Pour commencer ce tour d'horizon hebdomadaire, nous allons nous intéresser aux logiciels de vol d'informations et à la manière dont ils contribuent au trafic d'identifiants et aux attaques par ransomware. Dans la suite de cet article, l'équipe CTI de Tanium analyse les dernières données de Google concernant l'exploitation des failles « zero-day ». Pour finir, l'équipe conclut par une présentation générale d'un nouveau logiciel de vol d'informations appelé « Gremlin Stealer ».
Les logiciels de vol d'informations menacent la sécurité des entreprises
La KELA a publié un rapport intitulé « » (s'ouvre dans un nouvel onglet) qui résume ses recherches sur les logiciels malveillants de type « infostealer », leur rôle dans le commerce des identifiants et la manière dont ils facilitent les attaques par ransomware.
Parmi les principales conclusions, le marché des identifiants d'entreprise représente désormais une part importante du paysage des menaces et de l'écosystème de la cybercriminalité. Les identifiants d'entreprise sont devenus une ressource très prisée des cybercriminels, car ils leur permettent de mener d'autres attaques.
Bien que les identifiants puissent être volés par divers moyens, les logiciels malveillants de type « infostealer » restent un moyen extrêmement répandu. En effet, ils permettent de voler des identifiants à grande échelle et sont souvent faciles à se procurer, ce qui les rend accessibles à des acteurs de tous niveaux de compétence.
Comment les attaques par usurpation d'identifiants ont évolué
La KELA constate une sophistication et une commercialisation croissantes du vol d'identifiants.
Si les forums consacrés à la cybercriminalité ont longtemps constitué le principal moyen d'acquérir des identifiants piratés, de nouveaux canaux font leur apparition. On peut citer, par exemple, les marchés automatisés, qui permettent aux acheteurs d'interroger des bases de données contenant des identifiants volés.
Les modèles d'abonnement sont également de plus en plus utilisés pour diffuser des logiciels de vol d'informations et des identifiants piratés. Les cybercriminels proposent désormais des abonnements à des services de données d'identification piratées, permettant ainsi aux abonnés d'accéder à ces identifiants volés.
Quel type d'employés les auteurs de menaces ciblent-ils le plus ?
KELA a mené des recherches complémentaires sur son ensemble de machines infectées et d'identifiants compromis afin d'identifier les personnes les plus exposées. La gestion de projet s'est avérée être le service le plus touché, suivi par le conseil et le développement de logiciels. Les pays les plus visés par ces employés étaient le Brésil, suivi de l'Inde, des États-Unis et de l'Espagne.
La KELA s'est également penchée sur le secteur le plus visé et a constaté, dans son rapport « », que les « technologiques» figuraient en tête de liste, représentant 14 % des cas. Venaient ensuite les services informatiques, le conseil en informatique et la fabrication d' s.
Comment les groupes d'auteurs de ransomware utilisent-ils des comptes valides ?
Les groupes d'auteurs de ransomware utilisent généralement des comptes valides ou des identifiants volés comme moyen d'accès initial pour mener leurs attaques. La KELA a examiné les victimes des groupes de ransomware Play, Akira et Rhysida, puis a comparé ces victimes à sa propre base de données regroupant les comptes piratés. Cela leur a permis d'identifier les victimes dont les comptes avaient été compromis par un logiciel malveillant de type « infostealer ».
KELA recherchait tout particulièrement des comptes liés au VPN, au RMM et à Active Directory, car ce sont les plus recherchés. Ils ont identifié plusieurs victimes de ransomware dont les identifiants piratés avaient été divulgués entre 5 et 95 jours avant que l'attaque ne soit revendiquée.
[À lire également : Qu'est-ce que la sécurité Active Directory ? Risques et bonnes pratiques]
Bien qu’il ne soit pas confirmé que ces identifiants aient été utilisés lors de l’attaque, KELA précise qu’ils « constituent une menace importante pour les organisations, car ils peuvent être détournés par des acteurs malveillants afin d’accéder à une organisation, qu’ils utiliseront ensuite pour mener leurs attaques, telles que des attaques par ransomware ».
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les recherches menées par KELA mettent en évidence les dangers liés aux logiciels malveillants de type « infostealer » et la manière dont ceux-ci alimentent le reste du paysage des menaces.
Il convient de noter que le rapport met en évidence les employés qui sont le plus souvent la cible de vols d'identifiants. Si la gestion de projet était le poste le plus recherché dans l'ensemble, le développement logiciel était quant à lui le poste le plus recherché, en particulier dans le secteur des technologies.
Cela ne signifie pas pour autant que les autres postes soient totalement à l'abri de cette menace. Cela soulève toutefois la possibilité que les acteurs ciblent davantage leurs efforts de vol d'identifiants.
Google a recensé 75 failles « zero-day » en 2024
Le groupe « Threat Intelligence » de Google (s'ouvre dans un nouvel onglet) a recensé 75 vulnérabilités « zero-day » qui ont été exploitées en 2024.
Ce chiffre est inférieur aux 98 vulnérabilités recensées par Google en 2023, mais légèrement supérieur à celles qu’il a identifiées en 2022.
Google a également constaté que le nombre de failles « zero-day » ayant affecté les technologies d'entreprise était légèrement plus élevé l'année dernière, à 44 %, contre seulement 37 % en 2023.
Cibler les plateformes et les produits destinés aux utilisateurs finaux
56 % des failles « zero-day » de l'année dernière visaient des plateformes et des produits destinés aux utilisateurs finaux. Les vulnérabilités de cette catégorie comprennent celles qui sont utilisées pour exploiter les navigateurs, les appareils mobiles et les systèmes d'exploitation pour ordinateurs de bureau.
