Les quatre étapes d’une attaque par logiciel voleur d’informations.

Comment se déroule une attaque contre une organisation utilisant un infostealer ? L’examen d’exemples tels qu’Uber et EA Games révèle un plan en quatre étapes utilisé par les attaquants pour cibler une organisation.

1. L’infection

La première étape de l’attaque ne fait pas encore partie de l’attaque active. Les distributeurs de malwares infostealer tentent d’infecter le plus grand nombre possible d’appareils avec ce malware. Ce logiciel malveillant, qui vole massivement les identifiants de connexion et les cookies de session, est souvent dissimulé dans des téléchargements illégaux ou des e-mails de phishing. L’objectif de ces attaquants ? Simple : infecter le plus grand nombre possible d’appareils afin d’en tirer profit. Comment : voir l’étape 2.

Lors de l’infection des appareils, les appareils professionnels sont naturellement les plus précieux. Cependant, les appareils personnels peuvent également être utiles, en particulier lorsqu’ils servent déjà, d’une manière ou d’une autre, à des activités professionnelles. Après tout, à quel point est-il courant que les personnes utilisent leur appareil personnel pour se connecter à leurs systèmes professionnels ? L’attaque contre Uber, par exemple, a commencé par l’infection de l’appareil personnel d’un prestataire par un logiciel malveillant.

‍

2. La vente

Les distributeurs de malwares infostealer passent rarement eux-mêmes à l’attaque. Leur modèle économique consiste à infecter le plus grand nombre possible d’appareils, puis à les monétiser avec succès. C’est exactement ce qui s’est produit dans les exemples d’Uber et d’EA Games.

Ces transactions ont lieu sur des places de marché fermées, auxquelles tout le monde n’a pas accès. Ici, le contrôle de l’appareil ou de sessions spécifiques est proposé à la vente pour des montants allant de dix dollars à mille dollars, et très rarement jusqu’à dix mille dollars. Par exemple, dans le cas d’EA Games, il a été révélé que la session du compte Slack encore active avait été vendue pour 10 $.

Une fois, deux fois, vendu ! Le contrôle du compte et/ou de l’appareil est désormais transféré à un autre attaquant. Contrairement au distributeur de malware, cet attaquant a pour objectif d’exploiter les données dans le cadre d’une attaque.

‍

3. Le camouflage

Les malwares infostealer fournissent en effet aux pirates un camouflage leur permettant d’infiltrer les organisations par la porte d’entrée. En effet, la session encore active permet à l’attaquant de se connecter aux systèmes internes de l’organisation comme s’il s’agissait de l’employé.

Chez Uber, la session n’était apparemment plus valide ou n’était pas disponible, et l’attaquant a dû se contenter d’un nom d’utilisateur et d’un mot de passe. L’attaquant a utilisé ces données pour mener une attaque de type MFA Fatigue, en y intégrant un élément de tromperie : la victime a reçu un message texte, l’attaquant se faisant passer pour le service informatique d’Uber : « Nous observons de nombreuses tentatives de connexion dans nos systèmes. Pour qu’elles cessent, vous devez accepter l’une de ces demandes pendant un instant. » Cela a donné à l’attaquant accès notamment à Google Workspace et à Slack.

Cependant, chez EA Games, une session active était en cours, permettant à l’attaquant de se connecter directement à Slack comme s’il s’agissait de l’employé. Un camouflage idéal, comme il s’est avéré. Depuis cette position, le pirate a contacté le support informatique d’EA : « J’ai perdu mon téléphone à une fête hier soir. » Un nouveau jeton MFA a été créé pour le réseau interne d’EA, permettant à l’attaquant de poursuivre son attaque.

‍

4. Et la suite…

Une fois à l’intérieur des systèmes internes d’une organisation, un attaquant peut poursuivre son action. Chez EA Games, environ 750 Go de fichiers ont été volés, y compris le code source de plusieurs jeux. Chez Uber, le préjudice est estimé à au moins 3 millions de dollars, selon le parquet. Les objectifs précis d’un attaquant — qu’il s’agisse d’installer un ransomware ou un spyware, ou de modifier des fichiers — varient d’un attaquant à l’autre. Il n’en reste pas moins qu’il est impliqué dans l’attaque à ce stade, laissant les organisations vulnérables.

La conclusion est claire : les infostealers représentent une menace sophistiquée. Ils ont déjà eu un impact significatif sur plusieurs grandes organisations aux Pays-Bas. Vous souhaitez en savoir plus sur la manière dont nous détectons ces attaques à un stade précoce ? En savoir plus ici