# อินโฟสตีลเลอร์
มัลแวร์ขโมยข้อมูล หรือ อินโฟสตีลเลอร์  เป็นมัลแวร์ชนิดม้าโทรจันที่ทำขึ้นเจาะระบบคอมพิวเตอร์เพื่อขโมยข้อมูลสำคัญต่างๆ
รวมทั้งข้อมูลลงบันทึกเข้าบัญชี คุกกี้ช่วงสื่อสาร (session cookie) ข้อมูลการเงิน และข้อมูลที่ระบุตัวบุคคลได้ แล้วส่งข้อมูลไปยังเซิร์ฟเวอร์ของอาชญากร
ต่อแต่นั้นก็มักจะนำไปแลกเปลี่ยนซื้อขายในตลาดมืดกับคนร้ายอื่นๆ
แม้คนร้ายมักจะใช้เพื่อหาเงิน แต่กลุ่มปฏิบัติการที่รัฐสนับสนุนก็อาจใช้เพื่อการสอดแนมทางไซเบอร์หรือเพื่อทำสงครามไซเบอร์ได้เช่นกัน

โปรแกรมขโมยข้อมูลสามารถสอดตัวเองเข้าสู่คอมพิวเตอร์หรืออุปกรณ์ด้วยวิธีต่างๆ เช่น การโจมตีแบบฟิชชิง การแพร่ผ่านเว็บไซต์ที่ติดมัลแวร์ 
และการซอฟต์แวร์ที่เป็นอันตราย ซึ่งรวมถึงม็อดเกมและซอฟต์แวร์ละเมิดลิขสิทธิ์
เมื่อติดตั้งแล้ว โปรแกรมจะสามารถเก็บข้อมูลแล้วส่งข้อมูลได้อย่างรวดเร็ว โดยทั่วไปในไม่กี่วินาทีจนถึงหนึ่งนาที

ข้อมูลที่ถูกขโมยจะรวบรวมแล้วขายเป็นชุดข้อมูล/บันทึกข้อมูล (logs)
ผู้ร้ายอาจใช้ข้อมูลเพื่อทำทุจริต เช่น การฉ้อโกง หรือเพื่อเข้าถึงระบบและสินทรัพย์ต่างๆ โดยไม่ได้รับอนุญาต 
เมื่อเข้าถึงระบบได้ ก็อาจจะมีการละเมิดข้อมูลสำคัญ (data breach) หรือติดตั้งมัลแวร์เรียกค่าไถ่ ซึ่งทำให้เสียหายทางการเงินหรือทางอื่นๆ

ผู้เขียนโปรแกรมอินโฟสตีลเลอร์มักจะให้เช่าใช้งานโดยมีรูปแบบธุรกิจเป็นบริการมัลแวร์ (malware-as-a-service, MaaS)
ทำให้ผู้ใช้ไม่ว่าจะมีความรู้ด้านเทคนิคมากน้อยแค่ไหนก็ใช้งานได้
ฟังก์ชันของโปรแกรมทั่วไปจะหลากหลาย บางตัวมุ่งเน้นการขโมยข้อมูลเท่านั้น บางตัวสามารถควบคุมเครื่องจากระยะไกลเพื่อติดตั้งและดำเนินการมัลแวร์เพิ่มเติม

อินโฟสตีลเลอร์สมัยใหม่มีกำเนิดที่ต้นปี2007 ด้วยการเปิดตัวของ ZeuS/Zbot
ซึ่งมุ่งขโมยข้อมูลธนาคารออนไลน์โดยเฉพาะ แล้วกลายเป็นโทรจันขโมยข้อมูลธนาคารที่แพร่หลายและซับซ้อนที่สุดตัวหนึ่งอย่างรวดเร็ว 
หลังจากการเปิดเผยซอร์สโค้ดในปี2011 ตัวแปรใหม่ๆ ก็เพิ่มจำนวนขึ้นอย่างมากมาย

พัฒนาการทางเทคโนโลยีและตลาดมืดได้ช่วยการพัฒนาและการแพร่กระจายของอินโฟสตีลเลอร์ในรูปแบบต่างๆ 
เพราะอาชญากรไซเบอร์ปรับกลวิธีอย่างต่อเนื่องเพื่อหลีกเลี่ยงการตรวจจับและเพื่อเพิ่มผลกำไร 
ปัจจุบัน อินโฟสตีลเลอร์ยังคงเป็นภัยคุกคามทั่วไปต่อบุคคล ธุรกิจ และองค์กรทั่วโลก
บริษัทความมั่นคงทางไซเบอร์อเมริกัน Secureworks พบว่าจำนวนบันทึกข้อมูลของอินโฟสตีลเลอร์ ซึ่งถูกขโมยจากคอมพิวเตอร์แต่ละเครื่อง มีขายในรัสเชียนมาร์เก็ตเพิ่มขึ้นจาก เป็น ระหว่างเดือนมิถุนายน 2022กุมภาพันธ์ 2023
ส่วนบริษัทความมั่นคงทางไซเบอร์รัสเซีย แคสเปอร์สกี พบในกลางปี2023 ว่าร้อยละ24 ของบริการมัลแวร์ (MaaS) เป็นอินโฟสตีลเลอร์
มันถูกใช้เพิ่มมากขึ้นโดยเป็นจุดเริ่มต้นของการโจมตีทางไซเบอร์ที่ซับซ้อน ทำให้กลายเป็นภัยคุกคามหลักด้านอาชญากรรมไซเบอร์

ในปลายปี 2022 พบว่า ประเทศไทยเป็นประเทศหนึ่งในท็อปเท็นที่ติดเชื้ออินโฟสตีลเลอร์มากที่สุด

อินโฟสตีลเลอร์เป็นภัยร้ายแรงเพราะสามารถขโมยข้อมูลสำคัญ เช่น รหัสผ่านและข้อมูลทางการเงิน
มัลแวร์ประเภทนี้มีการพัฒนาอย่างต่อเนื่อง ทำให้ตรวจจับและกำจัดได้ยากขึ้น
การเปลี่ยนไปทำงานระยะไกลของพนักงานเนื่องจากโควิด-19 ได้เพิ่มความเสี่ยงของอินโฟสตีลเลอร์ โดยเฉพาะอย่างยิ่งเนื่องกับนโยบายการนำอุปกรณ์ส่วนตัวมาใช้ในที่ทำงาน (BYOD)
เพื่อป้องกันภัยคุกคามนี้ แนะนำให้อัปเดตซอฟต์แวร์เป็นประจำ ใช้รหัสผ่านที่แข็งแกร่งโดยไม่บันทึกไว้ในเบราว์เซอร์ 
ระวังอีเมลที่น่าสงสัย ระวังการคลิกลิงก์ ใช้งานการพิสูจน์ตัวจริงด้วยปัจจัยหลายอย่าง และลงทุนในโซลูชันความปลอดภัยเพื่อตรวจจับและบล็อกอินโฟสตีลเลอร์
มาตรการเหล่านี้สามารถช่วยลดความเสี่ยงการถูกโจมตีได้

