Como a Exposição por Infostealer protege a sua empresa?
A Exposição por Infostealer detecta quando máquinas são comprometidas por malware infostealer e os dados roubados delas são compartilhados na Deep e na Dark Web. Quando um log de malware contém credenciais ou acessos relacionados aos seus ativos monitorados, a Plataforma Axur registra uma detecção na aba Infostealer do workspace de Vazamento de Dados, com a evidência e o contexto da fonte.
Em vez de mostrar apenas uma credencial vazada, cada detecção aponta para a máquina e o log de malware de onde os dados foram roubados. Isso ajuda as suas equipes de segurança e de fraude a:
Identificar dispositivos infectados e identidades comprometidas – Ver qual máquina foi infectada e quais credenciais, cookies e outros dados foram coletados dela;
Investigar a exposição – Verificar como, quando e de qual máquina os dados foram roubados, usando a evidência original;
Conter o comprometimento – Tratar a máquina infectada (por exemplo, com antivírus ou reinstalação), além de redefinir as senhas;
Identificar padrões de infecção – Comparar detecções por família de malware, fonte e máquina.
Quais empresas se beneficiam desse monitoramento?
Qualquer organização preocupada com o roubo de credenciais e sessões corporativas a partir de máquinas infectadas pode se beneficiar, especialmente aquelas que:
Querem saber quando credenciais ou sessões de funcionários foram roubadas por malware e de qual dispositivo;
Precisam apoiar as equipes de SOC, de gestão de identidades e acessos e de fraude no bloqueio de máquinas e contas comprometidas;
Usam ferramentas de terceiros ou plataformas SaaS e querem visibilidade sobre credenciais roubadas para esses logins;
Querem identificar dispositivos pessoais ou não autorizados acessando sistemas corporativos.
Como a Exposição por Infostealer se diferencia de outros produtos da Axur?
Exposição por Infostealer
Restrita a dados coletados por malware e compartilhados no formato original (o log do stealer).
Oferece uma visão mais profunda da exposição, usada para identificar e tratar a máquina infectada e para identificar a possível origem da infecção.
Exposição de Credenciais
Tem um escopo mais amplo: detecta credenciais em diferentes formatos, como combolists e dumps de bancos de dados.
Foca na velocidade de entrega e no tratamento das credenciais (redefinição de senha, bloqueio de conta e similares).
Menções em vazamento de dados
Identifica informações corporativas confidenciais em vazamentos de ransomware e arquivos de breaches.
Threat Hunting
Permite que analistas realizem buscas manuais nos datasets de inteligência da Axur para identificar indicadores relacionados a investigações específicas.
Várias credenciais detectadas na aba Credenciais podem não ter uma detecção correspondente na aba Infostealer. A maioria das credenciais é compartilhada em formatos como combolists (url:login:pass, login:pass) ou tabelas CSV. Esses formatos não são considerados logs de malware e as credenciais não são listadas como detecções de Infostealer, mesmo que um infostealer tenha coletado as credenciais.
Regras de detecção
Ativo monitorado | O que é correspondido |
Domínio | O domínio de e-mail da credencial roubada. Para ormus.com , uma credencial [email protected] corresponde, independentemente do site onde foi usada. A correspondência é exata e diferencia maiúsculas de minúsculas. |
Página de Login de Terceiros | O host ou domínio de acesso da credencial roubada. Somente ativos aprovados são monitorados. |
Endereço IP | O endereço IP da máquina infectada. |
Faixa de IP (CIDR) | Uma máquina infectada cujo endereço IP está dentro da faixa. |
Uma credencial com e-mail de outro domínio (por exemplo, [email protected]) usada no seu site não corresponde a um ativo do tipo Domínio.
O ativo correspondente é exibido na coluna Ativos da detecção.
Informações disponíveis em uma detecção
A quantidade de dados em cada detecção depende da família de malware, do agente de ameaça e do formato em que o log foi publicado; por isso, nem todas as informações estão presentes em todas as detecções. Uma detecção pode incluir:
Malware – Família, distribuidor, caminho onde o malware estava armazenado, data de upload do log;
Sistema – Sistema operacional, nome da máquina, conta de usuário, informações de hardware, softwares instalados, antivírus, configurações regionais;
Rede – Endereço IP, localização geográfica, provedor de internet (ISP); Dados do navegador – Cookies, credenciais (URL, login e senha), dados de pagamento, dados de preenchimento automático/formulários, processos em execução;
Arquivos no disco – Arquivos em locais comuns, arquivos de configuração local de aplicações, arquivos de carteiras de criptomoedas; Capturas de tela;
Fonte – URL ou canal onde o vazamento foi publicado, data de publicação, autor (quando disponível).
Famílias de malware
A Axur processa diversas famílias de malware comuns e novas são adicionadas conforme surgem. Famílias atualmente suportadas:
Acreed
ArechClientV2
Astris
AuraStealer
Lumma Stealer
MacSync
Phemedrone
Raccoon Stealer
Raven
Redline Stealer
Remus
Rhadamanthys Stealer
RisePro Stealer
Stealc Stealer
Stealerium
Vidar Stealer
WhiteSnake
XFiles
Quando uma família ainda não é conhecida, o log é detectado mesmo assim, sem uma família atribuída.
