Anatomia di una voce di stealer log: cosa contiene davvero una riga di dati rubati
Quando un infostealer finisce il lavoro, il risultato non è un exploit spettacolare: è un file di testo. I venditori lo chiamano log: tutto ciò che il malware ha strappato a una macchina, disposto perché gli acquirenti lo leggano a colpo d'occhio. Poiché buona parte dei dirottamenti di account di oggi comincia qui, vale la pena vedere cosa contiene una singola voce. La voce sotto è un composito illustrativo - nessun dato reale di vittime - modellato sulla ricerca pubblica di Red Canary, SpyCloud, Hudson Rock e Sekoia, con i ricercatori dark web di Kaspersky a completare il quadro.
L'intestazione: un profilo della macchina
La maggior parte delle famiglie di stealer comincia ogni file con un blocco di sistema. Lo studio della Sekoia sul commercio dei log elenca i campi usuali: versione e architettura del sistema operativo, nome del computer e dell'utente, modello di CPU e GPU, lingua della tastiera, un identificatore hardware, più IP pubblico, user-agent del browser e una stima di geolocalizzazione. La nostra voce illustrativa comincia così:- Macchina: DESKTOP-J41R7, utente "anna" - Windows 10 22H2, 64 bit
- Browser: Chrome 139 - CPU: Intel i5-10400 - GPU: GTX 1660 - tastiera: en-US
- IP: 84.xx.xx.xx (ISP residenziale), campo paese: AT - raccolto: 2026-11-09
Le righe delle credenziali: URL, login, password
Sotto l'intestazione vengono i login salvati nel browser, di norma in triple URL-login-password - i dati ULP che descrive Hudson Rock. Un ritaglio diradato della nostra voce:- https://mail.example.com | a.reid91 | white-tulip-42
- https://shop.example.net | a.reid91@example.com | sunset-bike-88
- https://vpn.example-corp.com | anna.reid | Qk7!vTz9
Perché il barattolo di cookie conta più della colonna delle password
La colonna delle password raccoglie l'attenzione; la colonna dei cookie provoca gli incidenti. Un cookie di sessione è il biglietto che un sito emite dopo il login, e chi lo ripresenta esibisce una sessione di cui il server si fida già - niente indovinare password, niente pagine di phishing, niente sfida a più fattori, perché il fattore è stato soddisfatto all'accesso originale. Come lo formula il glossario di SpyCloud:I ladri di cookie aggirano l'autenticazione - persino l'MFA.I dati del log possono aprire il single sign-on aziendale, conti finanziari e exchange di criptovalute, e i ricercatori di Red Canary osservano che gli avversari colgono ogni occasione per accedere invece di forzare l'ingresso. Sekoia documenta fino a dove arriva un singolo cookie: il gruppo Lapsus$ avrebbe, secondo il racconto, comprato il cookie di un dipendente sul Genesis Market e portato la sessione remota fino allo Slack dell'azienda, convincendo il supporto IT a resettare l'MFA. Un log con colonna password magra ma barattolo di cookie fresco può valere più del contrario.
Dal pannello dell'operatore alla nuvola di log
I file grezzi cominciano nel pannello dell'operatore del malware, dove ogni macchina infetta fa rapporto. Lì vengono analizzati e normalizzati - Sekoia nomina strumenti di elaborazione come Crystal o BLTools -, filtrati per parola chiave, deduplicati e arricchiti: i cookie vengono legati ai login, saldi e numeri di follower verificati, seed phrase validate, stato del 2FA registrato, con i controlli instradati per proxy del paese della vittima per non far scattare i sistemi antifrode. Poi il file diventa inventario. I log singoli qualificati si vendono su marketplace centralizzati per circa cinque a cento dollari, secondo lo studio della Sekoia. Gli acquirenti all'ingrosso sottoscrivono servizi che si autodefiniscono nuvole di log, pubblicizzando da 1.000 a 15.000 log freschi al giorno a 200-900 dollari al mese. Dove fluisce quell'inventario una volta sequestrati i pannelli è una domanda di mercato a sé: più indietro quest'anno abbiamo esaminato il mercato degli stealer log dopo i sequestri.Come riconoscere una voce stantia o falsa
Gli acquirenti controllano la merce, perché la qualità è disomogenea. I ricercatori dark web di Kaspersky notano che il clamore attorno ai database rubati avvolge spesso materiale vecchio, riciclato o addirittura fabbricato. Sui mercati dei log i segnali sono meccanici:- Il formato non corrisponde alla famiglia di stealer rivendicata - un file rietichettato o riciclato
- Le stesse righe URL-login girano già da vendite precedenti
- Cookie scaduti o controlli di sessione falliti - dati vecchi venduti come freschi
- Dettagli di sistema che contraddicono la geolocalizzazione o il presunto valore aziendale
- Un'offerta di "log freschi" senza alcuna data di raccolta
Cosa deve ruotare una vittima
Se un'e-mail o un dominio salta fuori in questa economia, reimpostare la password è la mezza riparazione classica. L'indicazione di SpyCloud è che un reset della password da solo non rimuove una sessione rubata: finché quei cookie restano validi, l'acquirente conserva l'accesso. Red Canary dice ai responder di reimpostare le credenziali e revocare manualmente le sessioni perché i cookie catturati smettano di funzionare; la raccomandazione di remediation di Hudson Rock abbina gli stessi due passaggi. In pratica significa:- Uscire da tutte le sessioni su posta, banca, SSO e social
- Revocare le concessioni OAuth e le password delle app; invalidare i refresh token
- Reiscrivere il multifattore se il fattore è stato manomesso
- Sostituire le carte salvate e spostare qualsiasi wallet la cui seed phrase è passata dalla macchina