Anatomie van een stealer-log-entry: wat één regel gestolen data werkelijk bevat
Als een infostealer klaar is, is het resultaat geen spectaculaire exploit maar een tekstbestand. Verkopers noemen het een log: alles wat de malware van één machine heeft gepakt, zo gerangschikt dat kopers het in één oogopslag kunnen parsen. Omdat een groot deel van de huidige accountovernames hier begint, is het de moeite waard te zien wat één entry bevat. De entry hieronder is een illustratieve compositie - geen echte slachtofferdata - gemodelleerd op openbaar onderzoek van Red Canary, SpyCloud, Hudson Rock en Sekoia, met de darkweb-onderzoekers van Kaspersky als aanvulling.
De header: een machineprofiel
De meeste stealer-families beginnen elk bestand met een systeemblok. Sekoia's studie naar de loghandel somt de gebruikelijke velden op: versie en architectuur van het OS, computer- en gebruikersnaam, CPU- en GPU-model, toetsenbordindeling, een hardware-identificatie, plus het publieke IP, de user-agent van de browser en een locatieschatting. Onze illustratieve entry begint zo:- Machine: DESKTOP-J41R7, gebruiker "anna" - Windows 10 22H2, 64-bit
- Browser: Chrome 139 - CPU: Intel i5-10400 - GPU: GTX 1660 - toetsenbord: en-US
- IP: 84.xx.xx.xx (residentiële ISP), landveld: AT - verzameld: 2026-11-09
De credentiaalregels: URL, login, wachtwoord
Onder de header komen de opgeslagen browserlogins, doorgaans als URL-login-wachtwoordtriplets - de ULP-data die Hudson Rock beschrijft. Een uitgedund fragment van onze entry:- https://mail.example.com | a.reid91 | white-tulip-42
- https://shop.example.net | a.reid91@example.com | sunset-bike-88
- https://vpn.example-corp.com | anna.reid | Qk7!vTz9
Waarom de cookiepot zwaarder weegt dan de wachtwoordkolom
De wachtwoordkolom trekt de aandacht; de cookiekolom veroorzaakt de incidenten. Een sessiecookie is het ticket dat een site na het inloggen uitgeeft, en wie het opnieuw speelt toont een sessie waar de server al op vertrouwt - geen wachtwoordraden, geen phishingspagina, geen multifactorprompt, want de factor was al vervuld bij de oorspronkelijke login. Zo formuleert SpyCloud het in zijn glossary:Cookiedieven omzeilen authenticatie - zelfs MFA.Logdata kan corporate single sign-on, financiële accounts en crypto-exchanges openen, en de onderzoekers van Red Canary stellen dat tegenstanders elke kans grijpen om in te loggen in plaats van in te breken. Sekoia documenteert hoe ver één cookie draagt: de groep Lapsus$ zou volgens het verhaal de cookie van een medewerker op het Genesis Market hebben gekocht en de externe sessie tot in de Slack van het bedrijf hebben gevoerd, waarbij IT-support werd overgehaald tot een MFA-reset. Een log met een magere wachtwoordkolom maar een verse cookiepot kan meer waard zijn dan het omgekeerde.
Van operatorpaneel tot cloud van logs
Ruwe bestanden beginnen in het paneel van de malware-operator, waar elke geïnfecteerde machine zich meldt. Daar worden ze geparst en genormaliseerd - Sekoia noemt verwerkingsgereedschap als Crystal of BLTools -, op trefwoord gefilterd, gededupliceerd en verrijkt: cookies worden aan logins gekoppeld, saldi en aantal volgers gecontroleerd, seed phrases gevalideerd, de 2FA-status genoteerd, met de controles via proxy's in het land van het slachtoffer om fraudesystemen niet af te triggeren. Daarna wordt het bestand voorraad. Gekwalificeerde losse logs worden op gecentraliseerde marketplaces verkocht voor grofweg vijf tot honderd dollar, volgens Sekoia's studie. Volumekopers abonneren zich op diensten die zichzelf clouds of logs noemen en 1.000 tot 15.000 verse logs per dag adverteren voor 200 tot 900 dollar per maand. Waar die voorraad naartoe vloeit zodra de panelen worden in beslag genomen, is een marktvraag op zich: eerder dit jaar bekeken we de stealer-logmarkt na de takedowns.Hoe je een verouderde of valse entry herkent
Kopers controleren de waar zelf, want de kwaliteit wisselt. De darkweb-onderzoekers van Kaspersky merken op dat de ophef rond gestolen databases vaak oud, gerecycled of ronduit verzonnen materiaal verhult. Op logmarkten zijn de signalen mechanisch:- Het formaat past niet bij de geclaimde stealerfamilie - een geherlabeld of gerecycleerd bestand
- Dezelfde URL-loginregels circuleren al uit eerdere verkopen
- Cookies verlopen of sessiecontroles falen - oude data verkocht als vers
- Systeemdetails die de geolocatie of de geclaimde bedrijfswaarde tegenspreken
- Een aanbod van "verse logs" zonder enkele verzameldatum
Wat een slachtoffer moet roteren
Als een e-mailadres of domein in deze economie opduikt, is het wachtwoord resetten de klassieke halve oplossing. SpyCloud's advies is dat een reset alleen een gestolen sessie niet wegneemt: zolang die cookies geldig blijven, houdt de koper toegang. Red Canary zegt responders de referenties te resetten en sessies handmatig in te trekken zodat gevangen cookies stoppen met werken; Hudson Rock's remediatieradvies koppelt dezelfde twee stappen. In de praktijk betekent dat:- Overal uitloggen bij mail, bankieren, SSO en sociale accounts
- OAuth-toestemmingen en app-wachtwoorden intrekken; refresh tokens ongeldig maken
- Multifactor opnieuw inrichten als de factor is gemanipuleerd
- Opgeslagen kaarten vervangen en elke wallet verplaatsen waarvan de seed phrase de machine heeft aangeraakt