Infostealer-malware: hoe criminelen wachtwoorden en inlogsessies in bulk stelen
Stel je voor dat iemand ongemerkt een kopie maakt van alle sleutels die in jouw huis liggen: de voordeursleutel, de sleutel van de brievenbus, die van de auto en zelfs de sleutel die je buurman je gaf om zijn planten water te geven. Dat is ongeveer wat infostealer-malware doet, maar dan digitaal. Het is kwaadaardige software die, eenmaal op een computer of telefoon actief, stilletjes wachtwoorden, inlogsessies, creditcardgegevens en cryptovaluta-sleutels verzamelt en doorstuurt naar criminelen.
Het woord infostealer is Engels voor "informatiedief". In tegenstelling tot ransomware, die je bestanden gijzelt en losgeld eist, probeert een infostealer juist onopgemerkt te blijven. Hoe langer hij verborgen blijft, hoe meer wachtwoorden en accounts hij kan buitmaken. De buit wordt vervolgens verkocht of gebruikt om bij bedrijven of particulieren in te breken, vaak weken of maanden na de eerste besmetting.
Wat is het precies?
Een infostealer is geen enkel programma, maar een categorie malware met een vast doel: gegevens verzamelen ('harvesten') en wegsturen ('exfiltreren'). Dat verloopt meestal in een paar stappen.
Eerst moet het slachtoffer de malware onbedoeld installeren. Dat gebeurt via een vals softwarebestand, een geïnfecteerde bijlage, een nepadvertentie voor 'gratis' programma's of een gekraakte versie van betaalde software. Ook malvertising (kwaadaardige advertenties in zoekmachines) en phishing-mails zijn veelgebruikte routes.
Eenmaal actief doorzoekt de malware de browser van het slachtoffer. Browsers zoals Chrome en Edge slaan wachtwoorden, creditcardgegevens en zogeheten sessiecookies op. Een sessiecookie is een klein bestandje waarmee een website onthoudt dat je al bent ingelogd, zodat je niet steeds opnieuw je wachtwoord hoeft in te typen. Als een infostealer zo'n cookie steelt, kan een crimineel soms rechtstreeks een account overnemen zonder wachtwoord of tweestapsverificatie (multi-factor authenticatie, MFA) opnieuw te hoeven omzeilen: de sessie is immers al 'ingelogd'.
Naast browsergegevens zoeken veel infostealers naar wachtwoordmanagers, cryptovaluta-wallets, Steam- en Discord-accounts, VPN-configuraties en bestanden met gevoelige informatie. Alles wordt gebundeld in een zogeheten log, een bestand of archief met alle buitgemaakte gegevens van één slachtoffer, en verstuurd naar een server die de criminelen beheren (de command-and-control- of C2-server).
Wat wil men ermee bereiken?
Het uiteindelijke doel is bijna altijd geld. Gestolen inloggegevens zijn een grondstof: ze worden verzameld, gesorteerd en vervolgens doorverkocht op cybercrime-forums en gespecialiseerde marktplaatsen. Een 'log' met toegang tot een bedrijfsaccount, een bank of een cryptobeurs is voor een koper vaak meer waard dan een creditcardnummer, omdat het directe toegang geeft.
Infostealers zijn ook een opstap naar grotere aanvallen. Criminele groepen kopen logs op om vervolgens in te breken bij bedrijven, data te stelen of ransomware te plaatsen. Omdat de eerste inbraak via gestolen, legitieme inloggegevens verloopt, is die vaak lastiger te herkennen dan een klassieke hackpoging: het systeem ziet immers een 'normale' login.
Voor de makers van infostealers zelf is er nog een verdienmodel: malware-as-a-service (MaaS). Zij verkopen of verhuren de software aan andere criminelen, inclusief updates, technische ondersteuning en een dashboard om gestolen data te bekijken. Dat verlaagt de drempel enorm: ook criminelen zonder programmeerkennis kunnen zo infostealer-campagnes draaien.
Voorbeelden uit de praktijk
RedLine Stealer was sinds ongeveer 2020 een van de meest verspreide infostealers, aangeboden als MaaS via Telegram en cybercrime-forums. In oktober 2024 ontmantelden de Nederlandse politie, de FBI, Eurojust en andere partners in 'Operation Magnus' de technische infrastructuur achter RedLine en de verwante malware META.