 การทำงาน 
อินโฟสตีลเลอร์มุ่งลอบรวบรวมข้อมูลสำคัญของเหยื่อโดยวิธีต่างๆ เช่น การทำรายการ/ลอกไฟล์ การบันทึกแป้นพิมพ์ การดึงข้อมูลเบราว์เซอร์ การจับภาพหน้าจอ และการคัดลอกคุกกี้ 
ข้อมูลที่รวบรวมจะส่งไปยังเซิร์ฟเวอร์ที่ผู้โจมตีควบคุม

อินโฟสตีลเลอร์ใช้วิธีต่างๆ เพื่อโจมตีและดึงข้อมูลโดยเฉพาะๆ จากระบบที่ติดเชื้อ
รูปแปรมัลแวร์มีตั้งแต่สคริปต์ง่ายๆ จนถึงโปรแกรมมอดุลาร์ที่ซับซ้อน บางอย่างสามารถใช้ซอฟต์แวร์ของระบบปฏิบัติการ เป็นเทคนิคการใช้สิ่งที่มีอยู่แล้วที่เรียกว่า Living Off The Land (LOTL)
วิธีการเหล่านี้ใช้ช่องโหว่ในการใช้ การจัดเก็บ และการส่งข้อมูล 
เทคนิคทั่วไปมีดังนี้
 Form grabbing ดักฟอร์ม ดักข้อมูลที่ป้อนเข้าในฟอร์มเว็บหรือแอปอื่นๆ ก่อนจะเข้ารหัสลับ เทคนิคนี้มีประสิทธิภาพโดยเฉพาะในการดักข้อมูลเข้าบัญชี รายละเอียดการชำระเงิน และข้อมูลอื่นๆ
 Web injection scripts เพิ่มเขตข้อมูลในแบบฟอร์มเว็บเพื่อดักข้อมูลที่กรอก แล้วส่งข้อมูลไปยังเซิร์ฟเวอร์ของผู้โจมตี
 การโจมตีแบบคนกลางในเบราว์เซอร์ (Man-in-the-browser) เพื่อฉีดโค้ดที่เป็นอันตรายเข้าไปในเว็บเบราว์เซอร์ นี้ช่วยให้สามารถดักจับและแก้ไขข้อมูลในเวลาจริงเมื่อผู้ใช้ป้อนข้อมูลบนเว็บไซต์ที่เข้ารหัสลับ
 การบันทึกแป้นพิมพ์ (Keylogging) จะบันทึกทุกอย่างที่ผู้ใช้พิมพ์ ช่วยให้ผู้โจมตีขโมยข้อมูลสำคัญเช่น รหัสผ่านและข้อมูลบัตรเครดิต
 Clipboard hijacking จะติดตามและเปลี่ยนเนื้อหาที่คัดลอกไปยังคลิปบอร์ด ช่วยเปลี่ยนหรือขโมยข้อมูลสำคัญ เช่น หมายเลขบัญชี (โดยเฉพาะที่ใช้กับคริปโต) หรือรหัสผ่าน เมื่อผู้ใช้คัดลอกข้อมูล 
 การจับภาพหน้าจอ (Screen capturing) จับภาพหน้าจอของผู้ใช้ในช่วงเวลาสำคัญ เช่น เมื่อกำลังป้อนข้อมูลการเข้าสู่ระบบหรือดูข้อมูลส่วนตัว วิธีนี้แอบขโมยข้อมูลที่แสดงบนหน้าจอโดยไม่จำกัดแค่ข้อมูลตัวอักษร 
 การไฮแจ็กเซสชันเบราว์เซอร์ (Browser session hijacking) จะขโมยคุกกี้และเซสชันโทเค็นจากหน่วยความจำแคชของเบราว์เซอร์ ช่วยให้แอบอ้างเป็นผู้ใช้คนนั้น เข้าถึงบัญชีออนไลน์โดยไม่ต้องใช้ชื่อผู้ใช้ รหัสผ่าน หรือการพิสูจน์ตัวจริงด้วยปัจจัยหลายอย่าง
 Credential dumping ดึงข้อมูลการเข้าบัญชีต่างๆ ที่เก็บไว้บนระบบ รวมทั้งที่เก็บไว้ในเว็บเบราวเซอร์หรือซอฟต์แวร์ลูกข่ายอื่นๆ  ทว่าข้อมูลเข้ารหัสลับไว้ ผู้โจมตีอาจพยายามเจาะออฟไลน์โดยใช้ฮาร์ดแวร์และซอฟต์แวร์เฉพาะทาง
 การลอบเก็บอีเมลและไฟล์
 Crypto-wallet harvesting ค้นหาซอฟต์แวร์กระเป๋าเงินคริปโตทั่วไป เพื่อขโมยกุญแจส่วนตัวจากแฟ้มที่รู้จัก ด้วยกุญแจเหล่านี้ ผู้โจมตีสามารถโอนเงินคริปโตจากบัญชีของเหยื่อได้

อินโฟสตีลเลอร์มักลอบเข้าสู่ระบบผ่านอีเมลฟิชชิง ไฟล์แนบที่เป็นอันตราย หรือเว็บไซต์ที่ถูกบุกรุก
เมื่อติดตั้งแล้ว ก็จะทำงานอย่างลับๆ ทำให้ตรวจจับได้ยาก
โดยใช้กลยุทธ์ต่างๆ เพื่อหลีกเลี่ยงการตรวจพบ เพื่อเกาะแน่นกับระบบ ค้นหาระบบเป้าหมายเพิ่มเติมในเครือข่าย และเปิดประดูให้ผู้โจมตีสั่งการได้จากระยะไกล 
อินโฟสตีลเลอร์ขั้นสูงจะทำเป็นโมดูล (มีลักษณะเป็นโมดุลาร์) โดยจะโหลดเพย์โหลดที่เหมาะกับงานหลังจากได้สแกนระบบและเครือข่ายเพื่อหาแหล่งข้อมูลที่มีค่าแล้ว

อินโฟสตีลเลอร์สมัยใหม่มักทำงานเป็นส่วนหนึ่งของบอตเน็ต 
มีเซิร์ฟเวอร์คำสั่งและควบคุม (C&C หรือ C2) จากระยะไกลจะซึ่งกำหนดเป้าหมายการโจมตีและกิจที่จะทำ

 ข้อมูลที่ขโมย 
อินโฟสตีลเลอร์จะขโมยข้อมูลต่างๆ กัน แต่ก็มักจะดึงข้อมูลต่อไปนี้
 รหัสผ่านที่บันทึกไว้จากแอปต่างๆ รวมถึงบัญชีธนาคาร บัญชีอีเมล สื่อสังคม เครือข่ายส่วนตัวเสมือน และบริการเอฟทีพี
 คริปโทเคอร์เรนซีวอลเลต
 ข้อมูลบัญชีธนาคารและบัตรเครดิต
 ประวัติการดูอินเทอร์เน็ต
 คุกกี้และข้อมูลส่วนขยายของเบราวเซอร์
 ไฟล์คอมพิวเตอร์ที่กำหนดรวมทั้งภาพ เอกสาร และสเปรดชีต
 ภาพจับหน้าจอ
 ข้อมูลและข้อความอีเมล
 รายละเอียดเกี่ยวกับระบบปฏิบัติการ
 รายละเอียดฮาร์ดแวร์คอมพิวเตอร์
 ข้อมูลที่ระบุตัวบุคคลได้รวมทั้งเลขบัตรประชาชน ที่อยู่ และเบอร์โทร

