Schadsoftware-Familien wie RedLine, Lumma und Vidar sind darauf ausgelegt, auf infizierten Systemen gespeicherte Informationen abzugreifen. Je nach Variante und Konfiguration umfasst das im Browser gespeicherte Passwörter, Cookies, Autofill-Daten, Kryptowallets, Systeminformationen, VPN-Konfigurationen und weitere Authentifizierungsartefakte. Eine einzige Infektion kann Hunderte oder Tausende Einzeldatensätze erzeugen, die anschließend als Stealer-Log verkauft werden.
Daraus entsteht ein Mengenproblem: Verteidiger müssen alles sichten und prüfen, Angreifer brauchen nur einen einzigen brauchbaren Datensatz. Flare beschreibt das nicht als Suche nach der Nadel im Heuhaufen, sondern als Suche nach einer bestimmten Nadel unter Millionen Nadeln in Millionen Heuhaufen. Zirkulierten die Logs früher vor allem über Untergrundforen und Marktplätze, tauchen laut Flare-Analyse inzwischen rund 90 Prozent auf Telegram auf — öffentliche Kanäle bewerben Kostproben, private Abo-Kanäle liefern frischere Datensätze.
Der entscheidende Unterschied liegt im Inhalt. Ein altes Passwort für eine Verbraucherseite in einem halbjährigen Log ist etwas anderes als ein gestern erfasstes Log mit Unternehmensidentität und einer authentifizierten Browser-Sitzung für den Identitätsanbieter der Organisation. Beides läuft unter „Offenlegung von Mitarbeiterzugängen", der Risikoabstand ist jedoch erheblich.
Flare empfiehlt deshalb, die Überwachung an Werten auszurichten, die etwas über die mögliche Auswirkung aussagen: Unternehmensdomains und Subdomains, Identitätsanbieter, Sitzungs-Cookies, VPN- und RDP-Endpunkte sowie Cloud-Konsolen. Identitätsanbieter verdienen besondere Aufmerksamkeit, weil eine kompromittierte SSO-Identität (Microsoft Entra ID, Okta, Google Cloud Identity) den Weg zu zahlreichen angebundenen Anwendungen öffnet.
Besonders heikel sind gestohlene Sitzungs-Cookies. Gestohlene Zugangsdaten erfordern noch eine Anmeldung, die sich erkennen oder blockieren lässt. Ein gültiges Sitzungs-Cookie kann diesen Schritt entfallen lassen — der Angreifer spielt die Sitzung schlicht erneut ein und umgeht damit faktisch die Mehr-Faktor-Authentifizierung.
Nach einem Fund rät Flare zu einer sofortigen Ersteinschätzung, gefolgt von Risikobewertung und Validierung. Ziel der ersten Minuten ist nicht die vollständige Untersuchung, sondern die Frage, wie schnell reagiert werden muss. Zu klären ist: Wann fand die Infektion statt, welches System erzeugte das Log, wie viele Unternehmenszugänge enthält es, und wurden authentifizierte Sitzungen erfasst? Dazu kommt der Geschäftskontext — ein Zugang zu testserver.company.com wiegt anders als einer zu finance.company.com, und die Identität eines Marketing-Praktikanten anders als die eines Administrators mit Zugriff auf Identitätsanbieter, Cloud-Konsole und Produktivumgebung.
Das illustrative Bewertungsschema aus dem Flare-Leitfaden stuft Unternehmensidentitäten in Kombination mit Sitzungs-Cookies als kritisch ein, mit einer empfohlenen Reaktionszeit von unter einer Stunde. VPN- oder RDP-Zugänge zusammen mit mehreren Unternehmenszugängen gelten wegen des Potenzials zur seitlichen Bewegung als hoch.
Anschließend gilt es zu prüfen, ob die Daten bereits genutzt wurden: Verteidiger gleichen die betroffene Identität mit Authentifizierungstelemetrie ab — erfolgreiche und fehlgeschlagene Anmeldungen, unerwartete Regionen, ungewohnte Geräte und IP-Adressen, Zugriffe außerhalb des üblichen Verhaltens. Ebenso zu klären ist, ob Passwort geändert, Sitzung abgelaufen oder Konto noch aktiv ist. Der von Flare empfohlene Untersuchungsablauf bezieht zudem Browser-Fingerabdrücke, das vollständige Inventar gespeicherter Zugangsdaten, Angaben zum infizierten System sowie Artefakte wie VPN-Konfigurationen oder SSH-Schlüssel ein.
Als Hinweise auf eine bereits erfolgte Kontoübernahme nennt Flare Anmeldungen von unerwarteten Orten, rollenfremde Zugriffe, ungewöhnliche Downloads, Passwort-Zurücksetzungen und die Registrierung neuer MFA-Geräte. Ist eine Hochrisiko-Offenlegung bestätigt, sollten kompromittierte Sitzungen ungültig gemacht, betroffene Zugangsdaten zurückgesetzt und die Identität verstärkt überwacht werden. Über den Einzelfall hinaus empfiehlt sich, wiederkehrende Offenlegungen, betroffene Anwendungen und Zugriffsversuche mit gestohlenen Daten nachzuverfolgen.
Gesponsert und verfasst von Flare.