When most people picture a computer virus, they imagine something loud: a frozen screen, a ransom note, files that won't open. The malware we see most often in our research does the opposite. It runs for a few seconds, copies everything valuable it can reach, sends it to a server and exits. Often the victim never notices anything at all.
This kind of malware is called an infostealer, or just a stealer. Families like Lumma, RedLine and Vidar on Windows, and Atomic (AMOS) and its many offshoots on macOS, are rented out as subscriptions to people who need no technical skill to use them.
What a stealer goes after
A stealer is built to grab anything that can be turned into money or access, as quickly as possible:
- Saved browser passwords from Chrome, Edge, Brave, Firefox and others.
- Session cookies, the small tokens that keep you logged in to email, social media, Discord, Steam and work tools.
- Crypto wallets, both desktop apps and browser extensions such as MetaMask.
- Messaging sessions like Telegram, plus files on the Desktop and in Documents that look interesting (anything named "password", "wallet", "seed" or "backup").
- On macOS, the login Keychain, often unlocked by tricking you into typing your Mac password into a fake system dialog.
Why cookies matter more than passwords
Two-factor authentication protects the moment you log in. A session cookie is what a website hands you after that moment. If someone copies the cookie into their own browser, the site often treats them as you, already logged in, with no password and no code needed.
That's why a stealer infection is so damaging even for careful people with strong passwords and 2FA. It's also why stolen accounts get taken over within hours: the stolen data is sold or shared in bulk, and buyers sort it for the most valuable sessions.
How people get infected
Stealers rarely exploit software bugs. They rely on people running them. The most common routes we see:
- Cracked software and game cheats. A "free" copy of a paid app or a cheat for a popular game is the classic lure.
- Fake updates and fake installers promoted through search ads that look like the real download page.
- Paste-a-command tricks, where a web page asks you to copy something into Terminal or the Windows Run box. We cover this in our post on ClickFix.
- Direct messages on Discord, Telegram or LinkedIn offering a "game to test", a job task or a document to review.
A Mac warning signIf an app you just opened asks for your Mac password in a plain-looking window, and it isn't an installer you started yourself, stop. Real macOS prompts come from System Settings or the installer, not from a random app on its first launch.
What to do if you think you ran one
Speed matters, because the data usually leaves your computer within seconds.
- From a different, clean device, change the password of your main email first, then banking, then everything else.
- Log out of all sessions. Most big services (Google, Microsoft, Apple, Discord, Steam) have a "sign out everywhere" option. This kills the stolen cookies.
- Move crypto to a brand-new wallet with a new recovery phrase created on a clean device. Assume the old one is burned.
- Scan and clean the computer, and check for anything set to start at login.
- Turn on 2FA everywhere it isn't already on, preferably with an authenticator app or a passkey rather than SMS.
How Agamemnon stops stealers
Because stealers finish so quickly, a scan after the fact is too late. Agamemnon watches which programs open the files where browsers, wallets and the Keychain keep their secrets. When an unknown or unsigned program starts reading those files, Agamemnon stops it, usually within about a second, before it has time to send anything out. It also checks every new program against tens of millions of known malware fingerprints the moment it starts.
No tool catches everything, so the habits above still matter most: get software from its real source, never paste commands a web page gives you, and treat "free" paid software as the trap it usually is.
Çoğu kişi bilgisayar virüsü denince gürültülü bir şey hayal eder: donan ekran, fidye notu, açılmayan dosyalar. Araştırmalarımızda en sık gördüğümüz zararlı yazılım bunun tam tersini yapıyor. Birkaç saniye çalışıyor, ulaşabildiği değerli her şeyi kopyalıyor, bir sunucuya gönderiyor ve kapanıyor. Çoğu zaman kurban hiçbir şey fark etmiyor.
Bu tür zararlı yazılıma veri hırsızı (infostealer ya da kısaca stealer) deniyor. Windows'ta Lumma, RedLine ve Vidar, macOS'ta ise Atomic (AMOS) ve sayısız türevi, hiçbir teknik bilgiye ihtiyaç duymayan kişilere abonelikle kiralanıyor.
Bir veri hırsızı neyin peşindedir?
Bir stealer, paraya ya da erişime dönüştürülebilecek her şeyi olabildiğince hızlı toplamak için tasarlanır:
- Chrome, Edge, Brave, Firefox gibi tarayıcılarda kayıtlı parolalar.
- E-posta, sosyal medya, Discord, Steam ve iş araçlarında oturumunuzu açık tutan küçük anahtarlar, yani oturum çerezleri.
- Masaüstü uygulamaları ve MetaMask gibi tarayıcı eklentileri dahil kripto cüzdanlar.
