Anatomia wpisu ze stealer loga: co naprawdę zawiera linia skradzionych danych
Kiedy infostealer kończy pracę, wynikiem nie jest spektakularny exploit, lecz plik tekstowy. Sprzedawcy nazywają go logiem: wszystko, co malware wyrwał z jednej maszyny, ułożone tak, by kupujący ogarnęli je jednym rzutem oka. Skoro spora część dzisiejszych przejęć kont zaczyna się tutaj, warto zobaczyć, co zawiera pojedynczy wpis. Poniższy wpis to ilustracyjny kompozyt - bez prawdziwych danych ofiar - wzorowany na publicznych badaniach Red Canary, SpyCloud, Hudson Rock i Sekoia, a obraz dopełniają badacze dark webu z Kaspersky.
Nagłówek: profil maszyny
Większość rodzin stealerów zaczyna każdy plik blokiem systemowym. Badanie Sekoii o handlu logami wylicza typowe pola: wersję i architekturę systemu, nazwę komputera i użytkownika, model CPU i GPU, układ klawiatury, identyfikator sprzętowy, a do tego publiczny IP, user-agent przeglądarki i szacunek geolokalizacji. Nasz przykładowy wpis zaczyna się tak:- Maszyna: DESKTOP-J41R7, użytkownik "anna" - Windows 10 22H2, 64-bit
- Przeglądarka: Chrome 139 - CPU: Intel i5-10400 - GPU: GTX 1660 - klawiatura: en-US
- IP: 84.xx.xx.xx (residential ISP), pole kraju: AT - zebrano: 09.11.2026
Linie poświadczeń: URL, login, hasło
Pod nagłówkiem idą zapisane w przeglądarce loginy - zwykle w trójkach URL-login-hasło, te same dane ULP, które opisuje Hudson Rock. Przerzedzony wycinek naszego wpisu:- https://mail.example.com | a.reid91 | white-tulip-42
- https://shop.example.net | a.reid91@example.com | sunset-bike-88
- https://vpn.example-corp.com | anna.reid | Qk7!vTz9
Dlaczego słoik ciasteczek znaczy więcej niż kolumna haseł
Kolumna haseł ściąga uwagę; kolumna ciasteczek robi incydenty. Ciasteczko sesyjne to bilet, który strona wydaje po zalogowaniu, a kto go odtworzy, przedstawia sesję, której serwer już ufa - bez zgadywania haseł, bez strony phishingowej i bez wyzwania wieloczynnikowego, bo czynnik został spełniony przy pierwotnym logowaniu. Jak ujmuje to leksykon SpyCloud:Złodzieje ciasteczek omijają uwierzytelnianie - nawet MFA.Dane z logu otwierają firmowy jednolity dostęp, konta finansowe i giełdy krypto, a badacze Red Canary zauważają, że przeciwnicy korzystają z każdej sposobności, by się zalogować, zamiast włamywać. Sekoia dokumentuje, jak daleko sięga pojedyncze ciasteczko: grupa Lapsus$ miała według tej relacji kupić ciasteczko pracownika na Genesis Market i doprowadzić zdalną sesję do Slacka firmy, namawiając wsparcie IT do resetu MFA. Log z chudą kolumną haseł, ale świeżym słoikiem ciasteczek może być wart więcej niż odwrotność.
Od panelu operatora do chmury logów
Surowe pliki zaczynają się w panelu operatora malware'a, gdzie każda zainfekowana maszyna zdaje raport. Tam są parsowane i normalizowane - Sekoia wymienia narzędzia obróbki jak Crystal czy BLTools -, filtrowane po słowach kluczowych, deduplikowane i wzbogacane: ciasteczka wiąże się z loginami, sprawdza salda i liczbę obserwujących, waliduje seed phrases, odnotowuje status 2FA, a kontrole idą przez proxy z kraju ofiary, by nie wywołać antyfraudu. Potem plik staje się towarem. Pojedyncze, sprawdzone logi sprzedają się na scentralizowanych marketplace'ach za mniej więcej od pięciu do stu dolarów, według badania Sekoii. Kupujący hurtowo prenumerują serwisy, które same nazywają się chmurami logów i reklamują od 1 000 do 15 000 świeżych logów dziennie za 200-900 dolarów miesięcznie. Dokąd popłynie ten towar po skonfiskowaniu paneli, to osobne pytanie rynkowe: wcześniej w tym roku przyglądaliśmy się rynkowi stealer logów po takedownach.Jak rozpoznać zepsuty albo zmyślony wpis
Kupujący pilnują towaru, bo jakość bywa nierówna. Badacze dark webu Kaspersky zauważają, że szum wokół skradzionych baz często owija materiał stary, przetworzony albo wręcz zmyślony. Na rynkach logów symptomy są mechaniczne:- Format nie pasuje do deklarowanej rodziny stealera - przemitykowany albo przetworzony plik
- Te same linie URL-login krążą już z wcześniejszych sprzedaży
- Ciasteczka przedawnione albo kontrole sesji padają - stare dane sprzedawane jako świeże
- Szczegóły systemowe przeczące geolokalizacji albo deklarowanej wartości firmowej
- Oferta "świeżych logów" bez żadnej daty zebrania
Co ofiara powinna zrotować
Jeśli mail albo domena wypłynie w tej gospodarce, reset hasła to klasyczne półśrodek. Wytyczna SpyCloud: sam reset hasła nie usuwa skradzionej sesji - dopóki ciasteczka są ważne, kupujący zachowuje dostęp. Red Canary każe reagującym zresetować poświadczenia i ręcznie odwołać sesje, by przechwycone ciasteczka przestały działać; zalecenie remediacji Hudson Rock łączy te same dwa kroki. W praktyce znaczy to:- Wylogować wszystkie sesje na poczcie, bankowości, SSO i portalach społecznościowych
- Odwołać zgody OAuth i hasła aplikacji; unieważnić refresh tokeny
- Na nowo skonfigurować uwierzytelnianie wieloczynnikowe, jeśli czynnik był manipulowany
- Wymienić zapisane karty i przenieść każdy portfel, którego seed phrase stykała się z maszyną