Black Hat Europe 2025 | Not Just Victims: The Hidden Villains Inside Infostealer Logs

Stasmo Intelligence是專業暗網情報分析公司，其韓國研發團隊發現了竊取器惡意軟體日誌的隱藏價值。傳統理解中，竊取器危害在於盜竊受害者的密碼與個人資料。但研究團隊提出逆向思維：攻擊者本人在分發惡意軟體時，自己也可能同時被其他竊取器感染，使他們的行為軌跡在受害者日誌中留下完整記錄。

以東南亞戀情詐騙、非法賭博與工作綁架案為背景，團隊開始檢視手中的6TB竊取器日誌。起初採用人工審查方式，檢查5000份樣本需耗時一週。但在過程中他們發現了關鍵線索——第一例是詐騙者保存的欺騙腳本與偽造機票；第二例則是賭博開發者桌面截圖。這鼓舞了他們將分析過程系統化的決心。

竊取器日誌的技術複雜性在於格式異構性。不同惡意軟體版本與家族的日誌結構差異大，用單一解析器難以應對。研究團隊採用混合方案：先用Python解析器處理已知格式，對於格式異常部分則交給LLM補充處理。這個策略使解析成功率相比單獨Python方案提升15%。所有數據標準化為JSON格式便於查詢。在隱私保護上，雖然日誌包含密碼，但他們使用局部敏感雜湊算法而非明文，既能識別同一帳戶的跨網站使用，又不洩露實際密碼。

分析系統採用四層流程。首先進行犯罪分析與嫌疑人畫像，理解犯罪者的具體行為需求；其次將行為特徵轉化為技術查詢條件；第三層執行搜索，可能產生10到千餘條結果；最後由分析師人工驗證結果的真實性。在實踐中，一個查詢「單台電腦上5個以上dating服務帳戶」的案例，傳統分析耗時7天，新工具只需5分鐘，時間效率革命性地提升。

後續案例展現了系統的實際威力。賭博運營案例中，研究團隊根據假設「賭博運營者需在單機運行多個Telegram實例以管理大量客戶」進行查詢。發現的真實運營者使用雙監視器設置：左屏顯示賭博後台管理頁面與銀行帳戶，右屏則是WhatsApp客戶聊天紀錄與Google試算表帳簿。這完整揭示了他們的業務運作流程。另一個駭客案例中，嫌疑人擁有145份竊取器日誌跨國分佈，在感染惡意軟體時正訪問rumor stiller管理面板，且在暗網論壇有對應帖子記錄，多層次證據相互驗證。

系統的有效性體現在行為閾值的精準設置上。以「5個以上」此類臨界值進行查詢時，演示案例中約90%的搜索結果確為真實嫌疑人。這說明量化的具體特徵（進程數、檔案數、帳戶數）遠比關鍵字搜索更可靠。不過團隊仍持續改進，計畫開發混合方法同時運用行為模式與關鍵字搜索，以最小化假陽性與假陰性。