Auf den Punkt: Infostealer greifen zunehmend aktive Session-Token ab, mit denen Angreifer die MFA umgehen und sich in Richtung Active Directory bewegen können.
Infostealer-Malware liest neben Passwörtern zunehmend auch aktive Session-Token aus Browsern aus. Mit einem gültigen Token können Angreifer die Multifaktor-Authentifizierung vollständig umgehen und sich direkt in bestehende Sitzungen einklinken.
Infostealer sind darauf spezialisiert, auf infizierten Systemen gespeicherte Zugangsdaten abzugreifen. Neben klassischen Zugangsdaten wie Benutzernamen und Passwörtern extrahieren aktuelle Varianten dieser Malware auch aktive Session-Token aus Browsern und Anwendungen. Ein solches Token bestätigt gegenüber einem Dienst, dass eine Sitzung bereits erfolgreich authentifiziert wurde – inklusive einer zuvor erfolgten Multifaktor-Anmeldung.
Für Angreifer bedeutet ein gültiges, gestohlenes Session-Token, dass sie sich als bereits angemeldeter Nutzer ausgeben können, ohne selbst Passwort oder zweiten Faktor eingeben zu müssen. Die MFA-Prüfung wird dabei nicht gebrochen, sondern schlicht umgangen, da sie bereits stattgefunden hat. Von diesem initialen Zugriffspunkt aus können sich Angreifer lateral durch die Umgebung bewegen, mit dem Ziel, weitergehende Rechte zu erlangen und letztlich das Active Directory zu erreichen – die zentrale Instanz für Identitäts- und Rechteverwaltung in vielen Unternehmensnetzwerken.
Für CISOs verschiebt sich dadurch der Fokus klassischer Identitätsabsicherung: MFA allein schützt nicht mehr zuverlässig, wenn die zugrunde liegende Sitzung kompromittiert werden kann. Relevant wird daher die Frage, wie schnell geleakte Zugangsdaten und Token erkannt und für ungültig erklärt werden können, bevor sie für einen Angriff genutzt werden.
Als Gegenmaßnahme wird in dem Zusammenhang Exposure Management genannt, das geleakte Zugangsdaten nahezu in Echtzeit auf Gültigkeit prüft, mögliche MFA-Umgehungen erkennt und die damit verbundenen Berechtigungen bewertet. Damit lässt sich der Zeitraum verkürzen, in dem gestohlene Token tatsächlich für einen Zugriff nutzbar sind.
Quelle: www.security-insider.de · Erschienen 3. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.