Quand une cyberattaque fait les gros titres, c’est généralement à cause d’un ransomware, d’une importante fuite de données ou d’un virement bancaire frauduleux. Ce qui est rarement mentionné, c’est la manière dont l’attaquant a pénétré le système au départ. De plus en plus, la réponse est le malware infostealer : un logiciel discret, sans éclat, conçu pour exceller dans une seule tâche : récolter les noms d’utilisateur, les mots de passe, les cookies de navigateur et les informations financières d’un appareil infecté, sans que la victime ne s’en aperçoive.
Comprendre comment fonctionne le malware infostealer, et pourquoi il est devenu le point d’entrée privilégié des cybercriminels, est la première étape pour se défendre contre la vague de violations pilotées par les identifiants qui domine désormais les rapports de sécurité.
Comment le malware infostealer vole réellement vos données
Les infostealers ne sont pas tape-à-l’œil. Ils ne verrouillent pas vos fichiers et ne demandent pas de rançon sur-le-champ. Au lieu de cela, ils s’introduisent sur un appareil via un téléchargement de logiciel cracké, une pièce jointe malveillante, une fausse mise à jour de navigateur ou une publicité compromise, puis se mettent silencieusement au travail en arrière-plan.
Une fois installé, le malware analyse le coffre-fort de mots de passe enregistrés dans le navigateur, les cookies de connexion mis en cache, les données de remplissage automatique, et même les fichiers de portefeuilles de cryptomonnaies. Il rassemble tout ce qu’il trouve dans ce que les chercheurs en sécurité appellent un « journal de voleur », puis transmet ce journal à l’attaquant, qui le revend souvent en gros sur les places de marché criminelles. Une seule machine infectée peut livrer des dizaines de sessions actives, allant de la messagerie et des services bancaires aux VPN d’entreprise et aux panneaux d’administration cloud, le tout sans déclencher la moindre alerte antivirus si le malware est bien conçu.
C’est exactement le schéma observé dans l’exposition du journal de voleur SunCloudNew, où près de 6 000 enregistrements contenant des mots de passe en clair, des adresses e-mail et des URL de connexion sont apparus à partir d’un seul ensemble de données compromises. Dans ce cas, les victimes n’ont probablement jamais cliqué sur un lien de phishing lié à un compte spécifique ; le malware a simplement aspiré toutes les informations d’identification qui se trouvaient dans leurs navigateurs.
Pourquoi les identifiants volés sont désormais à l’origine de la plupart des violations et des ransomwares
Pendant des années, les e-mails de phishing et les vulnérabilités logicielles non corrigées étaient les points d’entrée privilégiés des attaquants cherchant à pénétrer les réseaux d’entreprise. Cela a changé. Comme le détaille un rapport sur la façon dont les journaux d’infostealers ont dépassé le phishing comme principale cause de violation, les chercheurs en sécurité constatent que des identifiants volés valides sont utilisés pour entrer tout simplement par la grande porte plutôt que de forcer une entrée.
Ce changement est logique du point de vue de l’attaquant. Le phishing exige de convaincre une cible d’agir en temps réel, et l’exploitation d’une vulnérabilité logicielle nécessite d’en trouver une qui n’a pas encore été corrigée. Acheter un lot d’identifiants déjà récoltés à partir d’un journal de voleur est plus rapide, moins cher et beaucoup moins susceptible d’éveiller les soupçons, surtout lorsque ces identifiants incluent des cookies de session actifs qui permettent de contourner entièrement les invites de connexion.
Cette dynamique est désormais également ancrée dans les opérations de ransomware. Selon un rapport qui a révélé que quatre attaques de ransomware sur cinq commencent par des identités volées plutôt que par une exploitation réseau, les attaquants se connectent de plus en plus comme un employé au lieu de pirater comme l’intrus stéréotypé à capuche. La violation chez Stewart Home & School, qui a exposé 3 677 enregistrements, a suivi le même scénario : un incident de ransomware enraciné dans le vol d’identifiants plutôt que dans une exploitation technique sophistiquée.
Signes que vos identifiants pourraient déjà être compromis
Étant donné que le malware infostealer est conçu pour être invisible, la plupart des gens ne réalisent jamais qu’ils sont infectés avant que des dégâts ne soient déjà faits. Quelques signes avant-coureurs méritent d’être surveillés : des alertes de connexion inconnues ou des e-mails de réinitialisation de mot de passe que vous n’avez pas demandés, de nouveaux appareils ou sessions de navigateur apparaissant dans l’historique de connexion actif de votre compte, des modifications inattendues des informations de récupération de compte, ou des ralentissements soudains et des processus inconnus s’exécutant sur votre appareil.
Les services de surveillance des identifiants et les outils de notification de violation peuvent également signaler lorsque votre adresse e-mail ou vos mots de passe apparaissent dans un journal de voleur divulgué, souvent avant que vous ne remarquiez vous-même quelque chose d’inhabituel. Étant donné la fréquence à laquelle ces journaux refont surface, des violations dans les petits districts scolaires aux incidents plus importants sur les portails de santé, vérifier si vos informations y figurent est une habitude raisonnable plutôt que de la paranoïa.
Défenses pratiques : gestionnaires de mots de passe, 2FA et habitudes de navigation sécurisées
La bonne nouvelle, c’est que le malware infostealer, malgré toute sa furtivité, est déjoué par une hygiène numérique de base pratiquée de manière cohérente. Un gestionnaire de mots de passe élimine les mots de passe enregistrés dans le navigateur que les voleurs sont spécifiquement conçus pour aspirer, et il rend réaliste l’utilisation d’un mot de passe unique pour chaque compte, au lieu d’être épuisant. Activer l’authentification à deux facteurs, idéalement via une application d’authentification plutôt que par SMS, signifie qu’un mot de passe volé ne suffit pas à lui seul pour accéder. Maintenir les logiciels et les navigateurs à jour ferme certains des canaux de distribution sur lesquels le malware s’appuie, et éviter les logiciels piratés, les extensions de navigateur non officielles et les pièces jointes non sollicitées élimine entièrement les vecteurs d’infection les plus courants.
Ce que cela signifie pour vous
Le vol d’identifiants par un malware infostealer ne nécessite pas que vous soyez un cadre dirigeant d’une grande entreprise ou une cible de grande valeur. Les journaux de voleurs sont souvent indiscriminés, récoltant toutes les informations d’identification qui se trouvent sur une machine infectée, qu’il s’agisse d’un administrateur d’hôpital, d’un employé d’école ou d’un consommateur ordinaire. L’incident du portail Hartford HealthCare HUSKY Medicaid a montré comment même des identifiants de santé de routine ont une réelle valeur pour les attaquants une fois qu’ils aboutissent dans un lot d’identifiants volés. La leçon n’est pas qu’une personne en particulier a fait quelque chose de mal, mais que les identifiants eux-mêmes sont devenus la monnaie d’échange des criminels.
La réponse la plus efficace n’est pas de paniquer à chaque fois qu’un nouveau journal de voleur fait surface, mais de rendre vos propres comptes moins utiles à quiconque pourrait en acheter un. Utilisez un gestionnaire de mots de passe, activez l’authentification à deux facteurs partout où elle est proposée, et considérez les alertes de connexion inconnues comme valant la peine d’être examinées plutôt qu’ignorées. Le malware infostealer prospère sur l’invisibilité et la réutilisation des mots de passe. Éliminer les deux est l’une des décisions de sécurité les plus simples et les plus efficaces à la disposition de quiconque possède un compte en ligne.
