Wat is een infostealer-log?

Wat een log bevat

Een typische infostealer-log bevat:

• Inloggegevens: gebruikersnamen en wachtwoorden die zijn opgeslagen in browsers en wachtwoordmanagers.

• Session tokens en cookies: actieve authenticatietokens die toegang geven tot accounts zonder wachtwoord of MFA.

• Browserdata: browsegeschiedenis, autofill-data (namen, adressen, betaalgegevens) en bladwijzers.

• Systeeminformatie: besturingssysteem, hostnaam, IP-adres, geïnstalleerde software en hardware-ID's.

• Lokale bestanden: sommige stealers pakken documenten, cryptowallets of configuratiebestanden uit specifieke mappen.

Eén log kan inloggegevens bevatten voor tientallen, soms honderden diensten, van zakelijke applicaties tot persoonlijke accounts.

Hoe logs zijn opgebouwd

De meeste infostealer-logs volgen een voorspelbare mappenstructuur. Op het hoogste niveau staat meestal de systeeminformatie (IP, besturingssysteem, hostnaam), gevolgd door submappen per browser met de buitgemaakte wachtwoorden, cookies en autofill-data. Sommige varianten bevatten ook een screenshot van het moment van infectie.

Door deze structuur zijn logs eenvoudig te verwerken en te doorzoeken. Precies daarom kunnen criminele marktplaatsen zoeken op domein aanbieden. Een aanvaller die toegang zoekt tot een specifiek bedrijf, zoekt op het domein en vindt direct de relevante logs.

Hoe logs op criminele marktplaatsen belanden

Nadat een infostealer een apparaat heeft geïnfecteerd, wordt de gestolen data automatisch geüpload naar de infrastructuur van de operator. Van daaruit worden logs te koop aangeboden op criminele marktplaatsen (dark web-fora, Telegram en Discord), vaak binnen enkele uren na de infectie. De prijs hangt af van de waarde van de toegang: logs met actieve zakelijke sessies, toegang tot bankrekeningen of VPN-inloggegevens zijn flink duurder dan persoonlijke accounts.

Waarom logs belangrijk zijn voor organisaties

Eén log van één geïnfecteerd apparaat van een medewerker kan actieve sessies, VPN-inloggegevens, toegang tot e-mail en tokens voor cloudplatforms blootleggen. Omdat session tokens de meeste softwarematige MFA omzeilen, hoeven aanvallers geen wachtwoorden te kraken. Ze importeren de gestolen session cookie en lopen zo naar binnen.

Daarom is het cruciaal om stealer logs te monitoren op de domeinen van je organisatie. Passguard monitort de criminele marktplaatsen waar deze logs worden verhandeld en waarschuwt je securityteam zodra er gestolen sessies opduiken die aan jouw systemen zijn gekoppeld. Wil je weten of je bedrijf al blootgesteld is? Start een gratis scan op passguard.com.