- Telegram gibi mesajlaşma oturumları ve Masaüstü ile Belgeler klasöründe ilginç görünen dosyalar (adında "şifre", "wallet", "seed" ya da "yedek" geçen her şey).
- macOS'ta, çoğu zaman sizi sahte bir sistem penceresine Mac parolanızı yazdırarak açılan giriş Anahtar Zinciri.
Çerezler neden parolalardan daha önemli?
İki adımlı doğrulama, giriş yaptığınız anı korur. Oturum çerezi ise bir sitenin size o andan sonra verdiği şeydir. Biri bu çerezi kendi tarayıcısına kopyalarsa site onu çoğu zaman siz olarak görür: oturumu zaten açıktır, ne parola ne de kod gerekir.
Bu yüzden güçlü parola ve iki adımlı doğrulama kullanan dikkatli kişiler için bile bir stealer bulaşması bu kadar yıkıcıdır. Çalınan hesapların saatler içinde ele geçirilmesinin nedeni de budur: çalınan veriler toplu olarak satılır ya da paylaşılır, alıcılar en değerli oturumları ayıklar.
İnsanlara nasıl bulaşıyor?
Veri hırsızları nadiren yazılım açıklarını kullanır. Asıl dayanakları, insanların onları kendi elleriyle çalıştırmasıdır. En sık gördüğümüz yollar:
- Kırık (crack) yazılımlar ve oyun hileleri. Ücretli bir uygulamanın "bedava" kopyası ya da popüler bir oyun için hile, klasik bir yemdir.
- Arama reklamlarıyla öne çıkarılan, gerçek indirme sayfasına benzeyen sahte güncellemeler ve sahte yükleyiciler.
- Bir web sayfasının sizden Terminal'e ya da Windows Çalıştır kutusuna bir şey yapıştırmanızı istediği komut yapıştırma tuzakları. Bunu ClickFix yazımızda anlatıyoruz.
- Discord, Telegram ya da LinkedIn'de "test etmeniz için bir oyun", bir iş görevi ya da incelemeniz gereken bir belge sunan özel mesajlar.
Mac için bir uyarı işaretiYeni açtığınız bir uygulama sade görünen bir pencerede Mac parolanızı istiyorsa ve bu sizin başlattığınız bir yükleyici değilse durun. Gerçek macOS istekleri Sistem Ayarları'ndan ya da yükleyiciden gelir, rastgele bir uygulamanın ilk açılışından değil.
Birini çalıştırdığınızı düşünüyorsanız ne yapmalısınız?
Hız önemlidir, çünkü veriler genellikle saniyeler içinde bilgisayarınızdan çıkar.
- Farklı ve temiz bir cihazdan önce ana e-posta parolanızı, sonra bankanızı, sonra geri kalan her şeyi değiştirin.
- Tüm oturumlardan çıkış yapın. Büyük servislerin çoğunda (Google, Microsoft, Apple, Discord, Steam) "her yerden çıkış yap" seçeneği vardır. Bu, çalınan çerezleri geçersiz kılar.
- Kripto varlıklarınızı temiz bir cihazda oluşturulmuş, yeni kurtarma kelimelerine sahip yepyeni bir cüzdana taşıyın. Eskisini yanmış sayın.
- Bilgisayarı tarayıp temizleyin ve oturum açılışında başlayacak şekilde ayarlanmış bir şey olup olmadığına bakın.
- Henüz açık olmayan her yerde iki adımlı doğrulamayı açın; mümkünse SMS yerine bir doğrulama uygulaması ya da geçiş anahtarı (passkey) kullanın.
Agamemnon veri hırsızlarını nasıl durdurur?
Veri hırsızları işini çok çabuk bitirdiği için sonradan yapılan bir tarama geç kalır. Agamemnon, tarayıcıların, cüzdanların ve Anahtar Zinciri'nin sırlarını tuttuğu dosyaları hangi programların açtığını izler. Bilinmeyen ya da imzasız bir program bu dosyaları okumaya başladığında Agamemnon onu, genellikle yaklaşık bir saniye içinde, dışarıya bir şey gönderemeden durdurur. Ayrıca her yeni programı başladığı anda on milyonlarca bilinen zararlı yazılım parmak iziyle karşılaştırır.
Hiçbir araç her şeyi yakalayamaz; bu yüzden yukarıdaki alışkanlıklar hâlâ en önemlisidir: yazılımı gerçek kaynağından edinin, bir web sayfasının verdiği komutları asla yapıştırmayın ve "bedava" ücretli yazılımı genellikle olduğu gibi bir tuzak olarak görün.
