1. Een VirusTotal Enterprise API-sleutel werd op 7 oktober te koop aangeboden op Dark Web Informer voor $350.
2. Er is geen bewijs dat de aangeboden sleutel authentiek, gestolen of actief is.
3. De verkoper beweert een limiet van 5.000 verzoeken per dag, 300.000 verzoeken per uur en één miljard verzoeken per maand te hanteren. De officiële documentatie van VirusTotal vermeldt API-limieten per minuut, dag en maand. De geadverteerde dagelijkse limiet van 5.000 verzoeken kan conflicteren met de geadverteerde limiet van 300.000 verzoeken per uur indien deze op dezelfde activiteit betrekking hebben. Het is niet gespecificeerd of de verschillende limieten betrekking hebben op verschillende diensten, aparte quota's of onjuiste claims.
4. De verkoper accepteert betalingen in Bitcoin of Litecoin en biedt een escrow-dienst aan.
5. Een API-sleutel stelt software in staat te communiceren met VirusTotal zonder handmatige indiening van verzoeken via de website. Beveiligingsteams gebruiken API-toegang om bestandsrapporten op te halen, verdachte domeinen te onderzoeken en dreigingsgegevens toe te voegen aan geautomatiseerde workflows.
6. VirusTotal API-verzoeken worden geauthenticeerd via de x-apikey HTTP-header.
7. VirusTotal waarschuwt dat een persoonlijke sleutel de privileges van de gebruiker draagt en niet gedeeld mag worden. Ongeautoriseerd bezit van een API-sleutel kan iemand in staat stellen verzoeken in te dienen onder het account van de eigenaar, met de bijbehorende permissies en quota's. Dit wordt beschouwd als misbruik van inloggegevens, en niet noodzakelijkerwijs als een inbreuk op VirusTotal zelf. Afhankelijk van het abonnement kan misbruik gelicentieerde onderzoeksfuncties blootleggen of quota's verbruiken die nodig zijn voor legitieme analisten.
8. De openbare API van VirusTotal staat 500 verzoeken per dag en vier verzoeken per minuut toe. Premium limieten zijn afhankelijk van het gelicentieerde serviceniveau. Gebruikers kunnen hun limieten en verbruik controleren via de API-sleutelpagina van hun account.
9. Het rapport identificeert niet de accounteigenaar, verklaart niet hoe de verkoper de beweerde sleutel heeft verkregen, en biedt geen bewijs van een bredere compromittering.
10. De huidige status van de vermelding is een onbewezen bewering, en geen bewijs van een geverifieerde inbreuk op VirusTotal of gevalideerde enterprise-toegang.
11. Organisaties die bezorgd zijn over blootstelling wordt geadviseerd het API-gebruik te beoordelen, onverklaarbare verzoeken te onderzoeken en blootgestelde inloggegevens in te trekken.