窃取日志条目剖析：一行被盗数据里究竟有什么
信息窃取器（infostealer）干完活之后，产出的并不是什么惊天漏洞利用，而是一个文本文件。卖家把它叫做日志（log）：恶意软件从一台机器上偷走的一切，按买家一眼就能解析的方式排好。由于当今大量账户劫持正是从这里开始，值得看看一条条目里到底装着什么。下面的条目是示意性的合成样本，不含任何真实受害者数据，参照 Red Canary、SpyCloud、Hudson Rock 与 Sekoia 的公开研究整理，并由 卡巴斯基的暗网研究人员补全图景。
头部：机器档案
大多数窃取器家族都会在文件开头放一个系统信息块。Sekoia 关于日志交易的研究中列出了常见字段：操作系统版本与架构、计算机名与用户名、CPU 与 GPU 型号、键盘布局、硬件标识符，外加公网 IP、浏览器 user-agent 与地理位置估算。我们的示意条目是这样开头的：- 机器：DESKTOP-J41R7，用户 "anna" - Windows 10 22H2，64 位
- 浏览器：Chrome 139 - CPU：Intel i5-10400 - GPU：GTX 1660 - 键盘：en-US
- IP：84.xx.xx.xx（家庭宽带），国家字段：AT - 采集时间：2026-11-09
凭据行：URL、登录名、密码
头部之下是浏览器里保存的登录凭据，通常以 URL-登录名-密码三元组出现——也就是 Hudson Rock 所描述的 ULP 数据。从我们的条目里抽出的一个精简切片：- https://mail.example.com | a.reid91 | white-tulip-42
- https://shop.example.net | a.reid91@example.com | sunset-bike-88
- https://vpn.example-corp.com | anna.reid | Qk7!vTz9
为什么 Cookie 罐比密码列更值钱
密码列吸引注意力；Cookie 列制造事件。会话 Cookie 是网站在登录后发放的票据，重放它的人出示的是服务器已经信任的会话——无需猜测密码、没有钓鱼页面、也不会触发多因素提示，因为那个因素在最初登录时已经满足。SpyCloud 的词汇表如是说：Cookie 窃贼绕过身份验证——连 MFA 也不例外。日志数据能打开企业单点登录、金融账户与加密货币交易所，而 Red Canary 的研究人员观察到，攻击者绝不放过任何直接登录而非硬闯的机会。Sekoia 记录了一枚 Cookie 能走多远：据其记述，Lapsus$ 团伙曾从 Genesis Market 买下一名员工的 Cookie，把远程会话一路用进公司 Slack，还说服 IT 支持重置了 MFA。密码列单薄但 Cookie 罐新鲜的日志，可能比反过来更值钱。
从运营者面板到“日志云”
原始文件始于恶意软件运营者的面板，每台感染机器都向它汇报。在那里它们被解析、规范化——Sekoia 点名了 Crystal、BLTools 之类的处理工具——再按关键词过滤、去重并加工：Cookie 与登录关联，余额和粉丝数被核对，助记词被验证，双因素状态被记录，而这些检查经由受害者本国的代理发出，以免惊动反欺诈系统。 然后文件变成库存。按 Sekoia 的研究，经过筛选的单条日志在集中式市场上大约卖五到一百美元。走量的买家则订阅自称“日志云”（clouds of logs）的服务，广告称每天 1,000 到 15,000 条新鲜日志，月费 200 到 900 美元。面板被查封之后这些库存流向何处，本身就是个市场问题——我们今年早些时候看过查封行动之后的窃取日志市场。如何识别过期或造假条目
买家也要盯紧货源，因为成色参差。卡巴斯基的暗网研究人员指出，围绕被盗数据库的炒作常常裹着陈旧、回收甚至纯属编造的材料。在日志市场上，破绽是机械性的：- 格式与所宣称的窃取器家族不符——被重新贴标或回收的文件
- 同样的 URL-登录名行已在早前的销售中流传
- Cookie 已过期或会话校验失败——旧数据当新鲜的卖
- 系统细节与地理位置或宣称的企业价值相矛盾
- 号称“新鲜日志”却连采集日期都没有的报价
受害者应该轮换什么
如果邮箱或域名在这门生意里现身，改密码只是经典的半截修复。SpyCloud 的建议是：仅重置密码并不能移除被盗会话——只要那些 Cookie 仍然有效，买家就握着访问权。Red Canary 让响应者重置凭据并手动吊销会话，让截获的 Cookie 失效；Hudson Rock 的处置建议同样是这两步并作一处。实际操作意味着：- 在邮箱、银行、SSO 和社交账号上退出所有会话
- 吊销 OAuth 授权和应用密码；使刷新令牌失效
- 如果验证因素被动过手脚，重新注册多因素验证
- 更换已保存的支付卡，并把任何助记词碰过这台机器的钱包迁移走