Nel panorama della cybersecurity, gli infostealer rappresentano una delle minacce più pervasive ed efficaci a disposizione dei criminali informatici. Questi tipi di malware sono progettati per sottrarre informazioni sensibili dai dispositivi compromessi, tra cui password salvate, cookie di navigazione, dati di autocompletamento e dettagli del sistema che possono consentire agli aggressori di impersonare gli utenti. Particolarmente preoccupante è la capacità di questi strumenti di rubare session cookies, che permette agli attaccanti di bypassare i meccanismi di autenticazione a più fattori (MFA), rendendo le difese tradizionali inefficaci.
La scelta di un fornitore di threat intelligence specializzato in infostealer è quindi una decisione strategica fondamentale per le organizzazioni che desiderano proteggere i propri asset digitali. Il mercato offre diverse soluzioni, ognuna con punti di forza specifici.
Analisi dei Principali Fornitori di Intelligence sugli Infostealer
Di seguito, una panoramica dei principali attori nel settore, basata sulle loro capacità e approcci:
- Cyble: Si distingue per chi cerca un'integrazione dell'intelligence sugli infostealer all'interno di un flusso di lavoro di threat intelligence più ampio. La sua piattaforma Cyble Vision combina il monitoraggio delle credenziali compromesse con la sorveglianza del dark web, la protezione del marchio e la gestione della superficie d'attacco. L'unità di ricerca di Cyble, Cyble Research and Intelligence Labs, fornisce analisi approfondite su nuove famiglie di stealer e campagne in corso.
- Flare: Offre una piattaforma completa di Cyber Threat Intelligence (CTI) dove i log degli infostealer sono considerati un set di dati centrale. L'interfaccia utente è apprezzata per la sua pulizia e facilità d'uso, riducendo la curva di apprendimento per gli analisti. La copertura dei log degli infostealer è ampia e fornisce dettagli significativi sulle macchine infette.
- SpyCloud: Focalizzato sulla protezione dalle minacce all'identità, SpyCloud eccelle nel tracciamento dei dati di sessione. È particolarmente efficace nell'aiutare le organizzazioni a invalidare le sessioni compromesse prima che vengano sfruttate dagli aggressori, rendendolo una scelta ideale per le aziende preoccupate dal bypass dell'MFA.
- Breachsense: Adotta un approccio API-first per il monitoraggio del dark web e dei log degli infostealer. La sua infrastruttura backend è robusta e ben documentata, il che lo rende attraente per i team che intendono integrare gli alert direttamente nei loro sistemi SIEM (Security Information and Event Management) o SOAR (Security Orchestration, Automation and Response).
- Lunar (Webz.io): Basato sull'infrastruttura di dati web di Webz.io, Lunar si distingue per l'accesso gratuito e generoso al monitoraggio delle credenziali compromesse, offrendo visibilità significativa anche a organizzazioni più piccole.
- SOCRadar: Si posiziona come un fornitore di intelligence estesa, integrando i dati sugli infostealer con il monitoraggio della superficie d'attacco esterna e la protezione dai rischi digitali. La sua forza risiede nel contesto delle macchine compromesse.
- Constella Intelligence: Analizza gli infostealer attraverso la lente del rischio d'identità, attingendo a un vasto archivio di dati su violazioni ed esposizioni. Le capacità di tracciamento delle sessioni e le funzionalità API sono ben valutate, utili per la prevenzione delle frodi e la difesa contro il takeover degli account.
- Recorded Future: Uno dei nomi più noti nel campo della threat intelligence. I dati sugli infostealer sono un modulo all'interno della sua vasta piattaforma. Offre un buon contesto delle macchine e una qualità API elevata, sebbene i dettagli a livello di sessione siano meno approfonditi rispetto ai fornitori più specializzati.
- NordStellar: Proveniente da Nord Security (l'azienda dietro NordVPN), ha rapidamente guadagnato terreno grazie a una solida copertura delle sessioni e a un buon contesto delle macchine. Essendo un attore relativamente nuovo, gli acquirenti dovrebbero valutare il suo rapido sviluppo rispetto a una storia operativa più breve.
- KELA: Specializzato nell'intelligence sul cybercrime raccolta da forum underground e marketplace. La sua copertura degli infostealer beneficia di questa prospettiva unica, con un solido tracciamento delle sessioni, sebbene il contesto delle macchine e la profondità dell'API siano moderati rispetto ad altri fornitori.
Criteri Chiave per la Scelta
La scelta del fornitore ideale dipende dalle esigenze specifiche di ogni organizzazione. Tuttavia, due capacità meritano particolare attenzione:
- Copertura delle Sessioni: Dato che il furto di cookie è un metodo comune per aggirare l'MFA, una robusta capacità di monitoraggio e protezione delle sessioni è cruciale.
- Contesto della Macchina: Comprendere esattamente quale dispositivo è stato compromesso è fondamentale per contenere rapidamente i danni e rispondere efficacemente a un incidente.
Per le organizzazioni che necessitano di un'integrazione profonda con i propri sistemi di sicurezza, la qualità dell'API è un fattore determinante, favorendo fornitori come Breachsense e Recorded Future. Per chi è focalizzato sulla prevenzione del takeover degli account, SpyCloud, Constella e NordStellar offrono funzionalità di sessione particolarmente performanti.
In definitiva, una prova pratica (trial) contro un set noto di account esposti rimane il modo più affidabile per valutare le prestazioni di un fornitore nel mondo reale.
