Akademi
TerimVeri

ULP biçimi

URL:Login:Password

Loglardan çıkarılan kimlik bilgilerinin “adres:kullanıcı adı:parola” satırları hâlinde listelendiği biçim.

Akış

  1. 1Loglardan çıkarılır
  2. 2Birleştirilir
  3. 3Alan adına göre süzülür
İlgili aileler
—
MITRE ATT&CK
T1555.003 · Credentials from Web Browsers
Kaynak
5 kaynak
01

Genel bakış

Tarayıcılar kayıtlı parolayı hangi sitenin giriş sayfası için kaydedildiğiyle birlikte saklar. Infostealer bu üçlüyü okur; loglar birleştirilip ULP satırlarına dönüştürülür. MITRE ATT&CK

ULP listeleri log arşivlerinden çok daha küçük ve aranabilir olduğu için hızla dolaşır; aynı satır yıllarca farklı listelerde yeniden görünür. Google Cloud (Mandiant)

02

Nasıl çalışır

  1. 1

    Loglardan çıkarılır

    Her logdaki parola dosyası okunur, adres, kullanıcı adı ve parola alanları ayrılır. MITRE ATT&CK

  2. 2

    Birleştirilir

    Binlerce logdan gelen satırlar tek listede toplanır, tekrarlar temizlenir.

  3. 3

    Alan adına göre süzülür

    Alıcı yalnız belirli bir kurumun ya da hizmetin satırlarını arar; doğrulayıcıya bu süzülmüş liste verilir.

03

Nasıl fark edilir

  • Kurumun giriş adreslerinin (SSO, VPN, web posta) ULP listelerinde görünmesi, o adrese giriş yapan bir cihazın bulaştığını gösterir. Google Cloud (Mandiant)
04

Ne yapılmalı

  • Listede görünen hesabın parolasını değiştirin ve tüm oturumlarını kapatın. MITRE ATT&CK
  • Çok aşamalı doğrulamayı zorunlu kılın. MITRE ATT&CK
05

MITRE ATT&CK

T1555.003Credentials from Web BrowsersT1078Valid AccountsT1539Steal Web Session Cookie
06

İlgili terimler

Terimler

Stealer loguKimlik bilgisi sızıntısıDoğrulayıcı
07

Kaynaklar

  1. 1Credentials from Web Browsers (T1555.003) · MITRE ATT&CK
  2. 2Valid Accounts (T1078) · MITRE ATT&CK
  3. 3Steal Web Session Cookie (T1539) · MITRE ATT&CK
  4. 4UNC5537 targets Snowflake customer instances · Google Cloud (Mandiant), 2024
  5. 5Multi-factor Authentication (M1032) · MITRE ATT&CK