Un infostealer è malware con un obiettivo chirurgico: entra, saccheggia i segreti in pochi secondi e se ne va, spesso senza persistere. Cosa ruba: password e cookie salvati nei browser (i cookie di sessione sono l'oro – bypassano login e MFA perché la sessione è già autenticata), portafogli crypto, token di Discord/Telegram, chiavi SSH, credenziali di file di configurazione.
Come esfiltra: comprime il bottino e lo spedisce al C2 via HTTPS o Telegram – traffico che si mimetizza nel normale. Il modello di business è malware-as-a-service: chi lo compra riceve un pannello, e i log rubati finiscono in vendita nei mercati underground, alimentando il credential stuffing e gli accessi iniziali dei ransomware.
L'ingresso tipico: crack e software pirata, estensioni malevole, allegati di phishing. Le difese: passkey/chiavi hardware (niente password da rubare), non salvare i segreti nel browser (un password manager serio cifra il vault), EDR che riconosce il comportamento, e sessioni brevi. E se sei un'organizzazione, il monitoraggio dei log rubati ti avvisa quando le tue credenziali compaiono in vendita.