Pobierasz „darmową” wersję płatnego programu, uruchamiasz instalator i nic się nie dzieje. Może pojawi się komunikat o błędzie, może program nawet zadziała. Kilkanaście sekund później Twoje zapisane hasła, ciasteczka sesji i dane z przeglądarki są już na serwerze przestępcy. Tak działa infostealer, czyli jeden z najczęściej spotykanych dziś typów złośliwego oprogramowania i jedno z głównych źródeł przejętych kont w mediach społecznościowych, bankowości i usługach firmowych.

Ten tekst wyjaśnia, czym są infostealery, dlaczego potrafią ominąć uwierzytelnianie dwuskładnikowe, skąd biorą się infekcje i co zrobić, jeśli podejrzewasz, że Twój komputer padł ofiarą takiego programu.

Czym jest infostealer?

Infostealer (ang. information stealer) to złośliwy program, którego jedynym zadaniem jest szybkie zebranie cennych danych z urządzenia i wysłanie ich atakującemu. W odróżnieniu od ransomware nie szyfruje plików i nie żąda okupu. W przeciwieństwie do klasycznych trojanów często nie próbuje też długo ukrywać się w systemie.

Wiele infostealerów działa według schematu „wejdź, zabierz, wyjdź”. Uruchamiają się, w ciągu kilku sekund przeszukują dysk i przeglądarki, pakują znalezione dane do archiwum, wysyłają je na serwer i nierzadko same się usuwają. Dlatego ofiara zwykle niczego nie zauważa, a program antywirusowy uruchomiony kilka dni później może nie znaleźć już żadnego śladu.

Najbardziej znane rodziny tego oprogramowania to m.in. RedLine, Raccoon, Vidar, StealC i Lumma. Nazwy zmieniają się jednak szybko. Gdy jedna rodzina zostaje rozbita przez organy ścigania, jej miejsce zajmują kolejne.

Co dokładnie kradnie infostealer?

Zakres kradzieży zależy od konkretnej odmiany, ale typowy „log” (tak przestępcy nazywają paczkę danych z jednego komputera) zawiera:

• hasła zapisane w przeglądarkach: Chrome, Edge, Firefox, Opera, Brave i innych;
• ciasteczka (cookies) i tokeny sesji, czyli dane, które utrzymują Cię zalogowanym;
• dane autouzupełniania: imię, nazwisko, adresy, numery telefonów, czasem dane kart płatniczych;
• portfele kryptowalut, zarówno aplikacje desktopowe, jak i rozszerzenia przeglądarki;
• sesje komunikatorów i aplikacji, np. Discorda, Telegrama czy Steama;
• pliki z pulpitu i folderu Dokumenty o określonych nazwach lub rozszerzeniach (np. „hasla.txt”, pliki z frazami seed);
• informacje o systemie: adres IP, lokalizację, wersję systemu, listę zainstalowanych programów, czasem zrzut ekranu.

Z tego zestawu najgroźniejsze są ciasteczka sesji, choć większość ludzi w ogóle o nich nie myśli.

Dlaczego kradzież ciasteczek sesji omija 2FA?

Uwierzytelnianie dwuskładnikowe chroni moment logowania. Po wpisaniu hasła i kodu serwis zapisuje w przeglądarce ciasteczko sesji, które przez kolejne dni lub tygodnie potwierdza: „ten użytkownik już się uwierzytelnił”. Dzięki temu nie musisz podawać kodu przy każdym odświeżeniu strony.

Jeśli przestępca skopiuje to ciasteczko i wczyta je do własnej przeglądarki, serwis uzna go za Ciebie. Nie potrzebuje hasła ani kodu SMS, bo etap logowania został już zaliczony. Ta technika nosi nazwę session hijacking lub pass-the-cookie.

Dlatego samo „mam włączone 2FA” nie daje pełnej ochrony. 2FA skutecznie blokuje ataki oparte na wykradzionym haśle (phishing, wycieki baz danych), ale nie zatrzyma kogoś, kto przejął już aktywną sesję.

Producenci przeglądarek reagują na ten problem. Google wprowadził w Chrome szyfrowanie powiązane z aplikacją (App-Bound Encryption), które utrudnia innym programom odczyt ciasteczek. Autorzy infostealerów dość szybko znaleźli jednak sposoby obejścia tego zabezpieczenia. Bardziej obiecującym kierunkiem jest wiązanie sesji z konkretnym urządzeniem (Google rozwija w tym celu mechanizm Device Bound Session Credentials). Skradzione ciasteczko byłoby wtedy bezużyteczne na innym komputerze. Dopóki takie rozwiązania nie staną się standardem, kradzież sesji pozostaje skuteczną metodą ataku.