Les attaques « zero-day » visant les navigateurs et les appareils mobiles ont considérablement diminué. Toutefois, le nombre d'attaques « zero-day » visant les systèmes d'exploitation a augmenté, Windows étant la cible la plus fréquente.
Google souligne également que les chaînes d'exploitation combinant plusieurs vulnérabilités « zero-day » ont été le plus souvent utilisées pour cibler les appareils mobiles.
Le rôle des technologies d'entreprise vulnérables
33 failles « zero-day » ont été exploitées dans des produits d'entreprise en 2024, principalement ceux utilisés par des entreprises ou dans des environnements professionnels.
Parmi les failles technologiques touchant les entreprises, 20 concernaient des produits de sécurité et de réseau. De manière générale, Google a constaté une augmentation du nombre de fournisseurs d'entreprise ciblés au cours des dernières années, et a recensé l'année dernière 18 fournisseurs d'entreprise distincts visés par des failles « zero-day ».
Exploitation par le fournisseur
Microsoft et Google ont été les deux principaux éditeurs touchés par des failles « zero-day » en 2024. Ivanti s'est hissé à la troisième place, tandis qu'Apple a chuté à la quatrième.
Quels acteurs malveillants sont à l'origine des exploits « zero-day » ?
Google a constaté que plusieurs groupes malveillants avaient contribué à l'exploitation de failles « zero-day » l'année dernière.
Le groupe le plus important était celui des acteurs d'espionnage soutenus par des États, qui représentaient 29,4 % des attaques. Au sein de ce groupe, les acteurs liés à la République populaire de Chine (RPC) ont été les principaux contributeurs.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les vulnérabilités « zero-day » restent une cible privilégiée des acteurs malveillants. Si le nombre total de vulnérabilités « zero-day » a légèrement diminué par rapport à l'année précédente, les tendances ont évolué.
L'analyse de Google apporte des informations utiles sur ces évolutions. L'un des principaux enseignements à tirer du rapport de Google est que l'on constate un intérêt croissant pour l'exploitation des technologies destinées aux entreprises, le nombre de vulnérabilités « zero-day » ayant augmenté de 7 %, passant de 2023 à 2024. Comme le souligne Google, cette tendance est « principalement due à l'utilisation croissante de logiciels et d'équipements de sécurité et de réseau ».
« Gremlin Stealer » fait son apparition sur un forum clandestin
Palo Alto a identifié (s'ouvre dans un nouvel onglet) un nouveau logiciel malveillant de vol d'informations appelé « Gremlin Stealer », qui est actuellement diffusé sur une chaîne Telegram intitulée « CoderSharp ».
Gremlin Stealer est capable de voler toute une série de données, notamment des cookies, des mots de passe, des cryptomonnaies, des informations sur l'ordinateur, des fichiers, des captures d'écran, etc.
Que deviennent les données volées ?
L'acteur à l'origine de « Gremlin Stealer » a récemment affirmé avoir mis en ligne une grande quantité de données volées sur son serveur.
Palo Alto estime que ce serveur est un portail configurable contenant un logiciel malveillant. Le site de Gremlin Stealer affiche 14 fichiers, chacun étant censé contenir des données volées à une victime.
Comment fonctionne Gremlin Stealer ?
Palo Alto suit de près ce logiciel malveillant depuis mars 2025 et a dressé une liste de ses principales fonctions :
- Contourner la protection « Cookie v20 » : Gremlin Stealer peut contourner la protection « Cookie v20 » de Chrome en utilisant une technique courante à laquelle recourent de nombreux logiciels d'espionnage. Selon Palo Alto, , Google a apporté certaines modifications afin d'empêcher cette fonctionnalité.
- Navigateurs analysés : Gremlin Stealer recherche les cookies et les mots de passe enregistrés dans les navigateurs basés sur Chrome et Gecko, puis enregistre ces données dans un fichier en vue de leur exfiltration.
- Recherche de portefeuilles de cryptomonnaies : À l'instar de nombreux logiciels de vol d'informations, Gremlin Stealer recherche différents portefeuilles de cryptomonnaies sur les appareils et dérobe les fichiers concernés.
- Vol d'identifiants FTP/VPN : Le logiciel malveillant tentera de voler les noms d'utilisateur et mots de passe FTP à l'aide d'une fonction de vol d'identifiants. Il cible également les identifiants VPN.
- Collecte de données de session : Le logiciel malveillant tentera de collecter des données et des informations de session provenant de Telegram et de Discord. Ce phénomène est moins fréquent avec les logiciels de vol d'informations.
- Collecte d'informations sur le système : À l'instar de nombreuses autres familles de logiciels malveillants, il recueille des informations sur le système infecté, notamment le nom d'utilisateur, le contenu du presse-papiers, l'identifiant matériel, etc.
- Vol de données de carte bancaire : Le logiciel « Gremlin Stealer » est également capable de voler des informations relatives aux cartes bancaires.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Gremlin Stealer n'existe pas depuis très longtemps. Il est toutefois doté d'une longue liste de fonctionnalités.
Même s'il reste à voir si Gremlin Stealer connaîtra le même succès que d'autres logiciels de vol d'informations populaires, ce type de logiciel malveillant est actuellement très en vogue, ce qui fait de cette menace un sujet à suivre de près.
Pour plus d'informations techniques, Palo Alto partage des extraits (s'ouvre dans un nouvel onglet) du code de Gremlin Stealer correspondant à chacune de ses différentes fonctions.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium (s'ouvre dans un nouvel onglet),et pour lancer une discussion.
Pour en savoir plus, consultez nos derniers résumés d' s sur les cybermenaces publiés par :.