Anatomia de uma entrada de stealer log: o que uma linha de dados roubados realmente contém
Quando um infostealer termina o trabalho, o resultado não é um exploit dramático: é um ficheiro de texto. Os vendedores chamam-lhe log: tudo o que o malware arrancou de uma máquina, arrumado para que os compradores analisem num relance. Como boa parte dos sequestros de contas atuais começa aqui, vale a pena ver o que uma única entrada contém. A entrada abaixo é um compósito ilustrativo - sem dados reais de vítimas - moldado na pesquisa pública de Red Canary, SpyCloud, Hudson Rock e Sekoia, com os investigadores da dark web da Kaspersky a completar o quadro.
O cabeçalho: um perfil da máquina
A maioria das famílias de stealers começa cada ficheiro com um bloco de sistema. O estudo da Sekoia sobre o comércio de logs lista os campos habituais: versão e arquitetura do sistema operativo, nome do computador e do utilizador, modelo de CPU e GPU, idioma do teclado, um identificador de hardware, além do IP público, do user-agent do navegador e de uma estimativa de geolocalização. A nossa entrada ilustrativa começa assim:- Máquina: DESKTOP-J41R7, utilizador "anna" - Windows 10 22H2, 64 bits
- Navegador: Chrome 139 - CPU: Intel i5-10400 - GPU: GTX 1660 - teclado: en-US
- IP: 84.xx.xx.xx (ISP residencial), campo de país: AT - recolhido: 2026-11-09
As linhas de credenciais: URL, login, palavra-passe
Abaixo do cabeçalho vêm os logins guardados no navegador, normalmente em trios URL-login-palavra-passe - os dados ULP que a Hudson Rock descreve. Um excerto apanhado da nossa entrada:- https://mail.example.com | a.reid91 | white-tulip-42
- https://shop.example.net | a.reid91@example.com | sunset-bike-88
- https://vpn.example-corp.com | anna.reid | Qk7!vTz9
Por que o frasco de cookies pesa mais que a coluna de palavras-passe
A coluna de palavras-passe atrai a atenção; a coluna de cookies causa os incidentes. Um cookie de sessão é o bilhete que um site emite depois do início de sessão, e quem o repõe apresenta uma sessão em que o servidor já confia - sem adivinhar palavras-passe, sem página de phishing e sem desafio multifator, porque o fator já foi satisfeito no início de sessão original. Como formula o glossário da SpyCloud:Ladrões de cookies contornam a autenticação - até a MFA.Os dados do log podem abrir o início de sessão único empresarial, contas financeiras e corretoras de cripto, e os investigadores da Red Canary observam que os adversários aproveitam qualquer oportunidade de iniciar sessão em vez de invadir. A Sekoia documenta até onde vai um único cookie: o grupo Lapsus$ teria comprado, segundo o relato, o cookie de um funcionário no Genesis Market e levou a sessão remota até ao Slack da empresa, convencendo o suporte de TI a repor a MFA. Um log com coluna de palavras-passe magra mas frasco de cookies fresco pode valer mais que o inverso.
Do painel do operador à nuvem de logs
Os ficheiros brutos começam no painel do operador do malware, onde cada máquina infetada se reporta. Ali são analisados e normalizados - a Sekoia menciona ferramentas de processamento como Crystal ou BLTools -, filtrados por palavras-chave, desduplicados e enriquecidos: os cookies são ligados aos logins, saldos e números de seguidores verificados, frases-semente validadas, o estado do 2FA registado, com as verificações a passar por proxies do próprio país da vítima para não disparar os sistemas antifraude. Depois o ficheiro vira inventário. Logs individuais qualificados vendem-se em marketplaces centralizados por cerca de cinco a cem dólares, segundo o estudo da Sekoia. Compradores de volume subscrevem serviços que a si mesmos chamam nuvens de logs, anunciando 1.000 a 15.000 logs frescos por dia por 200 a 900 dólares mensais. Para onde flui esse inventário quando os painéis são apreendidos é uma questão de mercado por direito próprio: mais cedo este ano, examinámos o mercado de stealer logs após as quedas.Como detetar uma entrada caducada ou falsa
Os compradores fiscalizam a mercadoria, porque a qualidade é desigual. Os investigadores da dark web da Kaspersky notam que o alarde em torno de bases de dados roubadas costuma embrulhar material velho, reciclado ou diretamente fabricado. Nos mercados de logs, os sinais são mecânicos:- O formato não corresponde à família de stealer reclamada - um ficheiro reetiquetado ou reciclado
- As mesmas linhas URL-login já circulam de vendas anteriores
- Cookies expirados ou testes de sessão falhados - dados velhos vendidos como frescos
- Detalhes de sistema que contradizem a geolocalização ou o alegado valor empresarial
- Uma oferta de "logs frescos" sem qualquer data de recolha
O que uma vítima deve renovar
Se um e-mail ou domínio aparece nesta economia, mudar a palavra-passe é a meia-medida clássica. A orientação da SpyCloud é que uma reposição de palavra-passe sozinha não remove uma sessão roubada: enquanto esses cookies continuarem válidos, o comprador mantém o acesso. A Red Canary diz aos respondedores reporem credenciais e revogarem manualmente as sessões para que os cookies capturados deixem de funcionar; a recomendação de remediação da Hudson Rock emparelha os mesmos dois passos. Na prática significa:- Terminar todas as sessões no correio, banca, SSO e redes sociais
- Revogar concessões OAuth e palavras-passe de aplicação; invalidar refresh tokens
- Reinscrever o multifator se o fator foi adulterado
- Substituir os cartões guardados e mover qualquer carteira cuja frase-semente tenha passado pela máquina