En quoi cela diffère d'une fuite de données
Dans une fuite classique, une entreprise est compromise et l'attaquant repart avec sa table d'utilisateurs. Vous changez un mot de passe et l'essentiel est réglé.
Un journal d'infostealer vient de votre propre appareil. Le malware se moque des sites que vous utilisez : il récupère toutes les sessions enregistrées dans le navigateur, donc une seule infection peut exposer votre messagerie, votre banque, le SSO de votre travail et votre Discord en même temps. Le site que vous utilisiez n'a pas été piraté. Votre machine l'a été.
Ce que contient un journal
Cela dépend de la famille de malware, mais un journal typique contient :
- 01Les identifiants enregistrés dans le navigateur, avec le site auquel ils correspondent
- 02Les cookies du navigateur, dont ceux de session qui vous gardent connecté
- 03Les données de remplissage automatique : noms, adresses et parfois des données de carte
- 04Les fichiers de portefeuille crypto et les données des extensions de portefeuille
- 05Des informations système : nom de la machine, adresse IP, système d'exploitation et souvent un identifiant matériel
- 06Parfois une capture d'écran du bureau au moment de l'infection
Comment vérifier si vous y figurez
Partez de l'identifiant que vous avez réellement. Un résultat vide ne prouve pas que vous êtes propre : il signifie que les sources interrogées ne le contenaient pas.
Pour une entreprise, interrogez le domaine de messagerie plutôt que des adresses isolées. C'est ainsi qu'apparaissent les comptes d'employés ou de clients fuités depuis des machines que vous ne gérez pas.
Beaucoup de journaux contiennent aussi un identifiant de machine. Si vous en avez un, le rechercher peut relier d'autres enregistrements au même appareil.
Que faire si vous y figurez
L'ordre compte. Si vous changez les mots de passe alors que le malware est encore sur la machine, il récupère les nouveaux.
- 01Nettoyez d'abord l'appareil. Lancez une analyse complète ; s'il contenait des logiciels craqués ou si vous avez un doute, réinstallez le système. C'est la seule solution fiable.
- 02Changez les mots de passe depuis un autre appareil propre. Commencez par la messagerie, qui peut réinitialiser tout le reste, puis le gestionnaire de mots de passe, la banque et les comptes professionnels.
- 03Déconnectez toutes les sessions. Google, Microsoft, Discord, Steam et la plupart des services proposent une déconnexion partout, qui annule les cookies volés.
- 04Activez la double authentification par application ou passkey, plutôt que par SMS si possible.
- 05Déplacez les cryptos vers un nouveau portefeuille si des fichiers ou extensions de portefeuille étaient sur la machine. Un nouveau mot de passe ne protège pas un portefeuille dont les clés ont été copiées.
- 06Prévenez votre équipe informatique ou sécurité si un compte professionnel figure dans le journal, même depuis un appareil personnel.
Pour les équipes de sécurité
Traitez un compte d'employé présent dans un journal comme une compromission active et non comme une fuite ancienne. Révoquez les sessions et les jetons, réinitialisez le mot de passe et vérifiez les journaux SSO et VPN autour de la date du journal.
Déterminez si l'appareil infecté était géré. S'il ne l'était pas, une réinitialisation de mot de passe n'empêchera pas le prochain journal. Réinterrogez le domaine après le nettoyage pour voir si de nouvelles entrées arrivent.
Comment on s'infecte
La plupart des infections viennent de l'exécution d'un téléchargement. Les voies habituelles sont :