Зловредният софтуер за кражба на информация (infostealer) тихо се превърна в най-важния инструмент за първоначален достъп в икономиката на киберпрестъпността, заменяйки традиционния фишинг и компрометирането чрез експлойти като водещ предшественик на корпоративни пробиви и рансъмуер.

Вместо да проникват насилствено в мрежите, съвременните злонамерени субекти купуват своя достъп, като придобиват „stealer logs“ (регистрационни файлове от инфостийлъри), съдържащи валидни потребителски имена, пароли, сесийни бисквитки и SSO токени, събрани от заразени крайни устройства. След това те възпроизвеждат тези сесии директно срещу облачни конзоли, SaaS платформи и VPN шлюзове.

Данните на Cisco Talos за реагиране на инциденти от първото тримесечие на 2026 г. потвърждават, че фишингът и достъпът, базиран на компрометирани идентификационни данни, са изпреварили атаките чрез експлойти като водещ вектор за първоначален достъп, а въпросните данни са преобладаващо извлечени от регистрационни файлове на инфостийлъри.

Този доклад разкрива цялата верига на атаката – от заразяването до компрометирането на облака – и предоставя на защитниците справочник с известни вектори на заразяване, инструменти за зловреден софтуер, целеви сектори, експлоатирани слабости и индикатори за компрометиране (IOCs).

От един заразен лаптоп до пробив с милиарди записи

Пробивът в Snowflake през 2024 г. остава класическият пример за този процес в действие.

Авторът на заплахата UNC5537 (известен още като Scattered Spider/ShinyHunters) не е експлоатирал уязвимост в Snowflake. Той е използвал идентификационни данни, събрани от зловреден софтуер за кражба на информация от служители на клиенти на Snowflake. Някои заразявания датират от 2023 г., като паролите са били съхранявани в незащитени електронни таблици и мениджъри на пароли.

Нито един от компрометираните акаунти не е имал активирано многофакторно удостоверяване (MFA), което е позволило на атакуващите да се впишат само с откраднато потребителско име и парола.

Кампанията в крайна сметка засегна поне 165 организации, включително AT&T, Ticketmaster, Santander Bank, Neiman Marcus и Advance Auto Parts, излагайки на показ над 50 милиарда записа за обаждания на AT&T и довеждайки до искания за откуп, надхвърлящи 2 милиона долара. UNC5537 използва персонализиран инструментариум за извличане на данни, наречен FROSTBITE, за да автоматизира масовото извличане на информация след влизане в системите на Snowflake.

По-нов пример е кампанията Zestix/Sentap, идентифицирана през януари 2026 г., която използва идентификационни данни, събрани чрез RedLine, Lumma и Vidar, за да компрометира корпоративни акаунти в облачни платформи за споделяне на файлове ShareFile, Nextcloud и OwnCloud. При нея бяха извлечени чертежи за отбранително инженерство, здравни досиета, както и юридически и финансови архиви – отново без използване на експлойти, а само с откраднати данни и липса на MFA.

Докладът на Flare за 2026 г. относно излагането на предприятия на инфостийлъри количествено определя мащаба: 2,05 милиона регистрационни файла от инфостийлъри са разкрили корпоративни идентификационни данни само през 2025 г. Компрометирането на корпоративни акаунти в заразени регистрационни файлове е нараснало от приблизително 6% в началото на 2024 г. до близо 16% до 2026 г., като 79% от тези корпоративни регистрационни файлове съдържат SSO данни, свързани с Microsoft.

Приблизително 1,17 милиона регистрационни файла съдържат както идентификационни данни, така и активни сесийни бисквитки, което е достатъчно за незабавен достъп, заобикалящ напълно MFA чрез възпроизвеждане на сесията.

Веригата на атаката: от инфостийлър към пробив

Процесът преминава през пет отделни етапа, всеки от които се управлява от различен специализиран участник във веригата за доставки на киберпрестъпността:

  • Заразяване: Потребителят, обикновено на лично или неуправлявано устройство, изпълнява злонамерения код чрез нискобюджетна, но масова примамка.
  • Събиране: Зловредният софтуер събира съхранявани в браузъра пароли, сесийни бисквитки, данни за автоматично попълване, криптовалутни портфейли и системни отпечатъци, след което ги пакетира в ZIP архив (лог) за всяко заразено устройство.
  • Извличане: Регистрационният файл се предава на оператора, често чрез Telegram Bot API, който се превърна в доминиращ C2 канал, тъй като е евтин, устойчив на спиране и се слива с нормалния мрежов трафик. Дъмпове с регистрационни файлове се продават масово на автоматизирани пазари (Russian Market, 2easy, STYX, DarkForums) за суми от порядъка на 1 до 50 долара на лог.
  • Филтриране и брокерство: Брокерите на първоначален достъп (IABs) купуват на едро, филтрират регистрационните файлове за такива, съдържащи корпоративни VPN, SSO или облачни администраторски права, проверяват дали достъпът все още е активен и го препродават на партньори на рансъмуер банди за $500–$5,000 в зависимост от нивото на привилегиите и сектора.

Идентификационните данни обикновено преминават от кражбата до листването им в подземието в рамките на 48 часа, а партньорите на рансъмуер бандите често използват закупения достъп като оръжие до 48 часа след публикуването му от брокера. Този съкратен график е причината непрекъснатият мониторинг за изтичане на идентификационни данни, а не просто периодичната ротация на пароли, да се превърне в базово изискване за защитниците.

През 2026 г. операторите на инфостийлъри се пренасочиха почти изцяло от доставка чрез експлойти към примамки за социално инженерство, оптимизирани за обем пред устойчивост:

  • ClickFix / фалшиви страници за CAPTCHA: На жертвите се казва да „потвърдят, че са хора“, като натиснат Win+R и поставят съдържанието на клипборда, което всъщност е PowerShell команда, изтегляща безшумно зареждащата програма. Тази техника в момента движи веригата на заразяване CastleLoader-към-Lumma.
  • Троянски версии на кракнат/пиратски софтуер: SEO-манипулирани резултати от търсене за „[софтуер] crack“ или „[игра] cheat“ водят до троянски инсталационни програми – дългогодишен, но ефективен метод.