，而初始存取掮客則作為資訊竊取程式營運者與勒索軟體集團之間的中介。」

資訊竊取程式感染與勒索軟體部署之間的作業落差可能跨越相當長的一段時間，其間未被觀察到的橫向移動 持續發生。將資訊竊取程式發現視為低嚴重性的端點事件，是代價高昂的錯誤。每一次資訊竊取程式發現都應觸發勒索軟體前兆應變程序，包括完整的憑證範圍評估、橫向移動狩獵，以及預先建立的遏制劇本。

要有效執行這些程序，必須先了解為何資訊竊取程式一開始就如此難以被傳統安全工具偵測。

為何資訊竊取程式能規避傳統防禦

資訊竊取程式具有特定的結構性挑戰，使其比許多其他惡意程式類別更難阻止。

• 加密外洩與正常流量混雜。遭竊資料透過 HTTPS 傳送至合法雲端服務。某些變種會將封存檔拆分為多個區塊，以規避為大型單一檔案傳輸所設定的DLP 工具。您的網路安全堆疊所看到的，看起來就像是正常的加密網頁流量。
• 短暫的執行時間窗口幾乎不留下鑑識證據。 無持久化資訊竊取程式幾乎不會永久寫入磁碟，甚至完全不寫入。記憶體痕跡會被覆寫。您最後只能調查網路遙測與憑證使用記錄，而非端點成品，因為惡意程式在您的團隊注意到之前就已自我移除。
• 憑證 API 掛鉤會在合法處理程序內攔截憑證。 MITRE ATT&CK T1056.001 記錄了憑證 API 掛鉤會在合法處理程序內容中攔截憑證，使惡意行為在處理程序層級上難以與正常應用程式運作區分。
• BYOD 盲點是結構性的。  Verizon DBIR 指出，在資訊竊取程式記錄中，許多帶有企業登入資訊的受害系統都是未受管理的裝置。Snowflake 外洩事件直接證明了這一點： SANS research 證實第三方承包商的個人筆記型電腦沒有防毒軟體或 EDR，且被用於個人活動，包括執行盜版軟體。

這些規避優勢意味著，發現 infostealer 感染通常取決於察覺其造成的影響，而非惡意程式本身。

如何偵測 Infostealer 感染

由於 infostealer 的設計是快速執行並退出，因此發現感染仰賴辨識憑證遭竊後續造成的影響，而不是當場捕捉到惡意程式本身。以下是您的團隊應監控的指標：

• 企業憑證出現在暗網市集上。Stealer 日誌會在遭竊後數小時內出現在 Russian Market 等市場上。持續監控外洩的企業電子郵件與網域憑證，可提供最早的警訊，顯示 infostealer 已入侵您的某位使用者。
• SaaS 與雲端應用程式中的異常工作階段活動。 來自非預期地理位置的登入、新的裝置指紋，或來自不同區域的同時工作階段，都表示遭竊的工作階段權杖正在被重放。關聯 身分遙測 與端點資料有助於區分合法差旅與權杖重放。
• 瀏覽器程序以異常旗標啟動。Infostealer 會使用遠端偵錯連接埠或無頭模式掛鉤瀏覽器程序。當瀏覽器由非標準父程序啟動並帶有 --remote-debugging-port 或 --headless flags 時發出警示，是可靠的指標。
• 對 Telegram API 或雲端儲存空間的非預期對外連線。將資料外洩至 api.telegram.org、Dropbox 或 GitHub，若發生在平時不會使用這些服務的端點上，就是強烈的行為指標，尤其是與封存建立或資料暫存活動同時出現時。
• EDR 遙測中的憑證存取模式。 MITRE ATT&CK T1555.003（來自網頁瀏覽器的憑證）以及 T1539（竊取 Web 工作階段 Cookie）會在瀏覽器外部的程序存取憑證資料庫或 Cookie 儲存區時產生可識別的遙測。