อาชญากรสามารถนำข้อมูลที่ขโมยไปสร้างรายได้ด้วยวิธีต่างๆ 
ข้อมูลบัตรธนาคารสามารถนำไปขายต่อหรือใช้ได้โดยตรงเพื่อซื้อสินค้า
การเข้าสู่ระบบบัญชีสามารถใช้ขโมยของที่ซื้อในอดีต (เช่นที่ซื้อในเกม) หรือใช้ซื้อของใหม่หากเชื่อมกับบัตรธนาคาร
ข้อมูลเข้าสู่บัญชีสามารถขายส่งหรือแยกขายได้ เช่น บัญชีสื่อสังคมที่มีค่า
รูปภาพและเอกสารสามารถใช้แบล็คเมล์หรือทำเงินได้เหมือนดังที่พบในมัลแวร์เรียกค่าไถ่ 
หรือเหตุการณ์ละเมิดความเป็นส่วนตัว เช่น การรั่วไหลภาพเปลือยของคนดังอเมริกันในปี2014 (ที่เว็บไซต์ต่างๆ รวมทั้งเว็บลามกอนาจารได้ผลประโยชน์)

 แรงจูงใจเบื้องหลัง 
อาชญากรปกติมักต้องการได้ทรัพย์
ข้อมูลที่ถูกขโมยจะจัดเก็บไว้ในฐานข้อมูลเพื่อขายในตลาดมืดหรือช่องเทเลแกรมส่วนตัว
ผู้ซื้ออาจใช้ข้อมูลนี้เพื่อการฉ้อโกง เช่น การสมัครขอสินเชื่อ การซื้อของออนไลน์ หรือการยื่นเบิกประกันสุขภาพปลอม
ข้อมูลการเข้าสู่ระบบที่ถูกบุกรุกอาจให้สิทธิ์ในการเข้าถึงบัญชีบริษัทหรือบริการเข้าถึงระบบระยะไกล (RAS) เพื่อทำกิจกรรมที่เป็นอันตรายเพิ่ม
อินโฟสตีลเลอร์มักใช้ในการตั้งมัลแวร์เรียกค่าไถ่ ซึ่งผู้โจมตีจะใช้เวลาในระบบเป้าหมายเพื่อรวบรวมข้อมูลและข้อมูลบันทึกเข้าบัญชี เพื่อจะเจาะเข้าระบบอื่นในเครือข่ายรอบๆ และเพื่อเพิ่มสิทธิ์ที่ใช้ก่อความเสียหายให้มากที่สุด

 การกระจายเชื้อ/การติดตั้ง 
อินโฟสตีลเลอร์เหมือนกับมัลแวร์อื่นๆ ในการแพร่กระจายด้วยวิธีการต่างๆ ที่ใช้วิศวกรรมสังคมรวมถึง
 ส่งผ่านทางอีเมล ทั้งเป็นแบบไฟล์แนบหรือลิงก์ที่เป็นอันตราย โดยคนส่งจะปลอมตัวเป็นองค์กรหรือบุคคลที่น่าเชื่อถือ
 ฟิชชิง
 Spear phishing เป็นฟิชชิ่งแบบเจาะจงเป้าหมายที่ปรับแต่งอีเมลให้เหมาะเฉพาะบุคคล มักใช้ข้อมูลส่วนบุคคลของเป้าหมายเพื่อเพิ่มโอกาสความสำเร็จ
 SEO poisoning เป็นการจงใจจัดแจงดัชนีของเสิร์ชเอนจิน เพื่อปรับแต่งความเกี่ยวข้องหรือความโดดเด่นของลิงก์ที่ปรากฏในดัชนี แล้วชักนำให้ผู้ค้นหาดาวน์โหลดและดำเนินการมัลแวร์
 ลิงก์อันตรายผ่านช่องทางอื่นๆ รวมถึงคำอธิบายวิดีโอยูทูบ โพสต์ในเครือข่ายสังคมออนไลน์สาธารณะ
 โฆษณาอันตราย รวมถึงที่พบบนเว็บไซต์ยอดนิยม
 ซอฟต์แวร์ที่ติดมัลแวร์ รวมถึงม็อดเกมและซอฟต์แวร์ละเมิดลิขสิทธิ์

 มาตรการป้องกัน 
ข้อแนะนำเพื่อป้องกันระบบจากอินโฟสตีลเลอร์รวมถึง
 ระมัดระวังการคลิกลิงก์ หลีกเลี่ยงการเปิดไฟล์แนบอีเมลที่น่าสงสัย หรือดาวน์โหลดไฟล์จากเว็บไซต์ที่ไม่น่าเชื่อถือ 
 อัปเดตซอฟต์แวร์อยู่เสมอ อัปเดตเบราว์เซอร์ ระบบปฏิบัติการ และแอปเป็นประจำเพื่อปิดช่องโหว่ซึ่งอินโฟสตีลเลอร์มักใช้โจมตี
 เสริมความปลอดภัยของเบราว์เซอร์ ให้ใช้ส่วนขยายเบราว์เซอร์เพื่อบล็อกเว็บไซต์ที่กระจายมัลแวร์และพยายามหลอกลวงแบบฟิชชิ่ง
 ใช้การพิสูจน์ตัวจริงด้วยปัจจัยหลายอย่าง เพิ่มชั้นความปลอดภัยเพื่อป้องกันการเข้าถึงระบบและทรัพยากรต่างๆ โดยไม่ได้รับอนุญาต ซึ่งได้ผลแม้รหัสผ่านเข้าบัญชีจะรั่วไหล
 หลีกเลี่ยงซอฟต์แวร์ละเมิดลิขสิทธิ์ เพราะมักจะมีมัลแวร์ ให้เลือกใช้ซอฟต์แวร์ที่ถูกต้องตามกฎหมายเพื่อลดความเสี่ยงจากการติดเชื้อ

สำหรับองค์กร การใช้มาตรการรักษาความปลอดภัยแบบเดิมๆ อาจตรวจจับและรับมือกับอินโฟสตีลเลอร์ได้อย่างไม่มีประสิทธิภาพพอ
นักวิจัยพบว่าร้อยละ20 ของบันทึกข้อมูลที่ตรวจพบมาจากระบบที่ติดตั้งโปรแกรมป้องกันไวรัส คือโปรแกรมป้องกันอาจช่วยยับยั้งอินโฟสตีลเลอร์ไม่ได้

 ความสัมพันธ์กับการโจมตีอื่นๆ 

Credential stuffing (การยัดข้อมูลเข้าบัญชี) เป็นการลอบลงเข้าบัญชีซึ่งใช้รายการรวม (combolist) ข้อมูลบันทึกเข้าบัญชีที่รั่วไหลไปก่อนหน้านี้จากเว็บไซต์และแอปต่างๆ 
บัญชีที่โจมตีอาจไม่ใช่บัญชีที่รั่วโดยตรง แต่เป็นบัญชีอื่น ๆ ซึ่งใช้ที่อยู่อีเมล์และรหัสผ่านตัวเดียวกันหรือคล้าย ๆ กัน

