Как-то мы уже были свидетелями того, как логи инфостиллеров помогали выйти на самих злоумышленников, но оказывается могут быть задействованы и по другим направлениям.

Новый подход успешно, как заявляется, обкатали исследователи Insikt Group из Recorded Future, которые в своем отчете рассказали, как им удалось вычислить 3324 уникальных аккаунта, связанных с распространением CSAM (сексуальное насилие над детьми).

Поскольку этот тип вредоносного ПО обычно распространяется через пиратское ПО, вредоносную рекламу и фейковые обновления, стиллеры могут в течение длительного времени красть данные из зараженных систем, причем жертва даже не подозревает об этом.

К ним в числе прочих относятся и пользователи CSAM, которые раскрывают все креды своих счетов, электронную почту и другие личные данные, включая и учетные данные, используемые для доступа к CSAM-ресурсам с регистрацией.

Используя другие украденные у цели данные, аналитики Insikt могли отследить учетные записи по именам пользователей на различных платформах, получить их IP-адреса и в некоторых случаях системную информацию.

Insikt использовала логи, собранные с февраля 2021 года по февраль 2024 года, для идентификации CSAM путем сопоставления украденных учетных данных с двадцатью известными доменами CSAM.

После чего сопоставили реквизиты с собственными OSINT-массивами.

Как правило, украденные с помощью стиллеров учетные данные задействуется для взлома других аккаунтов, проведения целевых атак или продажи их в даркнете другим заинтересованным хакерам.

Собранные же Insikt сведения, добытые с Redline, Raccoon и Vidar через даркнет, ушли в ином направлении, а именно переданы силовикам для оперативной разработки и привлечения к ответственности.

Метод хорош, конечно, однако конкретные источники получения логов исследователи не приводят, что наводит на мысли о возможной легализации представленных данных.

Впрочем, вестник вашингтонского обкома особо никогда не скрывал своей аффилированности.