Infostealer jako usługa: ekonomia, o której się nie mówi

Żeby zrozumieć skalę problemu, trzeba spojrzeć na infostealery jak na biznes, bo dla przestępców dokładnie tym są.

Malware-as-a-Service. Autor programu zwykle nie atakuje nikogo sam. Sprzedaje dostęp do narzędzia w modelu subskrypcyjnym: klient płaci abonament i dostaje panel do zarządzania, gotowe pliki do rozsyłania, aktualizacje oraz „wsparcie techniczne”. Próg wejścia w cyberprzestępczość jest więc bardzo niski. Nie trzeba umieć programować, wystarczy zapłacić.

Podział ról. Wokół infostealerów funkcjonują wyspecjalizowane grupy. Jedni zajmują się wyłącznie dystrybucją, czyli generowaniem „ruchu”: publikują filmy z crackami, kupują reklamy, zakładają fałszywe strony. Inni kupują gotowe logi i wyciągają z nich wartość: przejmują konta, opróżniają portfele, wyłudzają pieniądze.

Rynek logów. Wykradzione paczki danych trafiają na fora i kanały, gdzie są sortowane i sprzedawane, często według kraju, rodzaju kont czy obecności portfeli kryptowalut. Twoje dane mogą więc zostać użyte nie przez autora infekcji, ale przez kogoś zupełnie innego, nawet kilka tygodni później.

Z tego modelu wynika ważny wniosek: infekcja jest masowa, ale wykorzystanie danych jest selektywne. Przestępcy nie muszą celować w Ciebie konkretnie. Wystarczy, że w Twoim logu znajdzie się coś wartościowego, np. sesja do konta reklamowego, panelu sklepu internetowego czy firmowej poczty.

Skąd biorą się infekcje?

Infostealery rzadko przychodzą w oczywistej formie. Najczęstsze kanały dystrybucji to:

Pirackie oprogramowanie, cracki i keygeny

To klasyczne i wciąż bardzo skuteczne źródło. Pliki „odblokowujące” płatne programy lub gry są idealnym nośnikiem, bo użytkownik sam wyłącza antywirusa, skoro instrukcja mówi, że „antywirus fałszywie wykrywa cracka”. Ta jedna rada zamienia zabezpieczenia systemu w martwą literę.

Filmy i poradniki na YouTube

Popularny schemat: film pokazuje „darmową wersję” znanego programu, a link do pobrania znajduje się w opisie. Plik jest spakowany w archiwum chronione hasłem (podanym w opisie), co utrudnia jego automatyczne skanowanie.

Fałszywe reklamy w wyszukiwarce (malvertising)

Przestępcy kupują reklamy na frazy typu „pobierz [nazwa programu]”. Reklama prowadzi do łudząco podobnej kopii oficjalnej strony, a pobrany instalator zawiera infostealera. Ta metoda jest groźna, bo trafia do ludzi, którzy nie szukają nielegalnych plików, tylko chcą pobrać legalny program.

Fałszywe weryfikacje „nie jestem robotem”

Coraz częstsza technika, określana jako ClickFix lub fałszywa CAPTCHA. Strona prosi o „weryfikację” poprzez naciśnięcie kilku kombinacji klawiszy, np. otwarcie okna „Uruchom” i wklejenie skopiowanego wcześniej tekstu. W rzeczywistości użytkownik sam uruchamia polecenie pobierające złośliwe oprogramowanie. Żadna prawdziwa CAPTCHA nie wymaga wklejania czegokolwiek do systemu.

Mody do gier, cheaty i „narzędzia AI”

Społeczności graczy to ulubiony cel, bo młodsi użytkownicy chętnie uruchamiają nieznane pliki, a konta Steam czy Discord mają realną wartość. Podobnie działa fala fałszywych aplikacji podszywających się pod popularne narzędzia sztucznej inteligencji.

Załączniki i linki w wiadomościach

Faktury, „zlecenia”, „dokumenty do podpisu” czy „pliki od rekrutera” wysyłane e-mailem lub przez komunikatory. W kontekście firmowym to szczególnie częsty wektor ataku.

Co przestępcy robią z wykradzionymi danymi?

Najczęstszym i najszybciej monetyzowanym celem są konta w mediach społecznościowych. Przejęty profil na Facebooku służy do oszustw „na BLIK-a”, rozsyłania kolejnych złośliwych linków do znajomych i uruchamiania płatnych kampanii reklamowych z podpiętej karty. Ponieważ infostealer dostarcza aktywną sesję, przestępca wchodzi na konto bez hasła i zanim ofiara się zorientuje, zdąży zmienić adres e-mail, numer telefonu i ustawienia zabezpieczeń. Jeśli właśnie to Cię spotkało, pełny scenariusz reakcji, od zabezpieczenia poczty, przez formularze odzyskiwania, po zgłoszenie do CERT Polska i policji, opisuje przewodnik iBusinessDay.