รายการรวมเช่นนี้ปัจจุบันอาจรวมข้อมูลจากอินโฟสตีลเลอร์ ซึ่งขโมยข้อมูลการพิสูจน์ตัวตนล่าสุด เช่น ชื่อผู้ใช้ รหัสผ่าน ที่อยู่อีเมล คุกกี้ของเบราวเซอร์ และข้อมูลกรอกอัตโนมัติจากอุปกรณ์ที่ติดเชื้อ
ข้อมูลล่าสุดเช่นนี้ทำให้โจมตีแบบยัดข้อมูลเข้าบัญชีได้สำเร็จยิ่งขึ้น ถ้าผู้ใช้ยังไม่ได้แก้ไขปัญหาข้อมูลรั่วไหลให้ดี (เช่น เปลี่ยนหรือยกเลิกการใช้)

 ตลาดมืด 
ความเชี่ยวชาญเฉพาะด้านเป็นแนวโน้มที่สำคัญในเว็บมืด ซึ่งผู้ร้ายปัจจุบันจะทำการเพียงส่วนหนึ่งๆ ของอาชญากรรม แทนที่จะทำทั้งหมด 
ต่างกับอดีตที่กลุ่มเดียวกันบริหารการดำเนินงานทั้งหมด ปัจจุบันมีผู้เชี่ยวชาญเฉพาะด้านต่างๆ ที่ให้บริการแก่ลูกค้า

ตัวอย่างรูปแบบเดิมก็คือมัลแวร์ธนาคาร Zeus ซึ่งกลุ่มเดียวพัฒนา กระจาย และได้รับผลประโยชน์จากข้อมูลที่ขโมย 
ในทางตรงข้าม อาชญากรรมไซเบอร์ยุคใหม่อนุญาตให้บุคคลทั่วไปมีส่วนร่วมในบทบาทโดยเฉพาะๆ มีโอกาสได้รับผลกำไรจากข้อมูลที่ขโมย และมีอุปสรรคการเข้าร่วมที่น้อยกว่า

โปรแกรมขโมยข้อมูลมักขายเป็นบริการสมาชิกรายเดือนในฟอรั่มใต้ดินและตลาดมืดโดยมีราคา  (ราวๆ) ต่อเดือนเพื่อเข้าถึงเซิร์ฟเวอร์สั่งการและควบคุม
บริการรวมฟังก์ชันสนับสนุนสำหรับดู ดาวน์โหลด และแชร์ข้อมูลที่ขโมยมา 
ฟอรั่มใต้ดินเป็นแพลตฟอร์มให้ผู้ร้ายคุยกันเกี่ยวกับโครงการซอฟต์แวร์ที่กำลังทำ การขอลูกเล่นใหม่ๆ และรีวิวมัลแวร์ รวมถึงการโฆษณาและการขายอินโฟสตีลเลอร์
ฟอรั่มเหล่านี้มักมีกฎเกณฑ์ที่เข้มงวดและอาจมีบริการเอสโครว์ คือให้คนกลางถือเงินไว้ก่อนเมื่อมีการซื้อขายบริการ/สินค้า

ตลาดมืดมีบันทึกข้อมูลอินโฟสตีลเลอร์สำหรับขาย โดยสามารถเข้าถึงผ่านบริการนิรนามเช่น ทอร์หรือไอทูพี และอาจมีกฎระเบียบเกี่ยวกับข้อมูลที่ซื้อขาย
นอกจากนี้ยังมีเครื่องมือหลังการโจมตีสำหรับแยกวิเคราะห์และดึงข้อมูลจากบันทึกข้อมูลที่ขโมยมา

รวมๆ แล้ว แพลตฟอร์มเหล่านี้สะท้อนให้เห็นถึงภูมิทัศน์ที่กำลังเปลี่ยนแปลงไปของอาชญากรรมไซเบอร์ 
ตลาดจึงปรับตัวให้เข้ากับมาตรการดำเนินการทางกฎหมาย และใช้ประโยชน์จากเทคโนโลยีเพื่ออำนวยความสะดวกแก่อาชญากร

 รัสเชียนมาร์เก็ต 
รัสเชียนมาร์เก็ต (Russian Market) เป็นตลาดใต้ดินที่ใหญ่ที่สุดสำหรับบันทึกข้อมูลของอินโฟสตีลเลอร์ มีขายมากกว่า  ณ เดือนกุมภาพันธ์2023 มากกว่าเป็น 10เท่าของคู่แข่งรองลงไป
บันทึกข้อมูลส่วนใหญ่จะมาจากอินโฟสตีลเลอร์รวมทั้ง เรดไลน์ แร็กคูน วีดาร์ และล่าสุด RisePRO แม้จะได้หยุดขายบันทึกของ ทอรัส และ AZORult แล้วก็ตาม
ในเดือนตุลาคม 2022 ตลาดนี้ได้เปิดตัวการสั่งจองล่วงหน้าโดยผู้ซื้อต้องวางเงินมัดจำ  (ราวๆ 35,000บาท) 
เพื่อเข้าถึงข้อมูลเข้าบัญชีตามชื่อโดเมนหรือแอปโดยเฉพาะๆ ที่จะได้ในอนาคต

ผู้เยี่ยมชมสามารถค้นหาสินค้าตามประเภทมัลแวร์ที่ใช้ ระบบปฏิบัติการของเหยื่อ และที่อยู่ของเหยื่อ
ข้อมูลมีขายในราคาเฉลี่ย  (ประมาณ 350บาท) ต่อบันทึกข้อมูล
จำนวนบันทึกทั้งหมดที่มีขายในตลาดนี้เพิ่มขึ้นเกือบร้อยละ40 จากประมาณ 
เป็น ระหว่างเดือนกรกฎาคมตุลาคม 2022

 เจเนซิสมาร์เก็ต 
เจเนซิสมาร์เก็ต (Genesis Market) เป็นตลาดที่ต้องได้รับเชิญเท่านั้น เน้นการขายบอตมากกว่าบันทึกข้อมูล
บอตเหล่านี้คือคอมพิวเตอร์ผู้ใช้ที่ติดเชื้ออินโฟสตีลเลอร์ ซึ่งจะดักจับลักษณะเฉพาะของบราวเซอร์ (ที่เรียกว่าลายนิ้วมือเบราว์เซอร์) และขโมยข้อมูลอื่นๆ 
ทำให้สามารถปลอมตัวเป็นเหยื่อ เข้าบัญชีธนาคารของเหยื่อ ยึดครองบัญชีต่างๆ และฉ้อโกงซื้อของ/บริการต่างๆ ได้
ผู้ซื้อมีสิทธิ์เข้าถึงข้อมูลเหยื่อแบบ "เอ็กซ์คลูซีฟ" รวมถึงอัปเดตข้อมูลจากอุปกรณ์ที่ติดมัลแวร์
ถึงแม้จะถูกปราบปรามโดยเจ้าหน้าที่ตำรวจในเดือนเมษายน 2023 ตลาดก็ยังคงเปิดให้บริการได้บ้าง

