Bir stealer log kaydının anatomisi: çalınan tek satır veri gerçekte ne içerir
Bir infostealer işini bitirdiğinde ortaya çıkan şey dramatik bir exploit değil, bir metin dosyasıdır. Satıcılar buna log der: malware'in tek bir makineden söktüğü her şey, alıcıların tek bakışta ayrıştırabileceği biçimde dizilidir. Bugünkü hesap ele geçirmelerin büyük bölümü buradan başladığı için tek bir kaydın ne içerdiğini görmeye değer. Aşağıdaki kayıt göstermelik bir derlemedir - gerçek kurban verisi yoktur - Red Canary, SpyCloud, Hudson Rock ve Sekoia'nın açık araştırmaları örnek alınarak, tabloyu Kaspersky'nin dark web araştırmacılarının bulgularıyla tamamlayarak hazırlanmıştır.
Başlık bloğu: bir makine profili
Stealer ailelerinin çoğu her dosyaya sistem bloğuyla başlar. Sekoia'nın log ticareti çalışması alışılmış alanları sayar: işletim sistemi sürümü ve mimarisi, bilgisayar ve kullanıcı adı, CPU ve GPU modeli, klavye düzeni, bir donanım kimliği, ayrıca genel IP, tarayıcı user-agent'ı ve bir konum tahmini. Örnek kaydımız şöyle başlıyor:- Makine: DESKTOP-J41R7, kullanıcı "anna" - Windows 10 22H2, 64-bit
- Tarayıcı: Chrome 139 - CPU: Intel i5-10400 - GPU: GTX 1660 - klavye: en-US
- IP: 84.xx.xx.xx (ev kullanıcılarına hizmet veren ISS), ülke alanı: AT - toplandığı tarih: 2026-11-09
Kimlik satırları: URL, giriş, parola
Başlık bloğunun altına tarayıcıya kaydedilmiş girişler gelir - genellikle URL-giriş-parola üçlüleri, Hudson Rock'ın anlattığı ULP verileri. Örneğimizin seyreltilmiş bir dilimi:- https://mail.example.com | a.reid91 | white-tulip-42
- https://shop.example.net | a.reid91@example.com | sunset-bike-88
- https://vpn.example-corp.com | anna.reid | Qk7!vTz9
Çerez kavanozu neden parola sütununu geçer
Parola sütunu ilgiyi toplar; çerez sütunu olayları üretir. Oturum çerezi, bir sitenin girişten sonra verdiği biletir ve onu yeniden oynatan, sunucunun çoktan güvendiği bir oturum ortaya koyar - parola tahmini yok, phishing sayfası yok, çok faktörlü sınamı yok; çünkü faktör ilk girişte karşılanmıştı. SpyCloud'un sözlüğü şöyle koyar:Çerez hırsızları kimlik doğrulamayı atlar - MFA'yı bile.Log verileri kurumsal tekli oturum açmayı, finans hesaplarını ve kripto borsalarını açabilir; Red Canary araştırmacılarıysa saldırganların hacklemek yerine oturum açma fırsatını kaçırmadığını gözlemler. Sekoia tek bir çerezin ne kadar taşıdığını belgeler: anlatıya göre Lapsus$ grubu Genesis Market'tan bir çalışanın çerezini satın almış ve uzak oturumu şirketin Slack'ine dek götürmüş, BT desteğini MFA sıfırlamasına ikna etmiş. Parola sütunu cılız ama çerez kavanozu taze bir log, tersinden daha değerli olabilir.
Operatör panelinden log bulutuna
Ham dosyalar, bulaşan her makinenin rapor verdiği malware operatörünün panelinde başlar. Orada ayrıştırılır ve normalize edilir - Sekoia Crystal ya da BLTools gibi işleme araçlarını sayar -, anahtar kelimeye göre süzülür, tekilleştirilir ve zenginleştirilir: çerezler girişlere bağlanır, bakiyeler ve takipçi sayıları denetlenir, seed phrase'ler doğrulanır, iki faktörlü durum kayda geçer; denetimler, dolandırıcılık sistemlerini tetiklememek için kurbanın kendi ülkesindeki proxy'ler üzerinden yürür. Sonra dosya envantere dönüşür. Nitelikli tekil loglar, Sekoia'nın çalışmasına göre merkezileşmiş pazarlarda kabaca beş ile yüz dolar arası satılır. Hacimli alıcılar kendilerine log bulutları diyen ve günde 1.000 ile 15.000 taze logu ayda 200-900 dolara ilan eden hizmetlere abone olur. Paneller el konulduğunda bu envanterin akıbeti başlı başına bir pazar sorusudur: bu yılın başlarında baskınlardan sonraki stealer log pazarına bakmıştık.Bayat ya da sahte bir kaydı nasıl anlarsınız
Alıcılar malı denetler, çünkü kalite düzensizdir. Kaspersky'nin dark web araştırmacıları, çalınan veri tabanları çevresindeki gürültünün sık sık eski, dönüştürülmüş ya da tümden uydurulmuş malı sardığını not eder. Log pazarlarında işaretler mekaniktir:- Biçim iddia edilen stealer ailesiyle uyuşmaz - etiketi değiştirilmiş ya da dönüştürülmüş bir dosya
- Aynı URL-giriş satırları önceki satışlardan beri dolaşıyor
- Çerezlerin süresi geçmiş ya da oturum sınamaları düşüyor - eski veri taze diye satılıyor
- Sistem ayrıntıları konumla ya da iddia edilen kurumsal değerle çelişiyor
- Hiç toplama tarihi olmayan "taze log" teklifi
Bir kurban neyi yenilemeli
Bir e-posta ya da alan adı bu ekonomide suya çıkarsa, parolayı sıfırlamak klasik yarım çözümdür. SpyCloud'un yönlendirmesi şudur: sırf parola sıfırlamak çalıntı bir oturumu kaldırmaz - o çerezler geçerli kaldıkça alıcı erişimi elinde tutar. Red Canary müdahalecilerden kimlik bilgilerini sıfırlamalarını ve oturumları elle iptal etmelerini, böylece ele geçirilen çerezlerin işe yaramamasını ister; Hudson Rock'ın iyileştirme önerisi de aynı iki adımı eşler. Uygulamada bu şöyle olur:- Posta, bankacılık, SSO ve sosyal hesaplardaki tüm oturumlardan çıkış
- OAuth yetkilerini ve uygulama parolalarını iptal etmek; refresh token'ları geçersiz kılmak
- Faktör kurcalandıysa çok faktörlü doğrulamayı yeniden kurmak
- Kayıtlı kartları değiştirmek ve seed phrase'i makineden geçmiş her cüzdanı taşımak