Poza mediami społecznościowymi wykradzione dane są wykorzystywane do:

• opróżniania portfeli kryptowalut, co zwykle dzieje się w ciągu minut, bo transakcji nie da się cofnąć;
• przejmowania kont firmowych: poczty, systemów CRM, paneli sklepów, narzędzi chmurowych;
• wejścia do sieci firmowej, gdzie log z prywatnego komputera pracownika bywa pierwszym krokiem do poważniejszego ataku, w tym ransomware;
• kradzieży tożsamości i wyłudzeń z użyciem danych z autouzupełniania;
• dalszej sprzedaży na rynku logów.

Jak rozpoznać, że komputer został zainfekowany?

Zła wiadomość: infostealer często nie daje żadnych objawów w trakcie działania. Sygnały pojawiają się zwykle później, już jako skutki kradzieży:

• powiadomienia o logowaniu z nieznanych urządzeń lub lokalizacji;
• wylogowanie z kilku serwisów jednocześnie;
• zmiany haseł, adresów e-mail lub numerów telefonów, których nie inicjowałeś;
• wiadomości wysłane z Twoich kont bez Twojej wiedzy;
• nieautoryzowane transakcje, wydatki reklamowe lub zniknięcie środków z portfela kryptowalut;
• znajomi pytający o dziwne wiadomości od Ciebie.

Jeżeli kilka takich zdarzeń wystąpiło w krótkim czasie i dotyczy różnych serwisów, a niedawno uruchamiałeś plik z niepewnego źródła, najbardziej prawdopodobnym wyjaśnieniem jest właśnie infostealer, a nie pojedynczy wyciek hasła.

Warto też sprawdzić swój adres e-mail w serwisie Have I Been Pwned, który informuje o obecności adresu w znanych wyciekach danych. Brak wyniku nie oznacza jednak, że Twoje dane są bezpieczne, bo świeże logi z infostealerów rzadko trafiają do publicznych baz.

Co zrobić po infekcji? Kolejność ma znaczenie

Najczęstszy błąd to zmiana haseł na zainfekowanym komputerze. Jeśli złośliwy program nadal działa, nowe hasła trafią do przestępcy równie szybko jak stare. Postępuj w tej kolejności:

1. Odłącz podejrzane urządzenie od internetu i przestań się na nim logować gdziekolwiek.
2. Użyj innego, czystego urządzenia (np. telefonu) do dalszych działań.
3. Zabezpiecz najcenniejsze aktywa w pierwszej kolejności. Jeśli masz kryptowaluty, przenieś je do nowego portfela z nową frazą seed. Skontaktuj się z bankiem, jeśli w przeglądarce były zapisane dane kart.
4. Zmień hasło do głównej skrzynki e-mail i włącz w niej 2FA. Poczta to klucz do resetu wszystkich pozostałych kont.
5. Wyloguj wszystkie aktywne sesje. To kluczowy krok przy infostealerach, bo sama zmiana hasła nie zawsze unieważnia skradzione ciasteczka. W większości serwisów (Google, Facebook, Microsoft, Discord) znajdziesz opcję „wyloguj ze wszystkich urządzeń”.
6. Zmień hasła do pozostałych kont, zaczynając od tych zapisanych w przeglądarce, i sprawdź dane kontaktowe na każdym z nich.
7. Odbierz uprawnienia aplikacjom i tokenom API, zwłaszcza w kontach firmowych i deweloperskich.
8. Wyczyść urządzenie. Najpewniejszą metodą jest reinstalacja systemu operacyjnego. Skan antywirusowy to minimum, ale nie daje pewności.
9. Zgłoś incydent do CERT Polska przez formularz na incydent.cert.pl, a w przypadku strat finansowych złóż zawiadomienie na policji.
10. W firmie poinformuj dział IT natychmiast, nawet jeśli infekcja dotyczyła prywatnego komputera, na którym logowałeś się do służbowych usług.

Jak chronić się przed infostealerami?