 ทูอีซี่ 
ทูอีซี่ (2easy) เป็นตลาดออนไลน์ซึ่งเติบโตอย่างรวดเร็วที่อาชญากรไซเบอร์สามารถซื้อข้อมูลที่ถูกขโมยได้ 
โดยเปิดตัวในปี2018 ให้บริการซื้อของอัตโนมัติโดยไม่ต้องติดต่อกับผู้ขายและมีราคาถูกกว่าตลาดมืดอื่นบางแห่ง
ผู้ซื้อจะได้รับไฟล์บีบอัดซึ่งบรรจุข้อมูลที่ถูกขโมย ประเภทของข้อมูลที่ได้ขึ้นอยู่กับมัลแวร์ที่ใช้ขโมย
เรดไลน์เป็นมัลแวร์ที่นิยม แต่ก็มีตัวเลือกอื่นๆ ด้วย 
ในเดือนกุมภาพันธ์ 2023 ทูอีซี่มีบันทึกข้อมูลเกินกว่า 750,000ชุดสำหรับขาย

 เทเลแกรม 
เทเลแกรมเป็นแอปส่งสารทันทียอดนิยมที่อาชญากรไซเบอร์ใช้มากขึ้นเรื่อยๆ เพื่อขายข้อมูลที่ขโมยมา
สาเหตุหนึ่งเป็นเพราะเจ้าหน้าที่ตำรวจได้ปิดตลาดมืดเดิมๆ ลง
เทเลแกรมมีลูกเล่นที่ดึงดูดอาชญากรไซเบอร์ เช่นการเข้ารหัสลับและช่องส่วนตัว 
อย่างไรก็ตาม ข้อจำกัดต่างๆ เช่นการขาดการค้นหาขั้นสูง การขาดเครื่องมือสร้างชื่อเสียง และการมีผู้หลอกลวง ก็ทำให้มันด้อยกว่าฟอรั่มดั้งเดิม

 ชนิดต่างๆ 
Zeus เป็นม้าโทรจันขโมยข้อมูลสำคัญตัวแรกๆ ที่เกิดในปี2006 ซึ่งได้รับการพัฒนาอย่างสำคัญตั้งแต่รหัสต้นฉบับได้รั่วในปี2011
จึงเกิดรูปแปรที่ซับซ้อนต่างๆ รวมทั้งที่ปรับแต่งเพื่อโจมตีเป้าหมายโดยเฉพาะๆ เช่น LokiBot สำหรับเจาะแอนดรอยด์ และ Ducktail สำหรับเจาะบัญชีธุรกิจในเฟซบุ๊ก 
บางตัวเช่น BHUNT เน้นการขโมย บางตัวเช่น IRON TILDEN ถูกใช้โดยกลุ่มที่ได้รับการสนับสนุนจากรัฐเพื่อการจารกรรม 
นักวิจัยของบริษัทได้ศึกษาโปรแกรมขโมยข้อมูลในส่วนย่อยของตลาดรัสเชียนมาร์เก็ตในปี2022 
แต่รายละเอียดเกี่ยวกับส่วนขยายบราวเซอร์และแอปที่เป็นเป้าหมายโจมตี
ก็มักจะพบเฉพาะในไฟล์กำหนดค่าของโปรแกรมซึ่งเปลี่ยนแปลงได้เรื่อยๆ

 เรดไลน์ 
เรดไลน์ (RedLine) เป็นโปรแกรมขโมยข้อมูลบนวินโดวส์ที่นิยม ซึ่งปรากฏตัวในเดือนมีนาคม 2020 และเป็นสินค้าขายดีอันดับต้นๆ บนตลาดรัสเชียนมาร์เก็ต 
วางจำหน่ายทั้งแบบแยกต่างหากและแบบสมัครสมาชิก 
โปรแกรมนี้มีเป้าเป็นเว็บเบราว์เซอร์เพื่อขโมยข้อมูล เช่นข้อมูลเข้าบัญชีที่ผู้ใช้บันทึกไว้ รายละเอียดบัตรเครดิต และ
อนึ่ง ยังขโมยข้อมูลของแอปลูกข่ายเอฟทีพี ข้อมูลแอปข้อความส่งทันที ข้อมูลเครือข่ายส่วนตัวเสมือน และข้อมูลลูกข่ายเกมด้วย
นอกจากนั้น ยังรวบรวมรายละเอียดของสิ่งแวดล้อมของระบบเพื่อช่วยในการโจมตีรอบสอง

เรดไลน์แจกกระจายผ่านเกมและแอปที่ถูกแคร็ก ฟิชชิ่ง และโฆษณาที่เป็นอันตราย
เมื่อดำเนินการก็จะถอดรหัสข้อมูลที่ต้องใช้ เช่นที่อยู่ไอพีของเซิฟเวอร์, ขอข้อมูลการกำหนดค่าจากเซิร์ฟเวอร์ควบคุมและสั่งการ (C2), รวบรวมข้อมูลระบบ แล้วส่งข้อมูลกลับไปยังเซิร์ฟเวอร์ C2
เมื่อเชื่อมต่อกับเซิร์ฟเวอร์ C2 ได้แล้ว ก็ยังสามารถดำเนินการระยะไกลได้ด้วย เช่น ดาวน์โหลดไฟล์ เรียกใช้ไฟล์สั่งทำการ สั่งทำการด้วย CMD.exe และอื่นๆ

 แร็กคูน 
แร็กคูนซึ่งเปิดตัวครั้งแรกในปี2019 ดำเนินการเป็นบริการมัลแวร์ โดยกระจายผ่านฟิชชิงและชุดแสวงหาประโยชน์ (exploit kit)
หลังจากหยุดให้บริการชั่วคราวเพราะรัสเซียรุกรานยูเครนในเดือนมีนาคม 2022 และอาจเพราะนักพัฒนาหลักเสียชีวิตในสงคราม
รุ่น V2 ก็ได้เปิดตัวในเดือนกรกฎาคม2022 
โปรแกรมนี้ได้พัฒนาอย่างต่อเนื่องเพื่อหลีกเลี่ยงการตรวจจับ สามารถขโมยข้อมูลต่างๆ และส่งเพย์โหลดรอง เช่น SystemBC (ซึ่งทำหน้าที่เป็นบอต ประตูหลัง พร็อกซีเซิร์ฟเวอร์ และโทรจันที่ให้ควบคุมระบบได้ในระยะไกล [RAT])

แร็กคูนรุ่น 2 จะดึงข้อมูลการกำหนดค่าของมันจากเซิร์ฟเวอร์ C2 ที่ฝังโค้ดไว้ (hardcoded) แล้วส่งข้อมูลขโมยผ่าน HTTP POST
รุ่นนี้จะส่งข้อมูลทันทีหลังจากที่ขโมยได้ซึ่งต่างกับวิธีดั้งเดิม คือเน้นความเร็วเหนือการปกปิด และไม่ใช้การอำพรางหรือเทคนิคต่อต้านการวิเคราะห์

แร็กคูนมีเป้าหมายเป็นกระเป๋าเงินคริปโต ข้อมูลบราวเซอร์ รหัสผ่าน บัตรเครดิต และอื่นๆ
และกระจายผ่านฟิชชิงและชุดแสวงหาประโยชน์

