信息窃取木马与
会话失窃

信息窃取木马是什么

信息窃取木马是一类以收集并外传设备上有价值信息为主要目的的恶意软件。目标可能包括浏览器保存的凭据、会话 Cookie、自动填充数据、邮箱配置、应用令牌、部分本地文件和设备信息。它不一定造成明显卡顿或弹窗，因此“电脑看起来正常”不能排除凭据已经泄露。

典型迹象

• 终端安全平台提示浏览器凭据存储、会话数据或敏感配置被异常访问。
• 用户未操作时出现陌生设备、地点或应用登录，以及连续的风险登录告警。
• 邮箱新增自动转发或隐藏规则，MFA、恢复邮箱、OAuth 授权或应用密码被修改。
• 终端在打开可疑附件、下载包或未经批准的软件后，出现短暂进程链和异常外联。
• 财务、云控制台、代码仓库或客户系统中出现未经授权的查询、导出或配置变更。

异常登录位置、单次网络连接或某个文件名都不能独立证明感染。需要把终端遥测、身份审计和业务系统记录放到同一时间线。

可能造成的业务影响

被窃凭据可导致企业邮箱接管、付款信息篡改、客户数据访问、云资源滥用和代码或密钥泄露。若员工在不同系统复用密码，影响会跨越原始终端；若会话令牌仍然有效，攻击者可能在改密后继续访问。因此，影响评估对象应是“用户及其可访问资源”，而不只是检测到木马的设备。

授权管理员的安全处置建议

1. 隔离可疑终端并暂停敏感操作。由有权限人员使用既定网络隔离或 EDR 流程，避免继续外传；不要在该设备上登录管理员、邮箱或银行账户。
2. 界定可能暴露的身份。确认设备使用者、浏览器配置、业务应用、管理员工具、API 密钥和共享凭据的使用情况，不要把调查范围只限于一个账号。
3. 从可信设备处置身份。按身份平台能力撤销现有会话和刷新令牌，再轮换密码、API 密钥或其他凭据；高权限与财务账号优先。
4. 检查持久访问。复核 MFA 方法、恢复信息、邮箱转发与收件规则、OAuth 应用授权、云端访问密钥和新增管理员。
5. 保全并关联证据。保存终端告警、进程关系、身份日志、邮箱审计和关键业务系统记录，确认首次活动、访问资源和可能的数据外传。
6. 排查同源影响。在其他设备上搜索相同传播入口与行为，检查相同附件、下载来源或账号是否影响更多人员。
7. 恢复与持续监测。按组织标准重建或清理设备，在重新接入前验证状态；对已处置账号、相关 SaaS 和财务流程保持一段时间的增强监测。

身份平台的会话撤销和令牌失效机制各不相同。生产环境操作前应核对对应平台文档、应用依赖和应急预案，避免导致关键服务账号中断。

常见误区

“修改密码后就安全了”

已签发的会话、应用令牌、邮箱规则或恢复方式可能仍然有效。改密应与会话撤销、授权审查和终端处置一起完成。

“启用 MFA 就不会被接管”

MFA 能显著降低风险，但被窃的已登录会话、错误授权或社会工程仍可能绕开重新认证。应优先采用抗钓鱼 MFA，并对高风险操作设置再次验证。

“终端已经删除恶意文件，账号无需处理”

信息可能在检测前已经外传。恶意文件清除成功不等于浏览器、云平台和业务系统中的凭据仍可信。

“只有保存过密码的浏览器受影响”

风险还可能涉及会话、邮箱、应用配置、API 密钥和用户可访问的文件。具体范围必须根据现场证据确定。

长期防护基线

• 为邮箱、远程访问、云平台和管理员账号部署抗钓鱼 MFA，并减少长期有效会话。
• 禁止共享高权限账号，使用受管密码与密钥生命周期，分离日常账号和管理账号。
• 限制未经批准的软件、浏览器扩展和下载来源，强化邮件与网页内容检查。
• 在终端监测敏感凭据访问、异常进程关系和外联，并与身份风险告警关联。
• 对邮箱规则、第三方应用授权、云端密钥和高权限变更建立审计与告警。
• 为财务付款、收款账户变更和敏感数据导出设计独立复核流程。

卡巴斯基产品能力的评估边界

可评估终端恶意软件防护、行为检测、应用与网页控制、EDR 调查响应、XDR 数据关联及 MDR/MXDR 持续监测能力。POC 应覆盖浏览器与业务应用兼容性、终端隔离权限、告警上下文、身份平台可见性和事件交接流程。

终端产品可能帮助发现或阻断窃密行为，但不能代替身份平台中的会话撤销、强认证、密钥轮换和业务欺诈控制。具体检测名称和响应能力以当前版本、许可、平台及正式文档为准。