Wissen › Wie Profis hacken › Infostealer & Session-Diebstahl
Infostealer & Session-Diebstahl
Warum Angreifer gar nicht mehr nach deinem Passwort fragen müssen: Sie stehlen gleich die Sitzung – samt bestandener Zwei-Faktor-Anmeldung.
Lies den Artikel und beantworte am Ende 9 Fragen. Erst wenn alle richtig beantwortet sind, ist die Lektion im Training erledigt und du bekommst 50 Punkte.
Nach dem Login gibt dir eine Website ein Sitzungs-Cookie. Solange es gilt, bist du für den Server angemeldet – Passwort und zweiter Faktor sind längst erledigt. Genau dieses Cookie ist heute eines der begehrtesten Ziele. Die Werkzeuge dafür heißen Infostealer.
Was ein Infostealer tut
Ein Infostealer ist Schadsoftware, die in Sekunden alles einsammelt, was ein Browser gespeichert hat: Passwörter, Sitzungs-Cookies, Formulardaten, oft auch Krypto-Wallets und Zugangsdaten von Chat- und Spiele-Programmen. Danach löscht er sich häufig selbst. Die Beute – sogenannte Logs – wird auf Marktplätzen verkauft.
Verbreitet werden Infostealer über raubkopierte Software und „Cracks“, gefälschte Werbeanzeigen für bekannte Programme, angebliche Rechnungen oder Dokumente im E-Mail-Anhang.
Warum das Cookie mehr wert ist als das Passwort
- Wer ein gültiges Sitzungs-Cookie in seinen Browser einsetzt, ist angemeldet – ohne Passwort und ohne zweiten Faktor.
- Viele Sitzungen gelten Tage oder Wochen, manche bis zur ausdrücklichen Abmeldung.
- Gestohlene Passwörter bleiben oft jahrelang gültig, weil niemand sie ändert.
Fallbeispiel
Linus Tech Tips (2023): ein Anhang, drei YouTube-Kanäle
- 1Ein glaubwürdiges Angebot
Ein Mitarbeiter erhielt eine scheinbar normale Geschäftsanfrage, wie sie bei Sponsoring üblich ist. Nach etwas Hin und Her kam ein Anhang, der wie ein PDF aussah.
- 2Der Anhang war ein Infostealer
Beim Öffnen lief Schadsoftware, die Sitzungs-Tokens aus dem Browser stahl. Der Virenschutz schlug nicht an.
- 3Übernahme ohne Passwort
Mit den gestohlenen Sitzungen meldeten sich die Angreifer als die Mitarbeiter bei YouTube an. Passwort und Zwei-Faktor-Anmeldung spielten keine Rolle mehr. Die Kanäle wurden umbenannt und zeigten Livestreams mit einem gefälschten Elon Musk, die zu Krypto-Betrug lockten.
Die Lehre: Zwei-Faktor-Anmeldung schützt den Login, nicht die bestehende Sitzung. Wer das Cookie hat, ist schon drin.
Im großen Stil: Snowflake (2024)
Im Frühjahr 2024 griff die Gruppe UNC5537 auf Daten von Kunden des Cloud-Datenbank-Anbieters Snowflake zu. Snowflake selbst war laut Mandiant nicht gehackt worden. Die Angreifer nutzten Zugangsdaten aus Infostealer-Logs – die früheste zugehörige Infektion stammte aus dem November 2020, mindestens 79,7 % der genutzten Konten waren schon vorher irgendwo aufgetaucht. Oft waren die Rechner von Dienstleistern infiziert, die auch privat zum Spielen und für raubkopierte Software genutzt wurden.
Mandiant nennt drei Gründe, warum das klappte: keine Zwei-Faktor-Anmeldung, Zugangsdaten, die jahrelang nicht geändert wurden, und keine Beschränkung auf vertrauenswürdige Netze. Rund 165 Organisationen wurden benachrichtigt; viele wurden anschließend erpresst.
Woran du es erkennst
- Eine bestehende Sitzung wird plötzlich von einer anderen IP-Adresse oder einem anderen Gerät aus genutzt.
- Aktivitäten zu ungewöhnlichen Zeiten, ohne vorherigen Login.
- Mehrere gleichzeitige Sitzungen desselben Kontos aus verschiedenen Ländern.
Was wirklich hilft
- Kurze Laufzeiten für Sitzungen mit weitreichenden Rechten, erneute Anmeldung vor kritischen Aktionen.
- Arbeits- und Privatgeräte trennen. Keine Cracks und Raubkopien auf Geräten, mit denen Admin-Zugänge genutzt werden.
- Nach einer Infektion nicht nur Passwörter ändern, sondern alle Sitzungen beenden.
- Zugangsdaten regelmäßig erneuern und Zugriffe auf bekannte Netze beschränken, wo das möglich ist.
- Passkeys: Sie verhindern den Diebstahl der Anmeldung, aber nicht den Diebstahl einer laufenden Sitzung.
Worauf du in TYPO3 achten musst
Im TYPO3-Backend sind ein paar Stellschrauben direkt relevant:
Sitzungsdauer begrenzen
Eine Backend-Sitzung gilt standardmäßig 8 Stunden ohne Aktivität ($GLOBALS['TYPO3_CONF_VARS']['BE']['sessionTimeout'] = 28800 Sekunden). Für Admin-Konten darf es weniger sein.
$GLOBALS['TYPO3_CONF_VARS']['BE']['sessionTimeout'] = 3600;Sitzung an die IP binden
Mit ['BE']['lockIP'] (IPv4) bzw. ['BE']['lockIPv6'] bindet TYPO3 eine Backend-Sitzung an Teile der IP-Adresse. Ein gestohlenes Cookie funktioniert dann von einer anderen Adresse aus nicht. Der Haken: Bei wechselnden Mobilfunk-Adressen fliegen auch echte Nutzer raus – und Angreifer mit Residential Proxies im selben Netz kommen trotzdem durch.
Sitzungen beenden
Im Modul „Backend-Benutzer“ zeigt TYPO3 die angemeldeten Nutzer an. Besteht Verdacht auf ein gestohlenes Cookie, beende die Sitzung dort und ändere das Passwort.
Lektion abschließen: 9 Fragen beantworten
Diese Lektion („Infostealer & Session-Diebstahl“) gilt im Training erst als erledigt, wenn du alle 9 Fragen zu diesem Artikel richtig beantwortet hast – von leicht bis knifflig. Dafür gibt es 50 Punkte. Dafür brauchst du ein Konto, damit dein Fortschritt gespeichert wird.
Weiter im Wissen
Interaktiv üben
In der Lernplattform probierst du das an einer echten, isolierten TYPO3-Instanz aus: