Infostealer: jak działają Lumma, StealC i Vidar i co zrobić po infekcji

Infostealer to złośliwe oprogramowanie, które kopiuje z komputera zapisane hasła, ciasteczka sesyjne, dane kart i portfele kryptowalut, a potem wysyła je przestępcom. Najczęściej spotykane rodziny to Vidar, StealC i Lumma. Po infekcji nie wystarczy zmienić hasła: z czystego urządzenia trzeba też unieważnić wszystkie aktywne sesje.

Co to jest infostealer i czym różni się od „zwykłego” wirusa?

Klasyczny trojan zostaje w systemie, żeby dać przestępcy stały dostęp. Infostealer ma prostsze zadanie: zebrać wszystko, co cenne, i wysłać paczkę danych, tzw. log, na serwer operatora. Część rodzin od razu po tym kończy działanie, inne doinstalowują kolejne narzędzia.

Większość popularnych stealerów działa w modelu malware-as-a-service. Twórca utrzymuje kod i panel, a „klienci” kupują subskrypcję i sami organizują dystrybucję. Microsoft opisywał, że Lumma była sprzedawana co najmniej od 2022 r. w pakietach od 250 do 20 000 dolarów. Zebrane logi trafiają potem na fora i kanały w komunikatorach, gdzie kupują je kolejne grupy, także te od ransomware.

Skala jest duża. Według raportu Flashpoint za pierwsze półrocze 2026 r. infostealery zebrały w tym czasie 1,7 mld danych logowania z 7,4 mln zainfekowanych urządzeń, o 27% więcej urządzeń niż w poprzednich sześciu miesiącach.

Co dokładnie kradnie infostealer?

Zakres zależy od rodziny i konfiguracji, ale lista z analizy Lumma Stealer opublikowanej przez Microsoft dobrze oddaje typowy zestaw:

Z punktu widzenia firmy najgroźniejsze są dwa wiersze: sesje i dane dostępowe do infrastruktury. Hasło do FTP, panelu hostingu czy WordPressa zapisane na laptopie jednej osoby wystarczy, żeby ktoś wgrał na firmową stronę złośliwy kod. Tak koło się zamyka: przejęta strona serwuje fałszywą weryfikację, która instaluje kolejne stealery. Więcej o tym, jak rozpoznać taką stronę, piszę w tekście o objawach zainfekowanego WordPressa.

Jak rozprzestrzeniają się infostealery?

Microsoft i Trend Micro opisały w 2025 r. podobny zestaw kanałów dystrybucji. Żaden z nich nie wymaga luki w systemie, wszystkie opierają się na tym, że użytkownik sam coś uruchomi.

• Fałszywe CAPTCHY (ClickFix). Strona prosi o wklejenie polecenia w oknie Win+R „w ramach weryfikacji”. Mechanizm opisuję szczegółowo we wpisie o ClickFix i fałszywej CAPTCHY.
• Crackowane programy i cheaty do gier. Trend Micro opisał automatycznie tworzone repozytoria na GitHubie z opisami generowanymi przez AI oraz filmy na YouTube i posty na Facebooku reklamujące cracki.
• Reklamy w wyszukiwarce. Microsoft podawał przykład reklam przy zapytaniach typu „Notepad++ download”, prowadzących do sklonowanych stron producentów.
• Przejęte strony internetowe. Wstrzyknięty JavaScript pokazuje fałszywą aktualizację lub weryfikację. Przykładem jest kampania opisana w tekście o SocGholish i fałszywej aktualizacji przeglądarki.
• Phishing. Maile podszywające się pod hotele, kurierów czy kontrahentów z linkiem do strony z ładunkiem.
• Inne złośliwe oprogramowanie. Loadery doinstalowują stealera jako kolejny etap.

Co stało się z Lumma Stealer po akcji z maja 2025 r.?

Lumma przez długi czas była najpopularniejszym infostealerem na rynku. W maju 2025 r. Microsoft uzyskał nakaz sądowy i razem z Departamentem Sprawiedliwości USA, europejskim centrum EC3 Europolu i japońskim JC3 przejął lub zablokował około 2300 domen infrastruktury. Microsoft podał, że między 16 marca a 16 maja 2025 r. Lumma zainfekowała ponad 394 000 komputerów z Windows.

Wniosek dla obrońców jest prosty. Akcje organów ścigania realnie utrudniają przestępcom życie, ale klienci przenoszą się do konkurencyjnych usług, a znane marki wracają. Nazwa rodziny ma znaczenie dla analityka, dla ofiary procedura po infekcji jest ta sama.

Co zrobić po infekcji infostealerem? Kolejność ma znaczenie

Skradziona sesja to logowanie, które już przeszło weryfikację dwuetapową. Jeśli zmienisz tylko hasło, przestępca z aktywnym ciasteczkiem może nadal być zalogowany. Dokumentacja Microsoft Entra zwraca uwagę na jeszcze jeden szczegół: aplikacje wydające własne tokeny sesji muszą je unieważnić same, bo centralny dostawca tożsamości nie zrobi tego za nie.

