Cybercriminelen maken steeds vaker gebruik van misleidende PDF-editors om infostealers te verspreiden. Deze schadelijke software nestelt zich in systemen, verzamelt inloggegevens en kan leiden tot ernstige datalekken. Hoe herkent u deze dreiging en wat kunt u doen om schade te beperken?
Beschrijving dreigingsbeeld
Er is een toename zichtbaar in aanvallen waarbij gebruikers worden misleid om een kwaadaardige PDF-editor te installeren. Zodra deze software actief is, wordt een infostealer geïnstalleerd die zich in het systeem nestelt en persistentie opbouwt. Infostealers kunnen op systemen komen door (gerichte) phishingcampagnes of door het downloaden van gemanipuleerde software en kunnen leiden tot datalekken, doordat inloggegevens (gebruikersnaam en wachtwoord) van bedrijfsaccounts worden buitgemaakt. Hiermee kunnen onbevoegden bijvoorbeeld inloggen op mailboxen of bedrijfsomgevingen (zoals SharePoint of Google Workplace), waar belangrijke of gevoelige bedrijfsinformatie wordt opgeslagen.
Actieplan
Welke stappen moeten worden ondernomen nadat duidelijk is dat binnen uw systeem een infostealer aanwezig is, hangt af van uw doel:
- Wilt u weten hoe de infostealer op het apparaat is terechtgekomen en welke informatie mogelijk is buitgemaakt? Dan dient het betreffende apparaat forensisch onderzocht te worden. Het apparaat moet hiervoor worden losgekoppeld van het internet en worden overgedragen voor onderzoek. Belangrijk: het apparaat mag niet opnieuw worden geïnstalleerd, omdat daardoor sporen verdwijnen die cruciaal kunnen zijn voor de beantwoording van deze vragen. NFIR kan ondersteunen bij dit type onderzoek.
- Wilt u enkel de infostealer verwijderen? Dan is het advies om het apparaat opnieuw te installeren. Hiermee wordt de infostealer verwijderd, evenals eventuele systeemaanpassingen die door de infostealer zijn doorgevoerd.
In beide gevallen wordt geadviseerd om:
- Alle wachtwoorden te wijzigen, waaronder systeemwachtwoorden, in de browser opgeslagen wachtwoorden en wachtwoorden van bedrijfsaccounts.
- Alle actieve sessies van de betreffende gebruiker te beëindigen. Alleen het resetten van het wachtwoord is hiervoor niet voldoende.
Voorkomen
Zoals aangegeven kunnen infostealers binnenkomen via phishing of door het downloaden van gemanipuleerde software. Om dit te voorkomen, is het raadzaam de volgende maatregelen te nemen:
- Beperk gebruik van niet-goedgekeurde software. Stel als organisatie betrouwbare software (zoals een PDF-editor) centraal beschikbaar, zodat medewerkers niet zelf op zoek hoeven te gaan naar alternatieven. Combineer dit met applicatiecontrole (allowlisting), zodat alleen goedgekeurde software geïnstalleerd en uitgevoerd kan worden.
- Gebruik een wachtwoordmanager om inloggegevens veilig op te slaan in plaats van wachtwoorden in de browser te bewaren.
- Maak gebruik van een monitoringdienst, zodat snel kan worden ingegrepen wanneer een infostealer wordt geïnstalleerd en verdere schade kan worden beperkt.
Bent u slachtoffer geworden van deze vorm van phishing of wilt u hier meer over horen? Gebruik dan de knop hieronder.