Hacking
Πώς οι «stealer logs» παρακάμπτουν το MFA και τροφοδοτούν επιθέσεις ransomware
Τα infostealer και οι αγορές stealer logs μετατρέπουν κλεμμένα cookies και credentials σε «κλειδιά» για άμεση είσοδο σε εταιρικά δίκτυα και ransomware επιθέσεις. Η αντιμετώπιση απαιτεί ανακλήσεις συνεδριών, βελτιωμένο MFA και παρακολούθηση underground αγορών.
Τις τελευταίες χρονιές ένας σιωπηλός τύπος malware, οι λεγόμενοι infostealer, έχουν μετατραπεί σε ένα κρίσιμο ενδιάμεσο ανάμεσα στην κλεμμένη ταυτότητα και τις μεγάλες επιθέσεις ransomware. Αντί να σπάσουν τείχη και να εξερευνήσουν δίκτυα με brute force, οι επιτιθέμενοι απλά αγοράζουν τα κλειδιά που ήδη τους έδωσε το θύμα — τα αποθηκευμένα session tokens και credentials.
Η πρακτική αυτή είναι πολύ περισσότερο από απλή κλοπή κωδικών: οι πληροφορίες που συλλέγονται, οργανώνονται και πωλούνται σε μαζικές βάσεις δεδομένων, επιτρέπουν σε ομάδες ransomware να συνδεθούν απευθείας σε εταιρικά συστήματα χωρίς να ξυπνήσουν τα συνηθισμένα συστήματα ανίχνευσης. Οι συνέπειες στην ασφάλεια των επιχειρήσεων και των ατόμων είναι σοβαρές και μακροπρόθεσμες.
Τι είναι οι stealer logs και πώς δημιουργούνται
Οι stealer logs είναι αρχεία που παράγει το infostealer malware σε ένα μολυσμένο μηχάνημα. Το κακόβουλο λογισμικό σαρώει το σύστημα για αποθηκευμένα στοιχεία: passwords από browsers, cookies συνεδριών, δεδομένα από cryptocurrency wallets, και στοιχεία συστήματος (fingerprints) που βοηθούν στην αναπαραγωγή της συσκευής του χρήστη. Όλα αυτά τα δεδομένα εξάγονται διακριτικά σε servers που ελέγχονται από τους επιτιθέμενους.
Σε αντίθεση με το ransomware, που απαιτεί παρεμβατική κρυπτογράφηση αρχείων και εμφανίζει ειδοποιήσεις, οι infostealers δουλεύουν στο παρασκήνιο. Ο χρήστης δεν παρατηρεί οποιαδήποτε επιβράδυνση ή παράξενη συμπεριφορά — όλα λειτουργούν κανονικά ενώ τα δεδομένα διαρρέουν. Αυτό επιτρέπει στους εισβολείς να συλλέξουν πληροφορίες για μακρότερο διάστημα και να ελέγξουν πιο στρατηγικά πότε και πώς θα τις χρησιμοποιήσουν.
Το πιο επικίνδυνο στοιχείο μέσα σε ένα stealer log δεν είναι πάντοτε ο κωδικός. Είναι το ενεργό session cookie — ένα ψηφιακό token που λέει σε ένα web service «αυτή η συσκευή έχει ήδη ταξινομηθεί». Όταν ο χρήστης ολοκληρώσει μια διαδικασία MFA, ο browser αποθηκεύει το token που επιβεβαιώνει την έγκριση. Το token αυτό συνήθως παραμένει ενεργό μέχρι να γίνει logout ή να λήξει χρονικά.
Ένας επιτιθέμενος που εισάγει ένα κλεμμένο session cookie στο δικό του browser κληρονομεί την ήδη πιστοποιημένη κατάσταση και μπαίνει στον λογαριασμό χωρίς νέο αίτημα για MFA. Αυτή η τεχνική, συχνά αποκαλούμενη session hijacking, παρακάμπτει πλήρως τον λόγο ύπαρξης του δεύτερου παράγοντα: την επιβεβαίωση ότι ο χρήστης είναι όντως αυτός που ισχυρίζεται ότι είναι.