 วีดาร์  
วีดาร์ซึ่งเห็นเป็นครั้งแรกใน เป็นโปรแกรมขโมยข้อมูลและติดตั้ง/ปล่อยมัลแวร์เรียกค่าไถ่
มีขายในฟอรั่มใต้ดินและช่องเทเลแกรม มีบริการแผงควบคุมสำหรับผู้ดูแลระบบเพื่อกำหนดค่าและติดตาม
วีดาร์ขโมยข้อมูลระบบ ข้อมูลเบราว์เซอร์ รายละเอียดคริปโตเคอร์เรนซี ข้อมูลธนาคาร ข้อมูลการเข้าสู่ระบบ และที่อยู่ไอพี
มันสามารถส่งรองเช่น SystemBC และใช้วิธีการต่างๆ เพื่อแพร่กระจายรวมถึงอีเมลฟิชชิ่งและซอฟต์แวร์ละเมิดลิขสิทธิ์

วีดาร์ยังคงได้รับความนิยมเพราะใช้งานง่าย มีอัปเดตเรื่อยๆ และมีบริการสนับสนุน
ผู้ร้ายสามารถเลือกปรับแต่งข้อมูลที่ต้องการขโมยได้ตามต้องการ

 ทอรัส 
ทอรัส (Taurus) หรือโครงการทอรัส เคยแพร่ระบาดตั้งแต่ไตรมาสที่ 2ปี2020 จนถึงปลายปี2021
โปรแกรมขโมยข้อมูลนี้จะโฆษณาโดยส่วนใหญ่ในฟอรั่มภาษารัสเซีย มีเป้าหมายเป็นข้อมูลบัญชีเข้าใช้เครือข่ายเสมือน ข้อมูลบัญชีสื่อสังคม ข้อมูลคริปโทเคอร์เรนซี และอื่นๆ 
ทอรัสกระจายผ่านอีเมลสแปมพร้อมไฟล์แนบอันตราย โดยส่งข้อมูลที่ขโมยได้ไปยังเซิร์ฟเวอร์ C2

 ราดาแมนทิส 
ราดาแมนทิส (Rhadamanthys) ที่เริ่มพบในปี2022 ได้รับความนิยมอย่างรวดเร็วในฟอรั่มใต้ดินเพราะใช้ง่าย
มัลแวร์ตัวนี้ดำเนินการเป็นบริการมัลแวร์ โจมตีแอปและข้อมูลผู้ใช้ได้หลากหลายประเภท 
มันเขียนด้วย C++ และใช้เทคนิคต่างๆ เพื่อหลีกเลี่ยงการตรวจจับ 
มันเข้ารหัสลิงก์ของ C2, ปลอมแปลงไฟล์กำหนดค่า และเข้ารหัสการสื่อสารหลังการติดเชื้อด้วยโพรโทคอล WebSocket

 อินโฟสตีลเลอร์ที่รัฐสนับสนุน 
กลุ่มก่อภัยที่รัฐสนับสนุนใช้อินโฟสตีลเลอร์เพื่อสอดแนมทางไซเบอร์ เช่น หน่วยงานรัสเซียใช้ Graphiron ในช่วงความขัดแย้งในยูเครน 
ซึ่งสามารถขโมยข้อมูลสำคัญ เช่น ข้อมูลระบบ ข้อมูลเข้าบัญชี และกุญแจส่วนตัว 

ส่วนกลุ่มที่ได้รับการสนับสนุนจากรัฐบาลจีนก็ใช้อินโฟสตีลเลอร์ เช่น Infostealer.Logdatter 
ในการรณรงค์สอดแนมที่มีเป้าหมายเป็นหน่วยงานรัฐบาลและหน่วยงานสาธารณะในเอเชีย 
โปรแกรมสามารถบันทึกแป้นพิมพ์ จับภาพหน้าจอ ขโมยข้อมูล ดาวน์โหลดไฟล์ ฉีดโค้ดเข้าในโปรแกรม และเข้าถึงฐานข้อมูล SQL ได้ ดังที่พบในกลุ่ม BRONZE ATLAS ในปี2022

 วงการ  
เหมือนกับอาชญากรรมไซเบอร์อื่นๆ ความสำเร็จของอินโฟสตีลเลอร์ขึ้นอยู่กับบุคลากรที่มีทักษะหลากหลาย เช่น นักพัฒนาซอฟต์แวร์ นายหน้าการเข้าถึงระบบเบื้องต้น (initial access broker) และลูกค้า
การเติบโตของมัลแวร์โดยเป็นบริการ (MaaS) ทำให้คนมีส่วนร่วมในอาชญากรรมไซเบอร์ได้ง่ายขึ้น 
และกระตุ้นนักพัฒนาให้ปรับปรุงผลิตภัณฑ์เพื่อให้ดึงดูดลูกค้าบนแพลตฟอร์มใต้ดินได้มากขึ้น

 นักพัฒนาซอฟต์แวร์ 
นักพัฒนาซอฟต์แวร์ในวงการผู้ร้ายไซเบอร์จะเป็นผู้สร้างและบำรุงรักษารหัสต้นทางตัวร้าย ซึ่งขายบนฟอรั่มใต้ดินโดยส่วนใหญ่ให้แก่นายหน้าการเข้าถึงระบบเบื้องต้น (IAB) 
มักจะดำเนินงานโดยใช้โมเดลธุรกิจมัลแวร์โดยเป็นบริการ (MaaS) ซึ่งมุ่งเน้นการปรับปรุงลูกเล่นของมัลแวร์ รวบรวมข้อเสนอแนะจากผู้ใช้ และปรับปรุงผลิตภัณฑ์อย่างต่อเนื่อง 
ความคิดเห็นจากลูกค้าบนฟอรั่มมีบทบาทสำคัญในการเพิ่มชื่อเสียงและความนิยมของมัลแวร์

 นักพัฒนาดร็อปเปอร์/ผู้ขายอินสตอลล์ 
นักพัฒนาดร็อปเปอร์/ผู้ขายอินสตอลล์มีหน้าที่สร้างมัลแวร์ดร็อปเปอร์ซึ่งเป็นส่วนประกอบสำคัญในอาชญากรรมไซเบอร์
ออกแบบเพื่อหลีกเลี่ยงซอฟต์แวร์ป้องกันไวรัส และเป็นช่องทางให้ผู้ร้ายอื่นๆ ดาวน์โหลดมัลแวร์ของตนเองลงบนอุปกรณ์เป้าหมาย 
ตัวอย่างรวม Smoke Loader ซึ่งเริ่มใช้งานตั้งแต่ปี2011 โดยยังพัฒนาอยู่อย่างต่องเนื่อง
นักพัฒนาอาจใช้โปรแกรมเหล่านี้เองหรือขายให้ผู้อื่นผ่านฟอรั่มในดาร์กเน็ต 
อนึ่ง มีบริการเช่น InstallsKey ที่ขายคอมพิวเตอร์ที่ติดตั้งดร็อปเปอร์เอาไว้ในราคาถูก เพื่อให้ผู้ซื้อสามารถดาวน์โหลดมัลแวร์ของตนเอง แม้น่าจะไม่จำกัดให้ใช้เฉพาะลูกค้านั้นๆ ถึงแม้จะโฆษณาเช่นนั้น