Logs duplicados
Os logs de infostealer não são deduplicados, pois uma nova detecção pode significar que a máquina ainda está infectada ou foi infectada novamente. No entanto, se um arquivo coletado tiver exatamente o mesmo conteúdo de um arquivo já processado, ele é descartado antes da ingestão. Por exemplo, quando o mesmo arquivo .zip é compartilhado em dois canais do Telegram, apenas o primeiro é processado.
Fontes monitoradas
Telegram
Fóruns da Deep e Dark Web
Páginas web de grupos de agentes de ameaça
Fontes adicionais monitoradas pelo time de Threat Intelligence da Axur
Como configurar seu monitoramento
A Exposição por Infostealer usa os seus ativos de Vazamento de Dados. O monitoramento é habilitado por ativo em Configurações de monitoramento > Gestão de ativos.
Ativos suportados:
Domínio
Página de Login de Terceiros
Endereço IP
Faixa de IP (CIDR)
Acesse Configurações de monitoramento > Gestão de ativos e abra a aba Risco Digital.
Clique no ativo que deseja monitorar (por exemplo, um ativo do tipo Domínio). A página de edição do ativo é aberta.
Na seção Configuração de monitoramento, em Vazamento de Dados, ative Exposição por Infostealer.
Clique em Salvar ativo.
Detecções históricas
Os logs de infostealer estão disponíveis desde o lançamento do recurso (abril de 2026). Logs coletados antes dessa data não estão disponíveis, e habilitar o monitoramento em um novo ativo não cria detecções para logs processados antes de ele ser habilitado.
Concedendo acesso dos usuários às detecções
As detecções de infostealer contêm informações sensíveis sobre máquinas infectadas, por isso o acesso é controlado por usuário. Os gestores podem habilitar ou desabilitar o acesso de cada usuário.
Clique no ícone de Configurações (engrenagem) e selecione Meu time.
Encontre o usuário que deseja atualizar, clique nas reticências (três pontos) e selecione Editar.
Nas permissões, habilite ou desabilite a permissão Infostealer.
O Infostealer vem habilitado por padrão. Se o acesso de um usuário às detecções de Vazamento de Dados estiver restrito a tipos de detecção específicos, o Infostealer precisa estar selecionado nessa lista para que o usuário veja as detecções de Infostealer.
Gestão de detecções
A tabela exibe, por padrão, estas colunas: Data de criação, Status, Ativos, ID de Hardware, IP do computador, Hostname do computador, Nome do sistema operacional e Tags. Use Exportar CSV para exportá-las.
Como investigar a evidência de uma detecção
Cada detecção representa uma máquina infectada e os dados que o malware roubou dela. O painel lateral reúne tudo o que a Axur conseguiu extrair do log, para que você responda a quatro perguntas: quem foi afetado, qual dispositivo foi infectado, o que foi exposto e como/quando os dados vazaram.
Ao clicar em uma detecção, um painel lateral é aberto com seus detalhes, organizados em três abas:
Detalhes: as informações sobre a detecção, a máquina e o log original
Notas: permite adicionar suas próprias notas à detecção, por exemplo o número do ticket, o responsável pela investigação ou as ações realizadas
Histórico de eventos: o registro de alterações da detecção, mostrando o que foi modificado ao longo do tempo.
A quantidade de dados varia conforme a família de malware e o formato em que o log foi publicado; por isso, alguns campos podem estar vazios ("-"). Use as seguintes seções da aba Detalhes para construir sua análise:
Resumo: ID da detecção, status, datas, ativo correspondente, tags. O campo Ativos mostra quais dos seus ativos monitorados corresponderam, para que você saiba se a exposição envolve seu domínio, uma página de login de terceiros ou um endereço IP. As datas ajudam a montar a linha do tempo entre a publicação do vazamento e a sua detecção.
Registros: lista os dados roubados da máquina, por tipo. É o núcleo da investigação; veja Investigando os registros abaixo.
Malware: família do stealer, distribuidor do malware e caminho do executável do stealer. Use a família e o distribuidor para entender a ameaça e reconhecer campanhas repetidas entre detecções. Use o caminho do executável como indicador para procurar e remover o malware no dispositivo (por exemplo, no console de EDR ou de antivírus).
Máquina: hardware ID, hostname, IP, endereço MAC, CPU, GPU, RAM, disco e tamanho da tela. Use o hostname, o IP e o endereço MAC para localizar o dispositivo no seu inventário de ativos, EDR ou MDM. Quando a máquina não está no seu inventário, os detalhes de hardware ajudam a identificar se é um dispositivo pessoal ou não autorizado acessando recursos corporativos (Shadow IT).
