Tous les outils se prétendant capables de surveiller les infostealers ne le font pas réellement. Certains se contentent de vérifier d'anciennes bases de données de violations et passent totalement à côté de la menace active ; savoir ce qu'il faut rechercher fait donc toute la différence entre une visibilité réelle et un faux sentiment de sécurité.

Les infostealers n'exploitent pas des vulnérabilités, mais des habitudes, et ils apparaissent dès que la commodité rencontre l'opportunité. L'ensemble de l'attaque, de l'infection à la vente, se déroule généralement avant même que vous ne puissiez remarquer la moindre anomalie.

L'achat d'un cookie de session compromis ne marque pas la fin d'une attaque, mais son point de départ. À partir d'une seule session dérobée, les attaquants opèrent des déplacements latéraux, élèvent leurs privilèges et usurpent l'identité de réels collaborateurs, sans jamais avoir besoin de s'authentifier par eux-mêmes.

Une session dérobée ne reste pas entre les mains de l'attaquant qui s'en est emparé. En l'espace de quelques heures, elle est indexée, évaluée et mise en vente, changeant souvent de mains à plusieurs reprises avant même d'être utilisée contre l'organisation à laquelle elle appartient.

L'authentification multifacteur (MFA) est conçue pour empêcher un tiers de se connecter à votre place. Elle n'a jamais été prévue pour empêcher l'usurpation d'une session que vous avez déjà démarrée, ce qui est précisément la faille exploitée par les infostealers.

Étant donné que les infostealers sont conçus pour contourner les antivirus et les systèmes de surveillance traditionnels, la prévention ne peut reposer sur un seul outil. Il est nécessaire d'associer des contrôles d'accès, une gestion des appareils et de bonnes habitudes des utilisateurs ; et même dans ce cas, certaines infections parviendront à passer.

Au moment où une infection par un lari d'informations apparaîtrait normalement dans vos journaux, les données volées peuvent déjà être en vente. Pour la détecter plus tôt, il faut chercher là où vos outils existants ne le font pas: sur les places de marché elles-mêmes.

Plus de 95 % des infections par les infostealers débutent sur des appareils totalement inconnus de votre équipe de sécurité. Logiciel cracké, fausse publicité, e-mail de phishing : le point d'entrée se situe presque toujours là où vos règles de sécurité ne s'appliquent pas.

La plupart des organisations ignorent si les identifiants de leurs employés circulent déjà sur un marché criminel, et attendre une notification de violation de données ne constitue pas une stratégie de détection. Une analyse de domaine permet de répondre à cette question en une minute environ.

La directive NIS2 pousse les organisations des secteurs critiques à prouver qu'elles sont réellement capables de détecter une menace, et non pas seulement de disposer d'une politique à cet égard. Les infostealers (voleurs d'informations) revêtent ici une grande importance, car ils constituent l'un des moyens les plus courants par lesquels les attaquants obtiennent leur premier accès, y compris par l'intermédiaire de fournisseurs que vous ne contrôlez pas directement.

Le règlement DORA exige des institutions financières qu'elles prouvent leur capacité à détecter et à réagir aux menaces liées aux TIC, et les infostealers se situent au cœur de cette exigence. L'interception d'un simple jeton de session peut offrir à un attaquant un accès direct à une plateforme bancaire, sans qu'aucun mot de passe ni validation MFA ne soient requis.

Rester invisible n'est pas un effet secondaire d'un bon infostealer, c'est l'essence même de son modèle économique. Plus la victime reste longtemps dans l'ignorance, plus les identifiants volés conservent leur valeur de revente.

Les infostealers se manifestent rarement de manière évidente. Il n'y a pas de plantage, pas d'avertissement visible, et souvent aucune alerte antivirus. Il s'agit simplement d'un processus discret s'exécutant en arrière-plan pendant que les identifiants, les jetons de session et les fichiers sensibles sont collectés puis envoyés vers un marché cybercriminel. Ce silence est précisément ce qui en fait l'une des menaces les plus dangereuses auxquelles les organisations sont confrontées aujourd'hui.

Un seul fichier journal, un seul appareil infecté, et potentiellement des dizaines de services compromis à la fois : c'est ce qui rend un journal d'infostealer bien plus dangereux qu'un simple mot de passe divulgué.

