Anatomie eines Stealer-Log-Eintrags: Was eine Zeile gestohlener Daten wirklich enthält
Ist die Arbeit eines Infostealers beendet, ist das Ergebnis kein dramatischer Exploit, sondern eine Textdatei. Händler nennen sie ein Log: alles, was die Schadsoftware von einer Maschine geholt hat, so angeordnet, dass Käufer es auf einen Blick parsen können. Weil heute so viel Account-Übernahme hier beginnt, lohnt sich der Blick darauf, was ein einzelner Eintrag enthält. Der Eintrag unten ist ein illustratives Kompositum - keine echten Opferdaten - nachempfunden der öffentlichen Recherche von Red Canary, SpyCloud, Hudson Rock und Sekoia, ergänzt um die Darkweb-Forscher von Kaspersky.
Der Kopfbereich: ein Maschinenprofil
Die meisten Stealer-Familien beginnen jede Datei mit einem Systemblock. Sekoias Studie zum Log-Handel listet die üblichen Felder: OS-Version und Architektur, Computer- und Benutzername, CPU- und GPU-Modell, Tastaturlayout, eine Hardware-Kennung, dazu öffentliche IP, Browser-User-Agent und eine Geolocation-Schätzung. Unser Beispiel-Eintrag beginnt so:- Maschine: DESKTOP-J41R7, Benutzer "anna" - Windows 10 22H2, 64-Bit
- Browser: Chrome 139 - CPU: Intel i5-10400 - GPU: GTX 1660 - Tastatur: en-US
- IP: 84.xx.xx.xx (Residential-ISP), Länderfeld: AT - erfasst: 2026-11-09
Die Credential-Zeilen: URL, Login, Passwort
Unter dem Header folgen die gespeicherten Browser-Logins, meist als URL-Login-Passwort-Tripel - die ULP-Daten, die Hudson Rock beschreibt. Ein ausgedünnter Ausschnitt unseres Eintrags:- https://mail.example.com | a.reid91 | white-tulip-42
- https://shop.example.net | a.reid91@example.com | sunset-bike-88
- https://vpn.example-corp.com | anna.reid | Qk7!vTz9
Warum der Cookie-Jar mehr zählt als die Passwort-Spalte
Die Passwort-Spalte bekommt die Aufmerksamkeit; die Cookie-Spalte verursacht die Vorfälle. Ein Session-Cookie ist das Ticket, das eine Seite nach dem Login ausstellt, und wer es wiedergibt, präsentiert eine Sitzung, der der Server bereits vertraut - kein Passwort-Raten, keine Phishing-Seite, keine Multi-Faktor-Aufforderung, denn der Faktor war beim ursprünglichen Login erfüllt. Wie SpyClouds Glossar es formuliert:Cookie-Diebe umgehen Authentifizierung - sogar MFA.Log-Daten können Corporate Single Sign-on, Finanzkonten und Krypto-Börsen öffnen, und Red Canaries Forscher beobachten, dass Angreifer jede Gelegenheit nutzen, sich einzuloggen, statt einzubrechen. Sekoia dokumentiert, wie weit ein einzelnes Cookie trägt: Die Gruppe Lapsus$ habe Berichten zufolge ein Cookie eines Mitarbeiters auf dem Genesis Market gekauft und die Remote-Session bis in den Slack des Unternehmens geführt, wo der IT-Support zu einem MFA-Reset überredet wurde. Ein Log mit magerer Passwort-Spalte, aber frischem Cookie-Jar kann mehr wert sein als das Gegenteil.
Vom Operator-Panel zur Cloud of Logs
Rohdateien landen zuerst im Panel des Malware-Betreibers, bei dem sich jede infizierte Maschine meldet. Dort werden sie geparst und normalisiert - Sekoia nennt Verarbeitungstools wie Crystal oder BLTools -, dann nach Stichwörtern gefiltert, dedupliziert und angereichert: Cookies werden Logins zugeordnet, Kontostände und Follower-Zahlen geprüft, Seed-Phrases validiert, der Zwei-Faktor-Status notiert - die Prüfungen laufen über Proxies im Land des Opfers, um Fraud-Systeme nicht zu alarmieren. Dann wird die Datei zum Inventar. Qualifizierte Einzel-Logs wechseln laut Sekoias Studie auf zentralisierten Marktplätzen für grob fünf bis hundert Dollar den Besitzer. Großabnehmer abonnieren Dienste, die sich selbst Clouds of Logs nennen und 1.000 bis 15.000 frische Logs pro Tag für 200 bis 900 Dollar im Monat bewerben. Wohin dieses Inventar fließt, sobald die Panels beschlagnahmt werden, ist eine eigene Marktfrage: früher in diesem Jahr haben wir uns den Stealer-Log-Markt nach den Takedowns angesehen.Wie man einen veralteten oder gefälschten Eintrag erkennt
Käufer kontrollieren die Ware selbst, denn die Qualität ist uneinheitlich. Kasperskys Darkweb-Forscher stellen fest, dass das Hype-Marketing um gestohlene Datenbestände oft altes, recyceltes oder schlicht erfundenes Material umhüllt. Auf Log-Märkten sind die Warnsignale mechanischer Natur:- Das Format passt nicht zur behaupteten Stealer-Familie - eine umetikettierte oder recycelte Datei
- Dieselbe URL-Login-Zeile zirkuliert bereits aus früheren Verkäufen
- Cookie-Einträge abgelaufen oder Session-Checks fehlgeschlagen - alte Daten als frisch verkauft
- Systemdetails widersprechen der Geolocation oder dem behaupteten Firmenwert
- Ein Angebot mit "frischen Logs" ganz ohne Erfassungsdatum
Was ein Opfer rotieren sollte
Taucht eine E-Mail oder Domain in dieser Ökonomie auf, ist das Zurücksetzen des Passworts der klassische Halbfix. SpyClouds Beratung ist, dass ein Passwort-Reset allein eine gestohlene Session nicht entfernt: Solange diese Cookies gültig bleiben, behält der Käufer den Zugriff. Red Canary nennt Respondern beide Schritte - Zugangsdaten zurücksetzen und Sitzungen manuell widerrufen, damit erbeutete Cookies unbrauchbar werden; Hudson Rocks Remediation-Empfehlung kombiniert dieselben zwei Schritte. Konkret heißt das:- Alle Sitzungen bei Mail, Banking, SSO und sozialen Konten abmelden
- OAuth-Berechtigungen und App-Passwörter widerrufen; Refresh-Tokens invalidieren
- Multi-Faktor neu einrichten, falls der Faktor manipuliert wurde
- Hinterlegte Zahlungskarten ersetzen und jede Wallet umziehen, deren Seed-Phrase die Maschine berührt hat