Η παράκαμψη του MFA δεν περιορίζεται μόνο στα cookies. Υπάρχουν τουλάχιστον έξι διακριτές τεχνικές που περιγράφονται σε ερευνητικά κείμενα και σε αναφορές ασφάλειας, όπως: push bombing, adversary-in-the-middle phishing, SIM swapping, και βελτιστοποιημένες επιθέσεις session hijacking. Κάθε τεχνική αξιοποιεί διαφορετικές αδυναμίες στην υλοποίηση του δεύτερου παράγοντα.
Ποιος αγοράζει και πουλιέται: το οικοσύστημα των initial access brokers
Μόλις παραχθούν οι stealer logs, δεν παραμένουν στα χέρια των αρχικών επιτιθέμενων. Εδώ μπαίνουν στην εικόνα οι initial access brokers — μεσάζοντες που αγοράζουν, φιλτράρουν και μεταπωλούν πρόσβαση σε χιλιάδες συσκευές και λογαριασμούς. Αυτοί οι brokers οργανώνουν τα logs σε μεγάλες, αναζητήσιμες βάσεις, επιτρέποντας σε ομάδα ransomware να βρει γρήγορα στόχους με VPN credentials, SSO tokens ή domain admin πρόσβαση.
Το μοντέλο έχει απλοποιήσει και επιταχύνει τη μετατροπή μιας τοπικής παραβίασης σε ευθεία είσοδο σε εταιρικά δίκτυα. Σύμφωνα με αναφορές της DarkOwl, τέτοιες “Underground Clouds of Logs” επιτρέπουν αναζητήσεις με βάση χώρα, domain εταιρείας ή συγκεκριμένη εφαρμογή — ένα εργαλείο που μειώνει δραστικά το χρόνο από την αρχική μόλυνση μέχρι την εκμετάλλευση.
Ο όγκος αυτής της αγοράς είναι ορατός στα δεδομένα: μόνο τον Ιούνιο του 2026, καταγράφηκε μια ενοποιημένη συλλογή που περιείχε περίπου 124 εκατομμύρια μοναδικούς κωδικούς, κυκλοφορώντας σε παράνομες αγορές. Παράλληλα, η έκθεση Verizon για το 2025 τόνισε ότι το 88% των παραβιάσεων web εφαρμογών σχετίζονται με κλεμμένα διαπιστευτήρια — πολλαπλά δείγματα της ευρείας επαναχρησιμοποίησης αυτών των logs.
Πώς οι επιτιθέμενοι μετατρέπουν τα logs σε ransomware επιθέσεις
Η διαδικασία δεν είναι απαραιτήτως τεχνικά προηγμένη: οι ransomware affiliates αγοράζουν επιλεγμένα logs που περιλαμβάνουν corporate VPN, SSO tokens ή διαχειριστικές πρόσβάσεις και κάνουν απευθείας σύνδεση στο στοχευμένο δίκτυο. Με πρόσβαση στο εσωτερικό, παρακάμπτονται οι περιμετρικές άμυνες και εγκαθίστανται εργαλεία lateral movement και exfiltration.
Επιπλέον, οι ίδιοι μηχανισμοί επιτρέπουν την εκμετάλλευση σε μεγαλύτερη κλίμακα: credential-stuffing επιθέσεις εναντίον SSO portals και cloud υπηρεσιών εκτελούνται με αυτοματοποιημένα scripts, αξιοποιώντας τη μαζική επαναχρησιμοποίηση κωδικών. Οι οργανισμοί που δεν εφαρμόζουν πολιτικές μοναδικών κωδικών σε συνδυασμό με short session lifetimes είναι ιδιαίτερα εκτεθειμένοι.
Η χρήση συστημάτων διαχείρισης ταυτότητας που δεν επαληθεύουν ενεργά τη συσκευή ή το context της σύνδεσης δίνει επιπλέον πλεονεκτήματα στους εισβολείς. Αν ένα token παραμένει ενεργό και δεν ανιχνεύεται η χρήση του από άλλη γεωγραφική θέση ή από νέο fingerprint, τότε ο επίδοξος εισβολέας έχει ουσιαστικά παρκάρει μέσα στο δίκτυο του θύματος.
