Анатомия записи из стилер-лога: что на самом деле содержит строка украденных данных
Когда инфостилер заканчивает работу, результат не выглядит эффектным эксплойтом. Это текстовый файл. Продавцы называют его логом: всё, что вредонос вытащил с одной машины, разложено так, чтобы покупатель разобрал его с первого взгляда. Поскольку значительная часть современных угонов аккаунтов начинается именно здесь, стоит увидеть, что содержит одна запись. Запись ниже - иллюстративный композит, без реальных данных жертв, собранный по образцу публичных исследований Red Canary, SpyCloud, Hudson Rock и Sekoia; картину дополняют исследователи дарквеба Kaspersky.
Шапка: профиль машины
Большинство семейств стилеров начинают каждый файл с системного блока. Исследование Sekoia о торговле логами перечисляет обычные поля: версия и разрядность ОС, имя компьютера и пользователя, модель CPU и GPU, раскладка клавиатуры, аппаратный идентификатор, плюс публичный IP, user-agent браузера и оценка геолокации. Наш условный пример начинается так:- Машина: DESKTOP-J41R7, пользователь "anna" - Windows 10 22H2, 64-бит
- Браузер: Chrome 139 - CPU: Intel i5-10400 - GPU: GTX 1660 - клавиатура: en-US
- IP: 84.xx.xx.xx (домашний провайдер), поле страны: AT - собрано: 09.11.2026
Строки учётных данных: URL, логин, пароль
Под шапкой идут сохранённые в браузере логины - обычно тройками URL-логин-пароль, те самые ULP-данные, которые описывает Hudson Rock. Прореженный фрагмент нашего примера:- https://mail.example.com | a.reid91 | white-tulip-42
- https://shop.example.net | a.reid91@example.com | sunset-bike-88
- https://vpn.example-corp.com | anna.reid | Qk7!vTz9
Почему куки-банк важнее колонки паролей
Колонка паролей собирает внимание; колонка куки создаёт инциденты. Сессионная кука - это билет, который сайт выдаёт после входа, и тот, кто её воспроизводит, предъявляет сессию, которой сервер уже доверяет - без подбора пароля, без фишинговой страницы и без запроса многофакторности, ведь фактор был пройден при исходном входе. Как формулирует глоссарий SpyCloud:Похитители куки обходят аутентификацию - даже MFA.Данные лога открывают корпоративный единый вход, финансовые счета и криптобиржи, а исследователи Red Canary замечают, что атакующие используют любую возможность войти, а не взламывать. Sekoia документирует, как далеко действует одна кука: группа Lapsus$, по этим данным, купила куку сотрудника на Genesis Market и довела удалённую сессию до Slack компании, уговорив ИТ-поддержку сбросить MFA. Лог с бедной колонкой паролей, но свежим куки-банком может стоить больше, чем наоборот.
От панели оператора до «облака логов»
Сырые файлы начинаются в панели оператора вредоноса, куда отчитывается каждая заражённая машина. Там их разбирают и нормализуют - Sekoia называет инструменты обработки вроде Crystal или BLTools, - фильтруют по ключевым словам, дедуплицируют и обогащают: куки привязывают к логинам, проверяют балансы и число подписчиков, валидируют сид-фразы, фиксируют статус двухфакторки, а проверки идут через прокси страны жертвы, чтобы не задеть антифрод. Затем файл становится товаром. Качественные одиночные логи продаются на централизованных маркетплейсах примерно за пять - сто долларов, по данным исследования Sekoia. Оптовые покупатели подписываются на сервисы, которые сами зовут себя облаками логов и рекламируют от 1 000 до 15 000 свежих логов в день за 200-900 долларов в месяц. Куда потечёт этот товар после изъятия панелей - отдельный рыночный вопрос: ранее в этом году мы разбирали рынок стилер-логов после талкдаунов.Как распознать протухшую или поддельную запись
Покупатели проверяют товар, потому что качество неровное. Исследователи дарквеба Kaspersky отмечают, что шум вокруг украденных баз часто упаковывает материал старый, переработанный или вовсе выдуманный. На логовых рынках приметы механические:- Формат не совпадает с заявленным семейством стилера - перемаркированный или переработанный файл
- Те же строки URL-логин уже ходят с прошлых продаж
- Куки просрочены или не проходят проверку сессий - старые данные продают как свежие
- Системные детали противоречат геолокации или заявленной корпоративной ценности
- Предложение "свежих логов" вовсе без даты сбора
Что жертве следует обновить
Если почта или домен всплыли в этой экономике, смена пароля - классическое полурешение. Рекомендация SpyCloud: один сброс пароля не убирает украденную сессию - пока куки действительны, покупатель сохраняет доступ. Red Canary советует реагировавшим сбросить учётные данные и вручную отозвать сессии, чтобы перехваченные куки перестали работать; рекомендация Hudson Rock по устранению последствий сочетает те же два шага. На практике это значит:- Выйти из всех сессий на почте, банкинге, SSO и соцсетях
- Отозвать OAuth-разрешения и пароли приложений; инвалидировать refresh-токены
- Заново настроить многофакторность, если фактор подменяли
- Заменить сохранённые карты и перевести любой кошелёк, чья сид-фраза касалась машины