Storm Stealer

Des chercheurs en cybersécurité ont confirmé l'existence d'une nouvelle menace sophistiquée ciblant les utilisateurs de Google Chrome, Microsoft Edge et Mozilla Firefox. Baptisée Storm, cette technologie de vol d'informations avancée fonctionne comme une plateforme d'attaque multifonctionnelle, combinant le vol de mots de passe, la compromission des cookies de session pour contourner l'authentification à deux facteurs et la collecte de données de cartes de paiement au sein d'un seul service malveillant.

Proposé sous forme de kit d'outils louable, Storm abaisse considérablement la barrière à l'entrée pour les cybercriminels tout en exposant potentiellement plus d'un milliard d'utilisateurs de navigateurs à des risques.

Au cœur de Storm : un voleur d’informations silencieux et sophistiqué

Storm est conçu pour échapper à la détection tout en maximisant l'extraction de données. Il contourne les outils de sécurité des terminaux, déchiffre à distance les identifiants de navigation et permet aux attaquants de restaurer les sessions détournées sans déclencher d'alerte.

Contrairement aux logiciels malveillants traditionnels, qui s'appuient sur des techniques de déchiffrement locales, Storm fonctionne selon une architecture furtive. Il exfiltre discrètement les données sensibles du navigateur, notamment les identifiants, les cookies de session et les informations des portefeuilles de cryptomonnaies, vers des serveurs contrôlés par l'attaquant, où le déchiffrement a lieu à distance du système infecté. Cette approche à distance lui permet d'éviter de déclencher les systèmes de sécurité modernes.

L’évolution des techniques de vol d’identifiants

Les méthodes de vol d'identifiants ont considérablement évolué. Auparavant, les attaquants extrayaient et déchiffraient les données directement sur les appareils des victimes à l'aide de bibliothèques SQLite pour accéder aux gestionnaires d'identifiants des navigateurs. Cependant, avec l'amélioration des solutions de sécurité, ce type d'activité est devenu plus facile à détecter.

L'introduction du chiffrement lié aux applications par Google en 2024, à partir de Chrome 127, a encore compliqué ces attaques en liant les clés de chiffrement au navigateur lui-même. Même lorsque les attaquants tentaient d'exploiter les protocoles de débogage du navigateur ou d'injecter du code malveillant, les systèmes de sécurité parvenaient souvent à identifier les comportements suspects.

Storm représente la prochaine étape de cette évolution en abandonnant totalement le déchiffrement local et en déplaçant les opérations vers une infrastructure contrôlée par l'attaquant, minimisant ainsi les traces détectables sur la machine de la victime.

Déchiffrement côté serveur et portée inter-navigateurs

Storm surpasse les précédents logiciels espions en prenant entièrement en charge le déchiffrement sur les serveurs distants. Compatible avec les navigateurs basés sur Chromium et Gecko, il offre une grande polyvalence dans différents environnements.

Une fois les données volées déchiffrées, elles sont transmises à un panneau de contrôle centralisé utilisé par les cybercriminels. Ce panneau automatise la phase d'exploitation, permettant aux attaquants d'exploiter efficacement et à grande échelle les données compromises.

Détournement automatisé de session et risques pour l’entreprise

L'une des caractéristiques les plus dangereuses de Storm est sa capacité à restaurer des sessions authentifiées. En fournissant un jeton d'actualisation Google et un proxy SOCKS5 géographiquement identique, les attaquants peuvent rétablir discrètement la session active d'une victime sans déclencher de demande d'authentification.

Cette capacité a de graves implications :

• Les environnements d'entreprise peuvent être exposés via un simple navigateur compromis, donnant accès aux plateformes SaaS, aux systèmes internes et à l'infrastructure cloud.
• Les utilisateurs individuels sont exposés à des prises de contrôle de compte, à des fraudes financières et à d'autres attaques ciblées sans avoir besoin de contourner directement l'authentification à deux facteurs.

La réutilisation de sessions déjà authentifiées annule de fait les protections de connexion traditionnelles.

Cybercriminalité en tant que service à faible coût et à fort impact

Storm est accessible aux cybercriminels pour seulement 1 000 $ par mois, ce qui en fait un outil à la fois abordable et puissant. Cette accessibilité accélère la diffusion de capacités d'attaque avancées, permettant à des acteurs malveillants moins sophistiqués de mener des campagnes très efficaces.

L'association de faibles coûts, de discrétion et d'automatisation marque un tournant important vers des opérations de cybercriminalité évolutives et axées sur les services.

Mesures défensives : réduire l’exposition aux tempêtes

Les experts en sécurité soulignent l'importance de renforcer les pratiques quotidiennes de cybersécurité afin d'atténuer les risques posés par des menaces comme Storm :

• Évitez de télécharger des logiciels provenant de sources non fiables ou non officielles.
• Restez vigilant face au phishing et autres tactiques d'ingénierie sociale.
• Utilisez des mots de passe uniques pour chaque compte et service.
• Activez l'authentification à deux facteurs chaque fois que cela est possible et adoptez les clés d'accès lorsque cela est pris en charge.

Bien qu'aucune mesure ne garantisse une protection complète, une sécurité multicouche réduit considérablement le risque de compromission.