Standardowe rady („uważaj, co klikasz”) są prawdziwe, ale mało konkretne. Oto działania, które realnie zmniejszają ryzyko i skalę ewentualnych strat:

• Nie uruchamiaj crackowanego oprogramowania. To wciąż najskuteczniejszy pojedynczy krok. Oszczędność na licencji jest niewspółmierna do ryzyka utraty kont i pieniędzy.
• Pobieraj programy wyłącznie z oficjalnych stron producentów, wpisując adres ręcznie zamiast klikać w reklamy w wynikach wyszukiwania.
• Nie zapisuj haseł w przeglądarce. Korzystaj z dedykowanego menedżera haseł zabezpieczonego hasłem głównym.
• Używaj kluczy dostępu (passkey) i kluczy sprzętowych FIDO2 wszędzie, gdzie to możliwe. Chronią przed phishingiem i kradzieżą haseł, choć nie eliminują w pełni ryzyka kradzieży już aktywnej sesji.
• Wylogowuj się z krytycznych serwisów (bankowość, konta reklamowe, panele administracyjne) zamiast utrzymywać sesję tygodniami. Krótsza sesja to mniejsze okno ataku.
• Oddziel środowiska. Konta firmowe i reklamowe obsługuj w osobnym profilu przeglądarki lub na osobnym urządzeniu, na którym nie instalujesz gier, modów ani przypadkowych programów.
• Pracuj na koncie użytkownika bez uprawnień administratora i nie wyłączaj ochrony systemu na prośbę instrukcji z internetu.
• Nigdy nie wklejaj poleceń do okna „Uruchom” ani terminala na prośbę strony internetowej.
• Przechowuj kryptowaluty w portfelu sprzętowym, a frazy seed zapisuj offline, nigdy w pliku na komputerze.
• Regularnie przeglądaj aktywne sesje w najważniejszych kontach i usuwaj te, których nie rozpoznajesz.

Najczęstsze mity o infostealerach

„Mam antywirusa, więc jestem bezpieczny.” Nowe warianty infostealerów są regularnie modyfikowane tak, aby omijać wykrywanie. Antywirus jest ważną warstwą ochrony, ale nie gwarancją.

„Mam 2FA, więc nikt nie przejmie mojego konta.” Jak opisaliśmy wyżej, kradzież sesji omija drugi składnik logowania.

„Nie mam nic cennego na komputerze.” Wartością nie są pliki, tylko dostęp do kont: Facebooka, poczty, Allegro, Steama czy konta reklamowego. Każde z nich da się spieniężyć.

„Mac i Linux są odporne.” Infostealery na macOS istnieją i są aktywnie rozwijane. Mniejsza skala nie oznacza braku zagrożenia.

FAQ

Czy infostealer może działać na telefonie?

Tak, choć na smartfonach częściej spotyka się inne typy złośliwych aplikacji, np. trojany bankowe przechwytujące SMS-y i powiadomienia. Ryzyko rośnie przy instalowaniu aplikacji spoza oficjalnych sklepów.

Czy zmiana hasła wystarczy po infekcji?

Nie. Trzeba jeszcze unieważnić aktywne sesje (wylogować wszystkie urządzenia) i usunąć złośliwe oprogramowanie z komputera. Inaczej przestępca zachowa dostęp lub przechwyci nowe hasło.

Jak długo skradzione ciasteczka są ważne?

To zależy od serwisu. Niektóre sesje wygasają po kilku godzinach, inne pozostają aktywne tygodniami. Ręczne wylogowanie wszystkich sesji zwykle unieważnia skradzione ciasteczka.

Czy tryb incognito chroni przed infostealerem?

Częściowo. Po zamknięciu okna incognito przeglądarka usuwa ciasteczka, więc nie ma czego ukraść z tej konkretnej sesji. Infostealer nadal jednak odczyta dane z normalnego profilu przeglądarki i inne pliki z komputera.

Skąd mam wiedzieć, że plik jest bezpieczny?

Pewności nie daje nic poza pobraniem z oficjalnego źródła. Dodatkowo można sprawdzić plik w serwisie VirusTotal, ale świeże warianty złośliwego oprogramowania mogą nie być jeszcze wykrywane.

Podsumowanie

Infostealer to cichy, szybki i tani w użyciu sposób na przejęcie cyfrowego życia ofiary. Jego siła polega na tym, że nie musi łamać zabezpieczeń. Wystarczy, że użytkownik sam uruchomi plik, a program zabierze wszystko, co przeglądarka pamięta za niego, łącznie z aktywnymi sesjami omijającymi 2FA.

Najskuteczniejsza obrona sprowadza się do trzech zasad: nie uruchamiaj plików z niepewnych źródeł, nie powierzaj haseł przeglądarce i oddzielaj konta o dużej wartości od codziennego korzystania z komputera. A jeśli do infekcji już doszło, działaj z czystego urządzenia, zacznij od poczty i najcenniejszych aktywów, a potem systematycznie wyloguj wszystkie sesje.