Анатомія запису зі стилер-лога: що насправді містить рядок украдених даних
Коли інфостилер завершує роботу, результат не схожий на ефектний експлойт. Це текстовий файл. Продавці звуть його логом: усе, що шкідливий код витягнув з однієї машини, розкладено так, щоб покупець розібрав з першого погляду. Оскільки чимала частина сучасних викрадень акаунтів починається саме тут, варто побачити, що містить один запис. Запис нижче - ілюстративний композит, без реальних даних жертв, змодельований за публічними дослідженнями Red Canary, SpyCloud, Hudson Rock та Sekoia, а картину доповнюють дослідники дарквебу з Kaspersky.
Шапка: профіль машини
Більшість родин стилерів починають кожен файл із системного блоку. Дослідження Sekoia про торгівлю логами перелічує звичні поля: версія та розрядність ОС, ім'я комп'ютера й користувача, модель CPU і GPU, розкладка клавіатури, апаратний ідентифікатор, плюс публічна IP, user-agent браузера та оцінка геолокації. Наш умовний приклад починається так:- Машина: DESKTOP-J41R7, користувач "anna" - Windows 10 22H2, 64-біт
- Браузер: Chrome 139 - CPU: Intel i5-10400 - GPU: GTX 1660 - клавіатура: en-US
- IP: 84.xx.xx.xx (домашній провайдер), поле країни: AT - зібрано: 09.11.2026
Рядки облікових даних: URL, логін, пароль
Під шапкою йдуть збережені в браузері логіни - зазвичай трійками URL-логін-пароль, ті самі ULP-дані, які описує Hudson Rock. Розріджений фрагмент нашого прикладу:- https://mail.example.com | a.reid91 | white-tulip-42
- https://shop.example.net | a.reid91@example.com | sunset-bike-88
- https://vpn.example-corp.com | anna.reid | Qk7!vTz9
Чому банк кукисів важить більше за колонку паролів
Колонка паролів збирає увагу; колонка кукисів створює інциденти. Сесійна кука - це квиток, який сайт видає після входу, і той, хто її відтворює, пред'являє сесію, якій сервер уже довіряє - без підбору пароля, без фішингової сторінки та без запиту багатофакторності, адже фактор було пройдено під час первинного входу. Як формулює глосарій SpyCloud:Крадії кукисів обходять автентифікацію - навіть MFA.Дані лога відкривають корпоративний єдиний вхід, фінансові рахунки та криптобіржі, а дослідники Red Canary зауважують, що зловмисники використовують будь-яку можливість увійти, а не зламувати. Sekoia документує, як далеко діє одна кука: група Lapsus$, за цими даними, купила куку співробітника на Genesis Market і довела віддалену сесію до Slack компанії, умовивши ІТ-підтримку скинути MFA. Лог із бідною колонкою паролів, але свіжим банком кукисів може коштувати більше, ніж навпаки.
Від панелі оператора до «хмари логів»
Сирі файли починаються в панелі оператора шкідливого коду, куди звітує кожна заражена машина. Там їх розбирають і нормалізують - Sekoia називає інструменти обробки на кшталт Crystal чи BLTools, -, фільтрують за ключовими словами, дедуплікують і збагачують: куки прив'язують до логінів, перевіряють баланси й кількість підписників, валідують сід-фрази, фіксують статус двофакторки, а перевірки йдуть через проксі країни жертви, щоб не чіпати антифрод. Потім файл стає товаром. Якісні поодинокі логи продаються на централізованих маркетплейсах приблизно за п'ять - сто доларів, за даними дослідження Sekoia. Оптові покупці підписуються на сервіси, які самі звуть себе хмарами логів і рекламують від 1 000 до 15 000 свіжих логів на день за 200-900 доларів на місяць. Куди потече цей товар після вилучення панелей - окреме ринкове питання: раніше цього року ми розбирали ринок стилер-логів після тейкдаунів.Як розпізнати протухлий чи підробний запис
Покупці перевіряють товар, бо якість нерівна. Дослідники дарквебу Kaspersky зауважують, що галас навколо украдених баз часто загортає матеріал старий, перероблений або й вигаданий. На логових ринках прикмети механічні:- Формат не збігається із заявленою родиною стилера - перемаркований чи перероблений файл
- Ті самі рядки URL-логін уже ходять із минулих продажів
- Куки прострочені або не проходять перевірку сесій - старі дані продають як свіжі
- Системні деталі суперечать геолокації чи заявленій корпоративній цінності
- Пропозиція "свіжих логів" узагалі без дати збору
Що жертві варто оновити
Якщо пошта чи домен спливли в цій економіці, зміна пароля - класичне піврозв'язання. Настанова SpyCloud: сам скид пароля не прибирає вкрадену сесію - поки куки чинні, покупець зберігає доступ. Red Canary велить реагувальним скинути облікові дані та вручну відкликати сесії, щоб перехоплені куки перестали працювати; рекомендація Hudson Rock із усунення наслідків поєднує ті самі два кроки. На практиці це означає:- Вийти з усіх сесій на пошті, банкінгу, SSO й соцмережах
- Відкликати OAuth-дозволи та паролі застосунків; інвалідувати refresh-токени
- Наново налаштувати багатофакторність, якщо фактор підмінювали
- Замінити збережені картки та перевести будь-який гаманець, чия сід-фраза торкалася машини