Your Employee’s Password Appeared in an Infostealer Log. Now What?

La menace persistante des infostealers : au-delà du simple vol de mots de passe

L’émergence massive des logiciels malveillants de type infostealer (comme RedLine, Lumma ou Vidar) a transformé la sécurité des identités. Ces outils ne se contentent plus de dérober des identifiants ; ils capturent des sessions actives (cookies) permettant aux attaquants de contourner l’authentification multifacteur (MFA). 90 % de ces données sont désormais diffusées via des canaux Telegram, rendant la surveillance proactive indispensable.

Points clés :

• Vulnérabilité critique : Le vol de jetons de session (cookies) permet l’accès direct aux applications SaaS et aux fournisseurs d’identité (SSO) sans nécessiter de mot de passe ni de MFA.
• Risque accru : 46 % des logs contenant des identifiants d’entreprise proviennent d’appareils personnels ou non gérés.
• Priorisation : Toutes les alertes ne se valent pas. Une distinction doit être faite entre une vieille exposition et une session active associée à des accès privilégiés (Cloud, VPN, RDP, SSO).

Vulnérabilités et vecteurs :

• Session Hijacking (vol de session) : Contournement des contrôles d’accès par rejeu de cookies.
• Credential Stuffing : Utilisation massive des identifiants récupérés pour des prises de contrôle de compte (ATO).
• MFA Bypass : Rendue possible par l’utilisation de sessions authentifiées existantes.

Recommandations :

• Établir une réponse rapide : En cas d’exposition, analyser immédiatement la nature des données volées (date d’infection, type de ressources accessibles) pour évaluer la criticité.
• Prioriser les actifs sensibles : Appliquer une sévérité maximale pour les identités liées aux fournisseurs SSO (Microsoft Entra ID, Okta, etc.) et aux accès infrastructures (VPN/RDP).
• Corrélation télémétrique : Vérifier les logs d’authentification à la recherche de connexions provenant de zones géographiques inhabituelles, d’appareils inconnus ou d’activités divergentes du comportement habituel de l’utilisateur.
• Réaction immédiate : Dès la confirmation du risque, invalider systématiquement les sessions actives, forcer la réinitialisation des mots de passe et renforcer la surveillance sur l’identité concernée.
• Visibilité élargie : Surveiller les logs d’infostealers en temps réel pour détecter les expositions avant qu’elles ne soient exploitées par des courtiers d’accès initial ou des groupes de ransomware.

Source