1. Odetnij zainfekowany komputer od sieci i przestań go używać do logowania.
2. Poczta e-mail. Zmień hasło, wyloguj wszystkie sesje, usuń nieznane urządzenia, sprawdź reguły przekierowania i filtry, hasła aplikacji oraz metody MFA. Przez pocztę resetuje się wszystko inne.
3. Menedżer haseł. Zmień hasło główne i wyloguj inne urządzenia. Jeśli sejf był otwarty na zainfekowanym komputerze, traktuj jego zawartość jako ujawnioną.
4. Bank, płatności, giełdy kryptowalut. Zmień dane logowania, zastrzeż karty zapisane w przeglądarce, przenieś kryptowaluty do nowego portfela utworzonego na czystym urządzeniu.
5. Konta firmowe. Administrator powinien wyłączyć lub zabezpieczyć konto, zmienić hasło i unieważnić sesje (w Microsoft Entra: przycisk Revoke sessions albo polecenie Revoke-MgUserSignInSession), a potem przejrzeć logowania z ostatnich dni.
6. Infrastruktura i dane techniczne. Hosting, rejestrator domen, panel strony, SFTP, VPN, klucze SSH, tokeny GitHuba i klucze API do chmury. Te dane rzadko są chronione przez MFA.
7. Media społecznościowe i pozostałe serwisy, zaczynając od tych, w których zapisana jest karta płatnicza.
8. Przeinstaluj system na zainfekowanym komputerze. Stealer bywa tylko pierwszym etapem, a loader mógł doinstalować coś trwalszego.
9. Obserwuj konta przez kolejne tygodnie. Logi są odsprzedawane, więc próby logowania mogą pojawić się z opóźnieniem.

Przy okazji zmian przejdź na metody MFA odporne na phishing, czyli klucze bezpieczeństwa i passkeys. Nie zatrzymają one skradzionego ciasteczka, ale utrudnią przejęcie konta innymi drogami. Na kradzież sesji odpowiedzią jest mechanizm Device Bound Session Credentials: od Chrome 146 na Windows sesja może być powiązana z kluczem w module TPM, więc skopiowane ciasteczko szybko traci ważność. Działa to jednak tylko w serwisach, które wdrożyły obsługę po swojej stronie.

Jak firma może wykryć infostealera?

Stealer działa krótko i często w pamięci, dlatego pojedynczy antywirus łatwo go przeoczy. Lepiej łączyć kilka źródeł sygnałów:

• Stacje robocze. PowerShell, mshta lub rundll32 uruchomione z okna Uruchom, proces spoza przeglądarki odczytujący pliki haseł i ciasteczek przeglądarki, nowe zadania harmonogramu i wpisy autostartu. Taką telemetrię daje EDR albo Sysmon z centralnym zbieraniem logów.
• Sieć. Połączenia do świeżo zarejestrowanych domen, nietypowe wysyłki danych zaraz po uruchomieniu nieznanego procesu, zapytania DNS do domen z list zagrożeń.
• Tożsamość. Logowania z nowych krajów i sieci przy tej samej sesji, dodanie nowej metody MFA, nowe reguły skrzynki, zgody na aplikacje OAuth.
• Wywiad o zagrożeniach. Usługi monitorujące logi stealerów pod kątem firmowej domeny potrafią ostrzec, zanim ktoś użyje danych.

W małej firmie dobrym punktem startu jest darmowy SIEM. Jak to zrobić rozsądnym kosztem, opisuję w tekstach o wdrożeniu Wazuh w małej firmie i o monitoringu logów w ELK i Grafanie.

Jak ograniczyć ryzyko infekcji w firmie?

• Nie zapisuj haseł w przeglądarce. Menedżer haseł z automatycznym blokowaniem sejfu zmniejsza łup.
• Odbierz pracownikom uprawnienia administratora lokalnego i wprowadź listę dozwolonych aplikacji tam, gdzie to możliwe.
• Zablokuj okno Uruchom i PowerShell dla osób, które ich nie potrzebują, i włącz logowanie bloków skryptów PowerShell.
• Wprowadź jasną zasadę: żadnych crackowanych programów ani „darmowych wersji” z przypadkowych stron, także na prywatnych komputerach używanych do pracy.
• Oddziel konta administracyjne (hosting, domeny, chmura) od codziennej przeglądarki, najlepiej na osobnym profilu lub urządzeniu.
• Skróć czas życia sesji w usługach firmowych i wymagaj zgodnego, zarządzanego urządzenia przy dostępie do danych.
• Pokaż zespołowi, jak wygląda fałszywa CAPTCHA i fałszywa aktualizacja przeglądarki. Rozpoznanie przynęty to najtańsza ochrona.

Jeśli infekcja już się wydarzyła i nie wiesz, które dane wyciekły, pomagamy przejść przez analizę i unieważnianie dostępów w ramach usług bezpieczeństwa.