Les logs d’infostealers redessinent le paysage des brèches

Pendant des années, les courriels d’hameçonnage et les vulnérabilités logicielles ont été les points d’entrée privilégiés des attaquants cherchant à pénétrer les réseaux d’entreprise. Cela change. Les chercheurs en sécurité désignent maintenant les logiciels malveillants de type infostealer, et les journaux d’identifiants qu’ils génèrent, comme le principal facteur déclenchant les violations d’entreprise et les attaques par rançongiciel. Plutôt que de concevoir des leurres de phishing convaincants ou de traquer des vulnérabilités non corrigées, les groupes criminels achètent ou échangent de plus en plus des identifiants volés que les infostealers ont déjà récoltés sur des appareils infectés.

Ce changement est important car il déplace la véritable vulnérabilité. Il ne s’agit plus seulement de savoir si le pare-feu ou le filtre de messagerie d’une entreprise a bloqué un lien malveillant. Il s’agit de savoir si l’ordinateur portable personnel d’un employé, l’ordinateur familial d’un sous-traitant ou un appareil partagé quelque part dans la chaîne d’approvisionnement a déjà été infecté par un malware voleur d’identifiants, même des mois ou des années avant la brèche finale.

Comment les logs d’infostealers alimentent les fuites de données dans le cloud

Les infostealers forment une catégorie de malwares conçus dans un seul but : extraire discrètement les noms d’utilisateur, les mots de passe, les cookies de navigateur, les jetons de session et les données de remplissage automatique d’une machine infectée, puis renvoyer le tout à l’attaquant. Le résultat est généralement conditionné dans ce que le monde de la cybercriminalité appelle un « log », un paquet regroupant l’ensemble des identifiants et artefacts de session tirés d’un seul appareil infecté.

Ces logs sont échangés et vendus sur les places de marché criminelles, souvent à bas prix compte tenu de la quantité produite. Ce qui les rend si dangereux pour les organisations, c’est qu’ils contiennent fréquemment des cookies de session et des jetons d’authentification encore valides pour des services cloud, des VPN et des portails d’entreprise. Cela signifie qu’un attaquant n’a pas besoin de deviner un mot de passe ni de piéger quelqu’un pour qu’il le saisisse. Il peut potentiellement réutiliser une session active et passer directement devant les écrans de connexion, voire outrepasser l’authentification multifacteur, car la session était déjà authentifiée avant que le malware ne s’en empare.

Une fois à l’intérieur, ce seul journal compromis peut devenir le point d’appui initial d’une intrusion bien plus vaste : déplacement latéral à travers les environnements cloud, accès à des lecteurs partagés et à des outils internes, pour aboutir finalement au type d’exposition de données ou de déploiement de rançongiciel qui fait la une des médias. L’infection elle-même peut s’être produite sur un appareil personnel n’ayant jamais touché directement le réseau de l’entreprise, ce qui explique en partie pourquoi cette voie d’attaque est si difficile à anticiper pour les équipes de sécurité.

Pourquoi les entreprises peinent à suivre le rythme

Les défenses de sécurité traditionnelles sont conçues en partant du principe que les plus grands risques viennent de tentatives d’intrusion extérieures, de pièces jointes malveillantes, de tentatives de connexion par force brute ou de failles logicielles non corrigées. Les brèches pilotées par des infostealers contournent tout cela. La compromission prend souvent naissance bien au-delà du périmètre de l’entreprise, sur un appareil sur lequel l’équipe de sécurité n’a aucune visibilité, et les identifiants qui en résultent sont simplement achetés ou acquis par un second groupe de criminels qui réalise la véritable violation.

Cette division du travail, un ensemble d’acteurs spécialisés dans l’infection et la récolte de logs, un autre dans la monétisation des accès, a rendu l’économie de la cybercriminalité plus efficace et plus difficile à démanteler. Cela signifie aussi que la correction des vulnérabilités logicielles connues, bien que toujours indispensable, ne traite qu’une partie du problème. Notre couverture de la campagne d’infostealer ciblant FortiClient EMS illustre comment les attaquants combinent une vulnérabilité technique spécifique avec un malware voleur d’identifiants pour prendre pied à l’intérieur des systèmes de gestion d’entreprise, montrant que les tactiques d’infostealer et les exploits traditionnels sont de plus en plus utilisés ensemble plutôt que comme des stratégies séparées.

Ce que cela signifie pour vous

Si vous travaillez dans une entreprise qui s’appuie sur des services cloud, et c’est le cas de presque toutes les organisations aujourd’hui, la sécurité de vos appareils personnels est plus liée au risque de votre employeur que vous ne pourriez le penser. Une seule infection par infostealer sur un ordinateur domestique utilisé pour consulter la messagerie professionnelle ou se connecter à un portail d’entreprise peut générer un journal d’identifiants qui finira par alimenter une brèche beaucoup plus vaste par la suite.

Pour les particuliers, cela renforce des habitudes familières mais de plus en plus urgentes : maintenir les appareils à jour, éviter les logiciels piratés et les téléchargements non officiels (des vecteurs de diffusion courants des infostealers), utiliser un gestionnaire de mots de passe plutôt que de les enregistrer dans le navigateur, et activer l’authentification multifacteur partout où elle est proposée. Aucune de ces mesures n’est une solution miracle contre le vol de jetons de session, mais elle augmente sensiblement le coût et la difficulté pour les attaquants.

Mesures concrètes à adopter

Quelques gestes pratiques peuvent réduire votre exposition au risque lié aux infostealers :

  • Évitez de télécharger des logiciels piratés, des jeux crackés ou des extensions de navigateur non officielles, tous étant des vecteurs courants d’infostealers.
  • Utilisez un gestionnaire de mots de passe dédié au lieu d’enregistrer les identifiants dans votre navigateur, car les données stockées par le navigateur constituent une cible prioritaire des infostealers.
  • Activez l’authentification multifacteur sur tous les comptes qui le prennent en charge, et privilégiez les options résistantes à l’hameçonnage lorsqu’elles sont disponibles.
  • Effacez régulièrement les sessions de navigateur enregistrées et déconnectez-vous des comptes sensibles sur les appareils partagés ou personnels utilisés pour le travail.
  • Si vous pensez qu’un appareil a pu être infecté, modifiez les mots de passe depuis un autre appareil de confiance et surveillez les comptes pour détecter toute activité inhabituelle.

La montée en puissance des logs d’infostealers comme outil d’accès initial privilégié par l’industrie cybercriminelle nous rappelle que la prévention des brèches commence de plus en plus en dehors du réseau de l’entreprise, sur les appareils du quotidien que les gens utilisent pour se connecter depuis n’importe où.