 นักพัฒนาอินโฟสตีลเลอร์ 
ผู้พัฒนาอินโฟสตีลเลอร์มีบทบาทสำคัญในวงการอาชญากรรมไซเบอร์ เพราะสร้างโปรแกรมที่ขโมยข้อมูลมีค่าจากอุปกรณ์ที่ติดเชื้อแล้วส่งให้ผู้ร้าย
มัลแวร์นี้มักแพร่กระจายผ่านดร็อปเปอร์ โดยมีรูปแบบต่างๆ เช่น เรดไลน์, META Stealer, LummaC2 และอื่นๆ
ราคาสมาชิกมักอยู่ระหว่างหลายสิบถึงหลายร้อยดอลลาร์สหรัฐต่อเดือน
ผู้ซื้อจะได้รับแอปที่เรียกว่าบิลเดอร์เพื่อปรับแต่งมัลแวร์ของตนเอง 
ทำให้สามารถหลีกเลี่ยงซอฟต์แวร์ป้องกันไวรัสทั่วไป และดึงเอาข้อมูลของเหยื่อผ่านแผงควบคุมเว็บหรือแอปข้อความเช่นเทเลแกรม

 คริปเตอร์ 
นักพัฒนาคริปเตอร์จะชำนาญในการสร้างเครื่องมือที่บรรจุไฟล์ปฏิบัติการอันตรายในรูปแบบที่สามารถหลีกเลี่ยงการตรวจจับของซอฟต์แวร์ป้องกันไวรัส
การใช้คริปเตอร์จึงเพิ่มสมรรถภาพการซ่อนตัวของมัลแวร์ ช่วยให้ไม่ถูกตรวจพบ 
เป็นการเสริมการหลีกเลี่ยงโปรแกรมต่อต้านไวรัสที่มีอยู่แล้วของดร็อปเปอร์และอินโฟสตีลเลอร์ ช่วยให้ดำเนินการได้อย่างลับๆ ยิ่งขึ้น

 ทีมทราฟเฟอร์ 
ทีมทราฟเฟอร์คือกลุ่มบุคคลที่ร่วมมือกันเพื่อแพร่กระจายอินโฟสตีลเลอร์ในวงกว้าง
ดำเนินการผ่านฟอรั่มและช่องเทเลแกรม ให้บริการแบบเต็มวงจรในการติดตั้งมัลแวร์บนคอม โดยแลกกับเปอร์เซ็นต์ของคริปโตเคอร์เรนซีที่ขโมยได้
ให้เครื่องมือต่างๆ เช่นอินโฟสตีลเลอร์ที่ไม่สามารถตรวจจับได้และคู่มือการสร้างเนื้อหาปลอม เช่น สร้างบทช่วยสอนบนยูทูบ เพื่อใช้กระจายมัลแวร์

ส่วนผู้จัดการทีมทราฟเฟอร์จะดูแลการดำเนินงานการใช้คริปเตอร์กับอินโฟสตีลเลอร์ บวกกับการใช้บอตเทเลแกรมเพื่อช่วยในการรับสมัครและจัดการคนงาน
ซึ่งจะสำเร็จได้ก็ต่อเมื่อมีทักษะการสื่อสารที่ดีและความสามารถในการดึงดูดพนักงานด้วยข้อเสนอที่แข่งขันกับกลุ่มอื่นๆ ได้
การชวนคนให้เข้าร่วมเพียงพออาจทำให้ได้ผลตอบแทนที่ดี

ส่วนผู้กระจายมัลแวร์ (Traffer team spreader) เป็นตำแหน่งระดับเริ่มต้นที่มีหน้าที่สร้างเนื้อหาปลอม เช่น บทช่วยสอนบนยูทูบ หรือสร้างหน้าเว็บหลอกลวง เพื่อที่จะกระจายมัลแวร์

 ผู้ดำเนินการคลาวด์บันทึกข้อมูล 
ผู้ดำเนินการคลาวด์บันทึกข้อมูล (Log Cloud Operator) จะดึงบันทึกข้อมูลมาจากแหล่งสาธารณะ นำมาแบรนด์ใหม่ให้ดูมีเอกลักษณ์และเป็นของตนเอง แล้วขายเพื่อผลกำไร
โดยให้บริการบันทึกข้อมูลใหม่ๆ ทุกวันผ่านแพลตฟอร์ม เช่น เทแลแกรมหรือ Mega.nz
บันทึกอินโฟสตีลเลอร์จะรวบรวมจากแหล่งต่างๆ และอาจมีข้อมูลที่มีค่าสำหรับผู้ที่รู้ว่าต้องมองหาอะไร
บริการนี้จะเน้นปริมาณมากกว่าคุณภาพ คลาวด์บันทึกข้อมูลบางแห่งจะสะสมข้อมูลได้เป็นเทราไบต์ๆ เมื่อเวลาผ่านไปๆ

 ผู้ดำเนินการตลาดอัตโนมัติ 
ผู้ดำเนินการตลาดอัตโนมัติ (Automated Market Operator) ดำเนินการแพลตฟอร์มออนไลน์ที่ผู้ร้ายสามารถซื้อบันทึกข้อมูลอินโฟสตีลเลอร์ที่คนอื่นไม่มี
ซึ่งให้สามารถเข้าถึงระบบและข้อมูลต่างๆ โดยไม่ได้รับอนุญาต
รัสเชียนมาร์เก็ตเป็นตลาดมืดที่ใหญ่ที่สุดสำหรับบันทึกข้อมูลอินโฟสตีลเลอร์ หลังการล่มสลายของตลาดหลักอื่นๆ เช่น และทูอีซี่
ณ เดือนกรกฎาคม 2024 รัสเชียนมาร์เก็ตมีบันทึกข้อมูลมากกว่า ที่พร้อมจำหน่ายในราคา หรือน้อยกว่า

 นายหน้าการเข้าถึงเบื้องต้น 
นายหน้าการเข้าถึงเบื้องต้น (Initial Access Brokers, IABs) เป็นบุคคลหรือกลุ่มบุคคลที่เช่าเครื่องมือจากผู้ให้บริการมัลแวร์เพื่อติดตั้งอินโฟสตีลเลอร์
ผ่านการโจมตีด้วยฟิชชิ่งหรือโฆษณามุ่งร้ายอันตราย
โปรแกรมที่ใช้จะออกแบบให้ขโมยข้อมูลจากระบบที่ถูกโจมตีและส่งข้อมูลไปยังเซิร์ฟเวอร์สั่งการและควบคุม (C2)
ข้อมูลที่ขโมยซึ่งรวมถึงข้อมูลสำคัญเช่น ข้อมูลเข้าบัญชีบริการต่างๆ ต่อจากนั้นก็จะขายให้กับผู้ร้ายต่างๆ เพื่อใช้ทำสิ่งที่ผิดกฎหมาย

