Un infostealer ne cherche pas à faire du bruit. Son objectif est simple mais dévastateur : s'infiltrer discrètement dans nos postes de travail pour dérober massivement nos identifiants de connexion et nos cookies de sessions. Contrairement aux ransomwares qui paralysent immédiatement leurs victimes, ces logiciels opèrent dans l'ombre, collectant méticuleusement des centaines de couples login/mot de passe ou cookies de sessions valides sur chaque machine compromise.
L'ampleur de cette menace dépasse l'imagination. Prenons l'exemple de Lumma Stealer, l'un des infostealers les plus prolifiques : Microsoft a identifié plus de 394 000 ordinateurs Windows infectés dans le monde, tandis que le FBI estime que ce seul malware a été impliqué dans environ 10 millions d'infections à l'échelle planétaire. Ces chiffres vertigineux illustrent la dimension industrielle du phénomène.
Une approche industrielle
Mais la sophistication de ces outils va bien au-delà du simple vol de mots de passe. Les infostealers modernes comme Lumma sont capables d'extraire les données de saisie automatique, les identifiants de messagerie, les données de clients FTP, les clefs des portefeuilles crypto, et même les jetons d'authentification à deux facteurs et les codes de sauvegarde, permettant ainsi aux attaquants de contourner les couches de sécurité supplémentaires. Cette approche industrielle du vol d'identifiants transforme chaque ordinateur infecté en véritable mine d'or numérique. Les cybercriminels ne se contentent plus de cibler une victime à la fois : ils ratissent large, agrègent leurs butins, et alimentent un marché noir florissant où nos identités numériques s'échangent comme de vulgaires marchandises.
Un point particulièrement préoccupant : de nombreuses machines personnelles sont compromises faute d'antivirus ou d'EDR adéquats. Les utilisateurs se connectent souvent à leur compte professionnel depuis leur PC personnel, ou utilisent le même mot de passe entre comptes personnels et professionnels. Il devient alors très facile pour les attaquants d'obtenir un accès au compte professionnel.
L'anatomie d'un écosystème criminel sophistiqué
Ce qui rend les infostealers particulièrement dangereux, c'est leur rôle de catalyseur dans une économie souterraine ultra-spécialisée. Nous assistons à une véritable division du travail criminel : d'un côté, des groupes se spécialisent dans le vol d'identifiants via les infostealers ; de l'autre, d'autres organisations achètent ces précieux sésames pour orchestrer des attaques plus complexes.
Cette répartition des rôles explique pourquoi les attaques par ransomware sont si efficaces. Les recherches en cybersécurité montrent que la majorité des incidents dus à un ransomware commencent par l'utilisation d'un compte valide, probablement acquis sur ce marché noir des identifiants. Les attaquants n'ont plus besoin de forcer les portes : ils possèdent déjà les clés.
Cette professionnalisation du crime numérique crée un cercle vicieux particulièrement redoutable. Les infostealers alimentent en permanence les bases de données criminelles avec de nouveaux identifiants, tandis que l'efficacité des attaques qui en découlent génère des profits qui financent le développement de malwares toujours plus sophistiqués.
Un changement de paradigme dans la lutte cybercriminelle
Face à cette réalité, les forces de l'ordre opèrent un virage stratégique majeur. Longtemps focalisées sur les groupes de ransomware qui sont les plus visibles et médiatisés, elles comprennent désormais qu'il faut s'attaquer aux causes profondes plutôt qu'aux seuls symptômes.
L'opération menée conjointement par le département de la Justice américain et Microsoft contre l'infrastructure de Lumma Stealer illustre parfaitement cette évolution. Grâce à une ordonnance du tribunal, Microsoft a saisi et facilité la suppression, la suspension et le blocage d'environ 2 300 domaines malveillants qui faisaient partie de l'épine dorsale de l'infostealer. Cette saisie empêche désormais les cybercriminels d'accéder à Lumma pour compromettre des ordinateurs et voler des informations.
En ciblant ces "IAB" pour Initial Access Brokers ou "fournisseurs" d'identifiants, les autorités s'attaquent à la source primaire d'intrusion. Car sans accès privilégié obtenu via des identifiants volés, les groupes de ransomware perdent leur principal avantage concurrentiel.
L'urgence d'une prise de conscience collective
Cette réorientation des priorités révèle une vérité dérangeante : nous avons sous-estimé la menace que représentent les infostealers. En nous concentrant sur les attaques plus spectaculaires, nous avons négligé cette infrastructure criminelle souterraine qui les rend possibles. Il est temps de reconnaître que la cybersécurité ne se résume pas à se protéger contre les grandes attaques médiatisées. Elle commence par sécuriser nos identités numériques contre ces prédateurs silencieux qui, postes après postes, construisent les fondations de la cybercriminalité de demain.
L'enjeu est clair : tant que nous ne tarirons pas cette source d'approvisionnement en identifiants, nous continuerons à jouer un éternel jeu du chat et de la souris avec des cybercriminels qui auront toujours une longueur d'avance. La lutte contre les infostealers n'est pas qu'une priorité technique : c'est un impératif stratégique pour l'ensemble de notre écosystème numérique.