及早識別取決於跨端點、身分與網路層關聯這些訊號，而不是依賴任何單一指標。

防禦 Infostealer 時的常見錯誤

即使是擁有成熟安全計畫的組織，在回應 infostealer 事件時也會犯下可避免的錯誤。

• 將 infostealer 發現結果視為孤立的端點事件。當您發現感染時，遭竊憑證可能已落入另一個存取代理者手中，且其時間線不同。若端點修復略過憑證失效處理與 橫向移動 狩獵，將使後續攻擊路徑完全敞開。
• 僅依賴密碼輪替。變更密碼不會使有效中的工作階段權杖失效。如果 infostealer 擷取了已驗證的 Cookie，無論您設定了新密碼，攻擊者仍持有有效工作階段。您需要讓所有受影響帳戶的有效工作階段主動失效。
• 忽略暗網憑證監控。 遭竊憑證會在遭竊後不久出現在 Russian Market 等市場上。未監控外洩企業憑證的組織，將失去從遭竊到被下游攻擊者利用之間的處置窗口。
• 忽視瀏覽器作為主要攻擊面。 CISA Advisory 記錄了 Raccoon Stealer 和 Vidar 直接從瀏覽器竊取登入憑證、瀏覽歷程與 Cookie。瀏覽器同時是您主要的憑證儲存區，也是雲端應用程式主要的工作階段權杖儲存庫，但瀏覽器層遙測卻是多數企業未蒐集的訊號。
• 略過承包商與開發人員裝置的 EDR 涵蓋。開發人員工作站可存取正式環境機密、部署憑證與程式碼簽署基礎架構，但其監控程度往往低於正式環境伺服器。將端點涵蓋範圍延伸至這些環境，可補上最常遭利用的缺口之一。

避免這些錯誤是必要條件，但仍不足夠。結構化的防禦策略需要涵蓋完整的 infostealer 攻擊鏈。

防禦 Infostealer 的最佳實務

分層防禦策略可在多個階段處理 infostealer 攻擊鏈，從初始存取到資料外洩皆涵蓋在內。

1. 部署 抗網路釣魚驗證。 FIDO2/passkey 實作會為每項服務產生唯一的密碼編譯憑證，且私密金鑰絕不會離開使用者裝置。如同 無密碼驗證 說明，入侵一項服務不會產生可在其他地方使用的憑證，因為沒有可被攻陷的共用密碼祕密。請優先處理可存取正式環境系統的特權帳戶。
2. 停用瀏覽器憑證儲存。 透過 Group Policy 或 MDM 使用企業瀏覽器管理原則，防止瀏覽器儲存密碼。強制使用具備硬體支援加密的企業密碼管理器。針對以遠端偵錯旗標 (--remote-debugging-port) 啟動的瀏覽器設定警示，這是已知用於掛鉤瀏覽器程序的 infostealer 技術。
3. 部署行為式 AI 端點防護。 macOS 惡意軟體研究 直接指出：「採用動態分析的安全解決方案成效更佳」，因為無論傳遞混淆為何，infostealer 都必須以明文解碼並執行。靜態特徵碼無法對抗加密與多型酬載。
4. 在事件發生前建立並測試憑證輪替作業手冊。 預先定義如何安排輪替順序，避免關鍵系統停擺。在事件壓力下臨時進行憑證輪替，一貫都太慢。您的作業手冊應包含網路隔離、判定感染時間軸、對所有可存取憑證進行完整輪替、使作用中工作階段失效，以及檢視整個潛伏期間的存取記錄。
5. 限制來自高風險路徑的程序執行。 設定應用程式控制原則（WDAC、AppLocker 或 macOS MDM 設定檔），封鎖來自 Downloads、Temp 與 User Profile 目錄的未簽署可執行檔。將這些控制延伸至開發人員工作站與 CI 執行器。

這些做法可降低攻擊面，但若要阻止繞過預防機制的 infostealer，則需要能即時串聯端點、身分與網路遙測的平台。

Unleash AI-Powered Cybersecurity

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

重點摘要

Infostealer 是一種竊取憑證的惡意軟體，會在無聲無息中運作、快速外洩密碼與工作階段權杖，並為勒索軟體、帳戶接管與金融詐欺提供下游犯罪經濟。僅靠 MFA 無法阻止工作階段權杖遭竊。瀏覽器憑證儲存區是主要目標。 

每一次發現 infostealer 都需要進行憑證失效處理、橫向移動狩獵，以及勒索軟體前兆應變程序。行為式 AI 防護、 身分防護，以及預先建置的回應作業手冊，共同構成防禦基礎。