Sistema operacional: nome e versão do SO, usuário, indicador de administrador, idioma, teclado, fuso horário, antivírus instalados e data de instalação. O usuário do SO ajuda a identificar a pessoa afetada, o indicador de administrador mostra quanto controle o malware pode ter tido, e o antivírus instalado mostra qual proteção existia e não impediu a infecção
Geolocalização: país, região e cidade da máquina. Compare com a localização esperada do usuário para identificar dispositivos inesperados
Arquivo: nome, tamanho e pacote de origem do arquivo compactado onde o log foi encontrado. Útil para correlacionar várias detecções que vieram do mesmo pacote e para validar a evidência no arquivo original.
Fonte: onde o vazamento foi publicado e quando (nome, URL e data de exposição na fonte). Use a data de exposição para estimar por quanto tempo os dados estão disponíveis para criminosos e priorizar sua resposta;
Mensagem: para vazamentos compartilhados em aplicativos de mensagens, como o Telegram, os detalhes da mensagem e do chat (nome e tipo do chat, autor, data). Mostra o contexto e o alcance da distribuição do log;
Pasta: a pasta dentro do pacote que corresponde a esta detecção. Um pacote pode conter milhares de logs, cada um de uma máquina diferente, e cada detecção aponta para uma única pasta;
Vazamento e Mega: detalhes do vazamento, gerados apenas quando a detecção vem dessas fontes;
Outras informações: identificadores adicionais da detecção.
Investigando os registros
A seção Registros lista todos os tipos de registro: Credenciais, Cartões de crédito, Cookies, Preenchimento automático, Programas, Processos e Arquivos. Os tipos com registros exibem um link Ver tabela; os demais exibem "-". Cada tipo responde a uma pergunta diferente:
Credenciais (URL, login e senha): mostram quais contas e serviços foram expostos, incluindo sistemas corporativos e ferramentas de terceiros. Use-as para definir quais senhas devem ser redefinidas e quais contas revisar;
Cookies: cookies de sessão podem permitir que um invasor acesse uma conta sem a senha. Invalide as sessões das contas expostas, mesmo que a senha já tenha sido alterada;
Preenchimento automático: dados salvos em formulários do navegador, como nomes, endereços, telefones e outros identificadores. Mostra quais informações pessoais do usuário estão expostas;
Cartões de crédito: dados de pagamento salvos no navegador, quando presentes. Permitem bloquear os cartões afetados;
Programas: aplicações instaladas na máquina. Ajudam a identificar se o dispositivo executa software não autorizado e como a infecção pode ter começado;
Processos: programas em execução na máquina no momento da coleta dos dados. Ajudam a identificar o malware e outras atividades suspeitas no dispositivo;
Arquivos: arquivos coletados da máquina, como documentos, arquivos de configuração de aplicações (VPN, FTP, gerenciadores de senhas, e-mail) e carteiras de criptomoedas. Verifique se contêm informações corporativas sensíveis ou credenciais de acesso que precisam ser revogadas.
Para trabalhar com os registros:
Visualizar: selecione um tipo de registro para ver todos os registros desse tipo encontrados no log de malware. Uma única detecção pode conter milhares de registros;
Buscar: use o campo de busca dentro de uma lista de registros para encontrar valores específicos, por exemplo seu domínio, o nome de um sistema corporativo ou um nome de usuário, em vez de percorrer a lista inteira;
Validar: para um registro, visualize ou baixe o arquivo original onde ele foi encontrado, para compará-lo com a evidência bruta e confirmar a exposição antes de tomar qualquer ação.
Acessando arquivos e realizando investigações
No painel lateral, você pode:
Baixar um arquivo individual;
Baixar o pacote original (o arquivo compactado completo associado à detecção).
Os arquivos permanecem disponíveis por um ano após a coleta, respeitando os limites de uso de download e as restrições legais. Downloads automatizados ou em massa sem autorização não são permitidos.
Todos os arquivos são fornecidos conforme coletados e não foram inspecionados quanto a malware. A Axur recomenda fortemente a utilização de um ambiente Sandbox durante a investigação
O que fazer após uma detecção?
Identifique a máquina infectada usando as informações de máquina, IP e hardware da detecção;
Trate a máquina (por exemplo, com uma varredura de antivírus ou reinstalação) e bloqueie o acesso dela aos sistemas corporativos;
Redefina as senhas e invalide as sessões das contas expostas; Use o arquivo original para validar a evidência;
Adicione notas e atualize o status para refletir o andamento.
API & Integrações
Exposure API: as detecções de infostealer estão disponíveis na categoria infostealer da Exposure API (busca, contagem, status, notas e tags). Consulte a Documentação da API da Axur.
Feeds de integração: feeds do tipo Infostealer estão disponíveis na tela de API & Integrações, nos modos Pull e Push. Consulte Feeds.
O Axur Data Connector para Splunk não está disponível para a Exposição por Infostealer.
Webhooks
Os Webhooks 2.0 (Feed Push) são configurados na tela de API & Integrações, usando um feed do tipo Infostealer. Consulte Feeds.
Notificações
Os alertas por e-mail para detecções de infostealer ainda não estão disponíveis. Eles estão em desenvolvimento.
Safelist
A Exposição por Infostealer não possui safelist.