Raccoon Stealer was eveneens een populaire MaaS-infostealer. De vermeende beheerder, de Oekraïense Mark Sokolovsky, werd in 2022 in Nederland aangehouden en in 2023 in de Verenigde Staten schuldig bevonden.
Vidar Stealer, actief sinds 2018 en verwant aan de oudere Arkei-stealer, wordt nog altijd regelmatig ingezet via malvertising-campagnes die zich voordoen als populaire software.
Genesis Market was geen malware maar een marktplaats waar 'digitale vingerafdrukken' van slachtoffers werden verkocht: complete pakketten met gestolen wachtwoorden, cookies en browserkenmerken waarmee kopers zich online konden voordoen als het slachtoffer. De marktplaats werd in april 2023 offline gehaald tijdens 'Operation Cookie Monster', een gezamenlijke actie van onder meer de FBI, Europol en de Nederlandse politie.
Een spraakmakend voorbeeld van de gevolgen is de reeks datalekken rond het clouddataplatform Snowflake in 2024, waarbij aanvallers klantaccounts van onder meer Ticketmaster en AT&T binnendrongen met inloggegevens die jaren eerder via infostealer-malware van medewerkers waren buitgemaakt en die niet met tweestapsverificatie waren beveiligd.
Hoe ver is de techniek?
Infostealers zijn technisch relatief eenvoudig vergeleken met bijvoorbeeld geavanceerde staatshacktools, maar ze ontwikkelen zich snel qua ontwijkingstechnieken. Nieuwere varianten proberen antivirussoftware en analyse in een geïsoleerde testomgeving (een zogeheten sandbox) te herkennen en zich dan te 'verstoppen' of niets te doen, zodat beveiligingsonderzoekers ze moeilijker kunnen bestuderen.
Een belangrijke trend is de jacht op sessiecookies en tokens, juist omdat steeds meer diensten tweestapsverificatie verplicht stellen. Door niet het wachtwoord maar de al ingelogde sessie te stelen, omzeilen criminelen die extra beveiligingslaag zonder haar te 'kraken'. Browserfabrikanten proberen dit tegen te gaan met sterkere cookie-encryptie, maar infostealers passen zich telkens aan.
Ook de markt zelf professionaliseert. Naast MaaS-abonnementen bestaan er marktplaatsen die automatisch verse logs aanbieden, doorzoekbaar op land, browser of type account. Diensten zoals Have I Been Pwned zijn gaan samenwerken met onderzoekers om grote hoeveelheden gestolen inloggegevens uit dit soort logs te verwerken, zodat gebruikers kunnen controleren of hun gegevens zijn buitgemaakt.
Tegelijk boeken opsporingsdiensten resultaat: de takedowns van RedLine, Genesis Market en in mei 2025 van de infrastructuur achter de infostealer LummaC2 (een gezamenlijke actie van Microsoft, het Amerikaanse ministerie van Justitie en internationale partners) laten zien dat dit soort netwerken wel degelijk te ontmantelen zijn. Het obstakel is dat de makers vaak snel een opvolger lanceren of naar een ander platform verhuizen, waardoor het een kat-en-muisspel blijft.
Wie werken eraan?
Aan de aanvallende kant opereren infostealers doorgaans vanuit cybercrime-forums en Telegram-kanalen, met veel activiteit die te herleiden is naar Russischtalige criminele netwerken, al is herkomst niet altijd met zekerheid vast te stellen en wisselt dit per malware-familie.
Aan de verdedigende kant houden gespecialiseerde beveiligingsbedrijven zoals Recorded Future, Group-IB, Hudson Rock en KELA de infostealer-markt nauwlettend in de gaten en publiceren zij dreigingsrapporten. Grote technologiebedrijven als Microsoft zetten hun eigen digital crimes-afdelingen in om criminele infrastructuur juridisch en technisch aan te pakken.
Op overheidsniveau zijn de FBI, Europol en Eurojust regelmatig betrokken bij internationale takedown-operaties, vaak in samenwerking met de Nederlandse politie, die door de aanwezigheid van veel technische infrastructuur in Nederlandse datacenters vaak een sleutelrol speelt. Het Nationaal Cyber Security Centrum (NCSC) in Nederland waarschuwt bedrijven en overheidsinstellingen voor infostealer-dreigingen en adviseert over preventie, zoals het gebruik van wachtwoordmanagers, tweestapsverificatie en het tijdig updaten van software.