Τι μπορούν να κάνουν εταιρείες και χρήστες για να μειώσουν τον κίνδυνο
Η αντιμετώπιση απαιτεί αλλαγές σε πολλαπλά επίπεδα: τεχνολογικά, διαδικαστικά και εκπαιδευτικά. Κατ’ αρχάς, οι incident responders επιμένουν ότι όταν υπάρχει υποψία παραβίασης, πρέπει πρώτα να τερματίζονται οι ενεργές συνεδρίες και να ανακαλούνται τα tokens, και μετά να γίνεται επαναφορά κωδικών. Η σειρά αυτή είναι κρίσιμη, γιατί ένα νέο password δεν αποτρέπει έναν εισβολέα που ήδη κρατάει ένα έγκυρο session token.
Τεχνικά μέτρα που αποδίδουν περιλαμβάνουν τη μείωση του χρόνου ζωής των sessions, την εφαρμογή device-bound tokens και της τεχνολογίας FIDO2, όπου είναι εφικτό, και τη χρήση risk-based authentication που αξιολογεί συνεδρίες βάσει τοποθεσίας, fingerprint και συμπεριφοράς. Επίσης, ο εντοπισμός και η παρακολούθηση για tokens που εμφανίζονται σε παράνομες αγορές μπορούν να προσφέρουν έγκαιρη προειδοποίηση.
Σε επίπεδο δικτύου και endpoint, η χρήση EDR λύσεων, ο περιορισμός προνομιακών δικαιωμάτων (least privilege) και η τακτική επιθεώρηση για ανεπιθύμητες συνδέσεις VPN/SSO μειώνουν τις πιθανότητες επιτυχούς escalation. Παράλληλα, πολιτικές για μοναδικούς κωδικούς, εκπαίδευση χρηστών και περιοδικές ασκήσεις αποκάλυψης επιθέσεων ενισχύουν την ολική ανθεκτικότητα.
Τι σημαίνει αυτό για τους χρήστες και τις επιχειρήσεις
Το προφίλ του κινδύνου έχει αλλάξει: η ασφάλεια δεν είναι πλέον απλά θέμα ισχυρών κωδικών ή MFA. Οι κλεμμένοι session tokens μετατρέπουν για χρόνια παλιές παραβιάσεις σε ενεργό απειλή, αφού τα δεδομένα γίνονται εμπορεύματα που διατηρούν αξία επ’ αόριστον. Αυτό σημαίνει ότι οργανισμοί που αγνοούν την παρακολούθηση των underground αγορών ή δεν εφαρμόζουν συνεχή έλεγχο συνεδριών, ουσιαστικά αφήνουν την πόρτα ξεκλείδωτη.
Για τους τελικούς χρήστες, η πιο ασφαλής συμπεριφορά παραμένει η σχολαστική χρήση διαφορετικών κωδικών ανά υπηρεσία, η ενεργοποίηση των πιο ασφαλών μορφών MFA (όπως hardware keys) και η επαγρύπνηση σχετικά με ύποπτες δραστηριότητες σύνδεσης. Για τις επιχειρήσεις, η επένδυση σε τεχνολογία ανίχνευσης, γρήγορης απόκρισης και πολιτικές ανακλήσεων συνεδριών είναι πλέον απαραίτητη, όχι πολυτέλεια.
Στο ευρύτερο πλαίσιο, οι ρυθμιστικές απαιτήσεις και τα πρότυπα ασφάλειας θα πρέπει να λάβουν υπόψη αυτή τη νέα δυναμική: η αξιολόγηση κινδύνου πρέπει να συμπεριλαμβάνει την πιθανότητα ότι διαπιστευτήρια και tokens κυκλοφορούν ήδη σε underground αγορές. Η πρόληψη, ο γρήγορος εντοπισμός και η σωστή διαχείριση συνεδριών είναι σήμερα κρίσιμα εργαλεία για να αποτραπεί η μετατροπή μιας μικρής κλοπής σε εκτεταμένη επίθεση ransomware.