Il n'est plus nécessaire de concevoir un logiciel malveillant pour le déployer. Louez-le, abonnez-vous, bénéficiez d'un support client : les concepteurs d'infostealers ont transformé les attaques contre les organisations en un modèle SaaS, et c'est précisément la raison pour laquelle le nombre d'attaquants est aujourd'hui si élevé.

RedLine a dominé le marché des infostealers pendant des années avant qu'un démantèlement coordonné par les forces de l'ordre ne tente d'y mettre fin. Cela n'a pas fonctionné : le code s'était déjà trop propagé, et les journaux de RedLine apparaissent encore aujourd'hui sur les marchés criminels.

L'authentification multifactorielle (MFA) est censée bloquer un attaquant qui ne possède que votre mot de passe. Elle s'avère inefficace dès lors qu'il accède à votre session, ce qui est précisément le cas lors du vol de jetons de session.

Derrière chaque session volée se cache une place de marché conçue pour ressembler et fonctionner comme un site de commerce électronique ordinaire, avec des fonctionnalités de recherche, d'indexation et de livraison instantanée, à la seule différence que le produit vendu est l'accès aux systèmes d'autrui.

Lumma n'a pas simplement pris la place de RedLine par hasard. Des mises à jour constantes, une conception modulaire et un modèle d'abonnement accessible en ont fait l'infostealer que les autres cybercriminels s'arrachent.

Mis hors d'état de nuire une première fois, Raccoon Stealer est revenu entièrement reconstruit, et son prix bas ainsi que sa simplicité d'utilisation en ont fait l'un des outils favoris des attaquants qui ne disposent pas des compétences techniques requises pour des outils plus sophistiqués.

Certains infostealers ne se contentent pas de dérober des identifiants. Vidar va plus loin en s'introduisant dans les fichiers et documents locaux de l'appareil infecté, ce qui explique précisément pourquoi il s'impose comme l'étape préliminaire des campagnes de ransomware, plutôt que comme un simple outil de vol d'identifiants.

Les minutes qui suivent la découverte de l'activité d'un infostealer sont cruciales, plus que presque toute autre étape de la réponse. Connaître l'ordre exact des opérations — révoquer d'abord, enquêter ensuite — est ce qui empêche un incident mineur de se transformer en une violation majeure.

Une seule infection par un logiciel d'infostealer s'arrête rarement à un seul mot de passe. Ces outils sont conçus pour dérober instantanément tout ce qui a de la valeur sur un appareil infecté (identifiants, jetons de session, données financières, etc.) et les regrouper en vue de leur revente. Comprendre précisément ce qui est en jeu permet d'expliquer comment un seul ordinateur portable infecté peut exposer l'ensemble d'une organisation.

Vous ne surprendrez probablement jamais l'infostealer lui-même en flagrant délit. Ce que vous pouvez détecter, ce sont les signaux faibles qu'il laisse derrière lui, à condition de savoir lesquels surveiller à travers les appareils, les identités et le comportement des sessions.

Derrière presque chaque infection par un voleur d'informations (infostealer) se cache l'une des quelques familles de malwares bien connues, chacune louée sous forme d'abonnement et dotée de sa propre spécialité, de la récupération de fichiers au vol de données financières.

Les infostealers ne choisissent pas leurs cibles en fonction du secteur d'activité ou de la taille de l'entreprise. Ils se propagent partout où les identifiants enregistrés dans les navigateurs et les appareils non gérés sont courants, ce qui signifie que les organisations les plus exposées ne sont pas toujours celles auxquelles on s'attendrait.

La surveillance des brèches et celle des infostealers semblent similaires et sont constamment associées, mais l'une vous informe d'une fuite survenue il y a plusieurs années, tandis que l'autre vous signale une session active qu'un attaquant pourrait exploiter immédiatement.

Tous les outils de surveillance ne protègent pas contre les mêmes menaces. La surveillance traditionnelle du dark web et la surveillance des infostealers sont souvent confondues, mais elles détectent des types d'exposition fondamentalement différents : l'une historique, l'autre active. Comprendre cette différence détermine si vous détectez une menace à temps pour agir.