Stealer log
“Log” w IT zwykle znaczy zapis zdarzeń: kto się logował, co padło, o której godzinie. Stealer log to coś innego. To paczka zebrana z jednego zainfekowanego urządzenia przez infostealera. Jedna maszyna, jedno archiwum. W obiegu przestępczym sprzedaje się je jako towar. W obronie czyta się je jako dowód, ile poświadczeń i sesji mogło wyjść.
Nazwa jest myląca celowo albo przez nawyk. Ludzie słyszą “log” i myślą o syslogu. Potem dziwią się, że w środku leżą cookie do banku i zrzut z pulpitu. Warto trzymać obie definicje osobno.
Co bywa w środku
Zawartość zależy od rodziny malware i od tego, co ofiara trzymała lokalnie. Często pojawiają się:
- loginy i hasła zapisane w przeglądarce,
- pliki cookie i tokeny sesji,
- dane z autouzupełniania (adresy, telefony, czasem fragmenty płatności),
- informacje o systemie i zainstalowanym oprogramowaniu,
- wybrane dokumenty albo ścieżki wskazane przez operatora,
- ślady portfeli kryptowalutowych i rozszerzeń.
Nie każdy log ma wszystko. Laptop do gier odda inne konta niż stacja księgowej. Ta różnica przekłada się na cenę w obrocie i na skalę szkody po stronie ofiary. Szczegółowy opis mechaniki jest w artykule o logach po infekcji.
Po co ktoś to kupuje
Kupujący nie zawsze chce “wytrycha do wszystkiego”. Często sortuje: poczta, bankowość, panele, konta streamingowe, dostęp do firmowych usług. Aktywne cookie bywają cenniejsze niż samo hasło, bo skracają drogę do przejęcia sesji. Stąd osobne hasło o kradzieży sesji przez cookie.
Log bywa też surowcem do dalszych ataków: credential stuffing, phishing celowany, przejęcie tożsamości. Skany dokumentów i inne “cięższe” pakiety to już inny segment, opisany przy Nexus IDScan, ale logika obiegu jest podobna. Dane z maszyny stają się produktem.
Co robić, gdy log dotyczy Ciebie
Jeśli masz sygnał, że Twoje urządzenie poszło w log (alert z firmy, zgłoszenie od banku, znalezisko w monitoringu wycieków), zakładaj kompromis sesji i haseł, nie tylko jednego konta. Unieważnij sesje, zmień hasła z nowego, czystego urządzenia, włącz lub wzmocnij 2FA, sprawdź reguły przekierowań w poczcie i listę zaufanych urządzeń. Skan antywirusowy bez rotacji poświadczeń zostawia napastnikowi otwarte drzwi.
W firmie dochodzi jeszcze pytanie o zakres: które konta SSO były aktywne, czy były tokeny do chmury, czy na stacji leżały klucze API. Stealer log jest wtedy punktem startu do incident response, nie ciekawostką z darknetu.
Czego nie szukać w tym haśle
Nie ma tu linków do sklepów z logami, nie ma porad “jak ocenić jakość paczki” pod kątem zakupu. Opisuję towar, bo bez nazwy trudno czytać raporty i newsy. Instrukcji przestępstwa nie będzie.