Cosa può contenere un log rubato

La maggior parte delle infezioni da infostealer si verifica su dispositivi non gestiti o personali, al di fuori della visibilità di antivirus, EDR o SIEM. Una volta rubate, le credenziali e i token di sessione vengono caricati silenziosamente sui mercati criminali e sui canali Telegram, dove questi log vengono spesso venduti nel giro di poche ore. Ognuno di essi può includere:

• Credenziali: per e-mail aziendali, VPN e strumenti di amministrazione.

• Token di sessione attivi: che aggirano completamente la MFA.

• Metadati del dispositivo: indirizzi IP, versioni del sistema operativo e dettagli del browser.

• File locali sensibili: documenti e altri file estratti dal dispositivo.

• URL interni e cookie: collegati ai sistemi interni.

Perché il monitoraggio dei marketplace è l'approccio più efficace

Poiché l'infezione si verifica in genere fuori dalla rete, su un dispositivo che il tuo stack di sicurezza non può vedere, gli strumenti di rilevamento tradizionali hanno pochi elementi su cui lavorare. Il monitoraggio diretto dei marketplace di stealer colma questa lacuna: invece di attendere i sintomi sul dispositivo, si monitora la comparsa dei dati della propria organizzazione dove vengono venduti, prima che gli aggressori agiscano su di essi.

Passguard monitora costantemente i mercati attivi degli infostealer e i canali di leak. Se compaiono log collegati ai tuoi domini o strumenti interni ricevi un avviso, anche se l'infezione ha avuto origine da un dispositivo che non controlli.