Infostealer treiben die neue Cybercrime-Wirtschaft an

Veröffentlicht Mai 19, 2026 Zuletzt aktualisiert am 1. Juni 2026

Einer der deutlichsten Trends, der sich aus Ontinues Bedrohungsbericht 2H 2025 war die wachsende Rolle von Infostealern bei modernen Cyberangriffen. Was einst als relativ “einfache” Malware angesehen wurde, hat sich zu einer grundlegenden Schicht der heutigen Cyberkriminalität entwickelt, die identitätsgesteuerte Angriffe in großem Umfang ermöglicht.

Dieser Wandel steht in direktem Zusammenhang mit einem der wichtigsten Ergebnisse des Berichts: Angreifer loggen sich zunehmend ein, anstatt einzubrechen.

Anstatt sich auf lärmende Exploits oder den Einsatz herkömmlicher Malware zu verlassen, verschaffen sich Angreifer Zugang über gestohlene Anmeldedaten, Sitzungs-Token, Browser-Cookies und vertrauenswürdige Identitäten. Infostealer sind einer der wichtigsten Mechanismen, die dies ermöglichen.

Der Aufstieg der modernen Infostahler

Im Jahr 2025 beobachtete Ontinue's Cyber Defense Center (CDC) eine wachsende Zahl von Kampagnen, die auf Node.js-basierten Infostealern basieren. Diese Angriffe verpacken bösartigen Code in scheinbar legitime Anwendungen, bei denen es oft um KI-Tools, Produktivitätssoftware oder kostenlose Dienstprogramme geht.

Der Ansatz ist täuschend einfach.

Ein Benutzer lädt eine scheinbar harmlose Anwendung herunter. Hinter den Kulissen stellt das Installationsprogramm jedoch eine lokale Node.js-Laufzeitumgebung bereit und führt unbemerkt bösartiges JavaScript aus, das darauf abzielt:

• Sammeln von Browser-Anmeldedaten und Sitzungscookies
• Sammeln von Host- und Systeminformationen
• Einrichtung der Persistenz durch Registrierungsänderungen oder geplante Aufgaben
• Verbindung zu einer von Angreifern kontrollierten Infrastruktur für die Datenexfiltration

Da diese Angriffe legitime Laufzeiten und vertrauenswürdige Frameworks nutzen, fügen sie sich oft in normale Endpunktaktivitäten ein. In vielen Fällen wird die ursprüngliche Software nur als potenziell unerwünschte Anwendung (PUA) eingestuft, was die Eskalation verzögert und den Angreifern wertvolle Zeit verschafft, unbemerkt zu operieren.

Warum Angreifer dieses Modell lieben

Infobetrüger sind effektiv, weil sie Vertrauen ausnutzen.

Node.js ist in Unternehmens- und Entwicklungsumgebungen weit verbreitet, was es weit weniger verdächtig macht als ein individuelles bösartiges Binärprogramm. Die Malware wird in einer vertrauten Laufzeitumgebung ausgeführt, oft ohne dass administrative Rechte erforderlich sind, während die in der Cloud gehostete Infrastruktur und neu registrierte Domänen dazu beitragen, dass sich der Datenverkehr der Angreifer mit legitimen SaaS- und Web-Aktivitäten vermischt.

So entsteht ein unauffälliges und hoch skalierbares Angriffsmodell.

Anstatt sich darauf zu konzentrieren, Sicherheitskontrollen direkt zu durchbrechen, konzentrieren sich Angreifer auf das unauffällige Sammeln von Anmeldedaten und Zugangsartefakten, die sie später zu Geld machen können. Diese gestohlenen Zugangsdaten werden dann verkauft, wiederverwendet oder für Folgeangriffe wie Ransomware, Kompromittierung von Geschäfts-E-Mails, Cloud-Kompromittierung und Datendiebstahl genutzt.

Das Ergebnis ist ein sich rasch ausbreitender unterirdischer Markt für den Zugang.

Der jüngste Threat Intelligence Report von Ontinue ergab eine Zunahme der Auflistung gestohlener Zeugnisse um 72% Dies unterstreicht, wie zentral diese Werkzeuge für das breitere Ökosystem der Internetkriminalität geworden sind.

KI-basierte Köder und trojanisierte Software

Eine bemerkenswerte Entwicklung im Jahr 2025 war der Anstieg von KI-bezogenen Liefermechanismen.

Angreifer wissen, dass Nutzer aktiv mit KI-Tools und Entwickler-Frameworks experimentieren, was ihnen die Möglichkeit bietet, Malware als legitime Innovation zu tarnen. Kürzlich, veröffentlichten wir eine Analyse über einen gefälschten Claude Code Installer-Kampagne, die genau diese Taktik nutzte, um Malware über eine trojanisierte Entwicklungsumgebung zu verbreiten.

Diese Kampagnen spiegeln einen breiteren Trend wider, bei dem Angreifer zunehmend vertrauenswürdige Software-Ökosysteme als Waffe einsetzen, anstatt sich nur auf traditionelle Phishing-Anhänge oder Exploit-Kits zu verlassen.

Warum dies für Sicherheitsteams wichtig ist

Die Herausforderung bei modernen Infostealern ist nicht nur die Erkennung von Malware. Es geht darum, den Identitätsmissbrauch und die vertrauenswürdige Ausführung zu erkennen.

Viele Unternehmen konzentrieren sich immer noch stark auf die Identifizierung offensichtlich bösartiger Binärdateien oder Exploit-Aktivitäten. Doch moderne Angreifer operieren zunehmend über:

• Legitime Laufzeiten
• Vertrauenswürdige Cloud-Dienste
• Gültige Berechtigungsnachweise
• Normal aussehende Authentifizierungsabläufe

Dadurch verschwimmt die Grenze zwischen legitimen und bösartigen Aktivitäten, und die kontextabhängige Erkennung wird immer wichtiger.

Sicherheitsteams sollten Prioritäten setzen:

• Starke MFA und phishing-resistente Authentifizierung
• Überwachung auf ungewöhnliche Identitäts- und Sitzungsaktivitäten
• Unerlaubte Software-Downloads einschränken
• Sichtbarkeit von Browser-Anmeldedaten-Diebstahl und Token-Missbrauch
• Bedrohungsjagd auf Persistenzmechanismen wie Ausführungsschlüssel und geplante Aufgaben
• Sensibilisierung der Nutzer für KI-gestützte Software und gefälschte Installationsprogramme

Das größere Bild

Infostahler sind nicht mehr nur opportunistische Malware-Infektionen. Sie treiben eine industrialisierte Zugriffsökonomie an, die einige der gefährlichsten Cyber-Bedrohungen von heute unterstützt.

Da Angreifer sich immer mehr auf identitätsgesteuerte Eindringungsmodelle verlegen, ist gestohlener Zugang wertvoller geworden als die Ausnutzung selbst.

Deshalb müssen sich moderne Verteidigungsstrategien nicht nur auf die Verhinderung der Ausführung von Malware konzentrieren, sondern auch auf den Schutz von Identitäten, die Überwachung von Vertrauensbeziehungen und die Erkennung von Missbrauch bei scheinbar legitimen Aktivitäten.

Lesen Sie unsere kürzlich veröffentlichte Studie: Hinter einem gefälschten Claude Code Installer