Infostealer
From Wikipedia, the free encyclopedia
Un infostealer (ou voleur d'information) est un terme d'informatique désignant une forme de logiciel malveillant créé dans le but de pénétrer les systèmes d'information et d'y voler des informations sensibles. Il peut notamment s'agir d'informations de connexion, d'informations financières ou d'autres données personnelles. Les informations volées sont ensuite mises en paquet, envoyées à l’attaquant et vendues sur des marchés illicites à d’autres cybercriminels.
Les infostealers sont généralement composés de deux parties : le framework du bot qui permet à l'attaquant de configurer le comportement du voleur d'informations sur l'ordinateur de la victime, et le panneau de gestion qui prend la forme d'un serveur auquel le voleur d'informations envoie des données. Les voleurs d'informations s'infiltrent généralement par le phishing, l'infection de sites Web ou les téléchargements de logiciels malveillants (notamment des mods de jeux vidéo et des logiciels piratés). Une fois téléchargés, les infostealers collectent des informations sensibles sur l'appareil de l'utilisateur et les envoient au serveur.
Les infostealers sont souvent distribués selon le modèle du « malware en tant que service » (MaaS), où les développeurs permettent à d'autres cybercriminels d'en faire usage moyennant des frais d'abonnement. Cela permet même aux personnes ayant un bas niveau de connaissance technique de déployer un infostealer. Les fonctionnalités de ces malwares peuvent varier, certains se concentrant sur la collecte de données, tandis que d'autres offrent un accès à distance permettant d'exécuter des logiciels malveillants supplémentaires. Les données volées peuvent ensuite être utilisées lors de campagnes d'hameçonnage pour d’autres cyberattaques, comme le déploiement de rançongiciels.
La prolifération des services d'infostealer en tant que service a contribué à une augmentation du nombre d’incidents de cybersécurité. Le nombre d'historiques de log volés vendus sur les forums cybercriminels russes, a considérablement augmenté depuis 2022. Selon une étude de Kaspersky (réalisée mi-2023), 24 % des malwares proposés en tant que service sont des voleurs d'informations.
Le vol d'informations d'identification est un mécanisme d'attaque commun. Les pirates volent les noms d'utilisateur, les mots de passe ou les cookies pour accéder illégitimement aux comptes en ligne ou à l'ordinateur d'une victime. Une cyberattaque peut être décomposée en plusieurs étapes dont la première consiste souvent en l’acquisition d'identifiants volés. Les infostealers permettent d'accomplir cette étape.
Les infostealers se composent généralement de deux parties distinctes : le framework du bot et un serveur de commande et de contrôle, souvent appelé « panneau de gestion » ou « interface »[1]. Le framework du bot comprend un générateur qui permet à l'attaquant de configurer le comportement du voleur d'informations sur l'ordinateur d'un utilisateur et le type d'informations qu'il volera. L'interface de gestion, généralement écrite dans des langages de programmation web traditionnels tels que PHP, HTML et JavaScript[2], est généralement hébergée sur l'infrastructure cloud commerciale[3]. L'interface de gestion fonctionne principalement comme un serveur Web auquel le voleur d'informations envoie des informations confidentielles. L'interface fournit également à l'attaquant des informations sur l'état des infostealers déployés et lui permet de contrôler leur comportement[2].
Distribution et utilisation
Les infostealers sont généralement distribués via le modèle du malware en tant que service (MaaS), permettant à des individus possédant des connaissances techniques variées de déployer ces programmes malveillants. Au sein de ce modèle, trois groupes distincts émergent généralement : les développeurs, les fournisseurs de services et les opérateurs. Les développeurs (les plus compétents techniquement) écrivent le code du malware. Les fournisseurs de services achètent des licences pour le logiciel malveillant et les proposent en tant que service à d’autres cybercriminels. Les opérateurs (qui peuvent être eux-mêmes des développeurs ou des prestataires de services selon leur niveau de compétence) utilisent ces services pour effectuer des vols d'identifiants[1].
Une fois le logiciel malveillant acheté, il est propagé sur les machines des victimes à l’aide de diverses techniques d'ingénierie sociale. L'hameçonnage, ciblé ou non, est couramment utilisé. Les voleurs d'informations sont généralement intégrés dans des pièces jointes d'e-mails ou dans des liens malveillants qui renvoient vers des sites Web effectuant des téléchargements intempestifs[2],[4]. Ils sont souvent associés à des extensions de navigateur compromises ou malveillantes, à des packages de triche de jeu infectés et à des logiciels piratés ou autrement compromis[4]. Une fois le voleur téléchargé et exécuté par une victime, il communique avec les serveurs de commande et de contrôle de l'attaquant, permettant à ce dernier de voler des informations sur l'ordinateur de l'utilisateur. Bien que la plupart des voleurs d'informations ciblent principalement les informations d'identification, certains permettent également aux attaquants d'introduire et d'exécuter à distance d'autres logiciels malveillants, tels que des ransomwares, sur l'ordinateur de la victime[1],[5].
Les informations d'identification obtenues à partir d'attaques de vol d'informations sont souvent distribuées sous forme de journaux ou de vidages d'informations d'identification, généralement partagés sur des sites de partage comme Pastebin, où les cybercriminels peuvent proposer des échantillons gratuits, ou vendus en gros sur des forums de piratage, souvent pour des montants aussi bas que 10 $[6],[7]. Les acheteurs de ces identifiants volés se connectent généralement pour évaluer leur valeur, en recherchant notamment des identifiants associés à des services financiers ou liés à d'autres identifiants présentant des modèles similaires, car ceux-ci sont particulièrement précieux[8]. Les identifiants de grande valeur sont souvent vendus à d'autres cybercriminels à des prix plus élevés[9], qui peuvent ensuite les utiliser pour divers crimes, et ce notamment pour la fraude financière[10], en intégrant les identifiants dans des Botnets et des opérations de renforcement de la réputation[10], ou comme tremplins pour des attaques plus sophistiquées telles que l'escroquerie d'entreprises, la distribution de ransomwares ou la conduite d'espionnage[6],[11]. Certains cybercriminels utilisent des identifiants volés pour des attaques d'ingénierie sociale, se faisant passer pour le propriétaire d'origine pour prétendre avoir été victime d'un crime et solliciter de l'argent auprès des contacts de la victime[12],[13]. De nombreux acheteurs de ces identifiants volés prennent des précautions pour conserver l'accès pendant des périodes plus longues, comme changer les mots de passe et utiliser le réseau Tor pour masquer leur emplacement, ce qui permet d'éviter d'être détectés par des services qui pourraient autrement identifier et fermer les identifiants volés[12],[13].