นายหน้าการเข้าถึงเบื้องต้นอาจเป็นบุคคลหรือกลุ่มที่เชี่ยวชาญในการเข้าถึงและขายข้อมูลมีค่าที่พบในคลาวด์บันทึกข้อมูลซึ่งมีข้อมูลมหาศาล หรือพบในตลาดอัตโนมัติ
พวกเขาค้นหาข้อมูลเข้าบัญชีที่ได้จากอินโฟสตีลเลอร์ ทำให้เข้าถึงเครือข่ายที่ถูกโจมตีได้
ต่อจากนั้น ก็จะนำเสนอขายวิธีการเข้าถึงให้แก่ลูกค้าเช่น กลุ่มมัลแวร์เรียกค่าไถ่

 ผู้ชำนาญการแจงส่วนบันทึกข้อมูล 
ผู้ชำนาญการแจงส่วนบันทึกข้อมูล (Specialist log parsers) มีบทบาทสำคัญในวงการอาชญากรรมไซเบอร์
เพราะให้เครื่องมือในการตีความและสกัดข้อมูลอันมีค่าจากบันทึกข้อมูลดิบดั้งเดิมของอินโฟสตีลเลอร์
แม้ตลาดอย่างเจเนซิสมาร์เก็ตจะมีลูกเล่นการแจงส่วนข้อมูลในตัว แต่ตลาดอื่นๆ ก็ขายข้อมูลดิบที่จำต้องประมวลผลเพิ่ม
การแจงส่วนบันทึกข้อมูลอาจซับซ้อนเนื่องจากรูปแบบข้อมูลที่มีหลากหลายและข้อมูลที่มีมากมาย 
ทำให้เกิดตลาดรองสำหรับเครื่องมือแจงส่วนข้อมูลที่ปรับแต่งได้ตามความต้องการของลูกค้าโดยเฉพาะๆ 
ไม่ว่าจะเป็นลูกค้าที่กระจายอินโฟสตีลเลอร์และต้องการขายข้อมูลที่แจงส่วนแล้ว
หรือลูกค้าที่ต้องการแจงส่วนบันทึกข้อมูลจำนวนมากที่มีอยู่

ผู้ขายต่อ URL:Log:Pass คือผู้ร้ายที่มุ่งขายไฟล์ txt ที่มียูอาร์แอล ข้อมูลการเข้าบัญชี และรหัสผ่านที่สกัดมาจากบันทึกข้อมูลบีบอัด
ส่วนนี้ของตลาดเกิดขึ้นเพื่อตอบสนองความต้องการของบุคคลที่ต้องการข้อมูลการเข้าสู่ระบบโดยเฉพาะๆ และไม่ต้องการค้นหาในชุดบันทึกข้อมูลขนาดยักษ์ 
การให้บริการเป็นไฟล์ที่ย่อให้มีขนาดจัดการได้ง่ายในระดับกิกะไบต์ ทำให้ผู้ใช้ค้นหาข้อมูลบัญชีที่ต้องการได้โดยใช้เครื่องมือทั่วไปเช่น เกร็ป
แม้จะดำเนินงานคล้ายกับผู้ดำเนินการคลาวด์บันทึกข้อมูล แต่ผู้ขายต่อ URL:Log:Pass จะจัดการและเก็บข้อมูลน้อยกว่า ทำให้กระบวนการมีประสิทธิภาพมากขึ้น

ยังมีบริการอื่นๆ รวมถึงเว็บไซต์และบอตเทเลแกรม ที่ช่วยให้เข้าถึงไฟล์เหล่านี้ 
ทำให้ผู้ใช้สามารถค้นหารายละเอียดการเข้าสู่ระบบได้โดยไม่ต้องมีความรู้ทางเทคนิคขั้นสูงหรือแม้แต่ความคุ้นเคยกับเครื่องมือเช่น เกร็ป

 ลูกค้า 
ลูกค้าข้อมูลที่ถูกขโมย เช่นอาชญากรไซเบอร์และกลุ่มมัลแวร์เรียกค่าไถ่ที่ต้องการหาเงิน ซื้อข้อมูลที่ได้จากอินโฟสตีลเลอร์เพื่อวัตถุประสงค์ต่างๆ
ข้อมูลมีตั้งแต่การเข้าบัญชีของกระเป๋าเงินคริปโตจนถึงข้อมูลเข้าสู่ระบบบัญชีองค์กร ซึ่งสามารถใช้ฉ้อโกงหรือเข้าถึงองค์กรโดยไม่ได้รับอนุญาต
ความต้องการข้อมูลจากอินโฟสตีลเลอร์ได้เพิ่มขึ้นอย่างรวดเร็วพร้อมกับการเติบโตของโมเดลมัลแวร์เรียกค่าไถ่โดยเป็นบริการ (RaaS)

 สคริปต์คิดดี้ 
สคริปต์คิดดี้ซึ่งบางครั้งเป็นเยาวชนที่เบื่อและต้องการเงินด่วนหรือสร้างความวุ่นวายออนไลน์ 
อาจใช้ประโยชน์จากเครื่องมือที่มีอยู่ทั่วไปเช่นอินโฟสตีลเลอร์เพื่อสร้างความเสียหายโดยไม่ต้องมีทักษะการเขียนโปรแกรม
พวกเขาสามารถเข้าถึงข้อมูลที่ถูกขโมย หรือแพร่กระจายมัลแวร์ หรือทดสอบข้อมูลเข้าบัญชีด้วยเครื่องมือที่ทำสำเร็จรูปได้อย่างง่ายดาย
ตัวอย่างคือกลุ่มแฮ็กเกอร์ Lapsus$ ซึ่งประกอบด้วยวัยรุ่น ที่ขโมยข้อมูลขนาด จากบริษัทเกม Electronic Arts และแฮ็กบริษัทอูเบอร์โดยอาศัยอินโฟสตีลเลอร์

 เหยื่อ 
เหยื่อที่ถูกโจมตีทางไซเบอร์มักจะตกอยู่ในสถานการณ์ที่จำใจต้องจ่ายค่าไถ่ให้แก่กลุ่มอาชญากร
เพื่อหลีกเลี่ยงการเปิดเผยข้อมูลที่ละเอียดอ่อน หรือเพื่อเอาคืนข้อมูลสำคัญที่จำเป็นเพื่อดำเนินธุรกิจ
แต่ก็เท่ากับสนับสนุนอาชญากรรมอย่างไม่ได้ตั้งใจ

ตั้งแต่เดือนกรกฎาคมตุลาคม 2022 ประเทศอินเดีย อินโดนีเซีย และบราซิล
เป็นประเทศที่มีจำนวนเหยื่ออินโฟสตีลเลอร์สูงสุดในรัสเชียนมาร์เก็ต
ซึ่งอาจเป็นเพราะมีประชากรมาก แต่มีความตระหนักรู้ด้านความปลอดภัยทางไซเบอร์ที่ค่อนข้างต่ำ 
ในช่วงเวลานี้ จำนวนเหยื่อเพิ่มขึ้นร้อยละ33 ในอินเดีย, ร้อยละ30 ในอินโดนีเซีย และร้อยละ40 ในบราซิล 
ประเทศท็อปเท็นอื่นๆ รวมปากีสถาน เวียดนาม อียิปต์ ประเทศไทย ฟิลิปปินส์ ตุรกี และสหรัฐอเมริกา

 เชิงอรรถและอ้างอิง