Les réinitialisations de mot de passe de Google ne sont pas suffisantes pour éliminer ces logiciels malveillants volant des informations.

Les chercheurs en sécurité ont mis à jour leur information selon laquelle un logiciel malveillant capable de voler des données peut toujours accéder aux comptes Google compromis de ses victimes, même après qu’elles aient changé leur mot de passe. Une exploitation zéro-jour de la sécurité des comptes Google avait été entrevue pour la première fois par un criminel informatique connu sous le nom de « PRISMA » en octobre 2023, se vantant que cette technique pourrait être utilisée pour se reconnecter à un compte de victime, même après qu’elle ait changé son mot de passe. Elle peut également être utilisée pour générer de nouveaux jetons de session afin de regagner un accès aux e-mails de victimes, à leur stockage en nuage, et plus encore selon les besoins. Depuis lors, les développeurs de logiciels malveillants volant des informations – ciblant principalement les ordinateurs sous Windows, semble-t-il – ont graduellement intégré cette exploitation dans leur code. Le nombre total de familles de logiciels malveillants connus abusant de cette vulnérabilité est de six, y compris Lumma et Rhadamanthys, tandis que Eternity Stealer travaille également à une mise à jour qu’il prévoit de publier dans un avenir proche. Ils sont appelés des logiciels malveillants volant des informations car, une fois qu’ils sont en cours d’exécution sur l’ordinateur d’une personne malchanceuse, ils se mettent au travail pour trouver des informations sensibles – telles que des identifiants de bureau à distance, des cookies de site Web et des portefeuilles cryptographiques – sur l’hôte local et les fuiter vers des serveurs distants gérés par des malfaiteurs. Les génies de CloudSEK ont découvert que la cause profonde de cette exploitation était l’extrémité non documentée de Google OAuth appelée « MultiLogin ». L’exploitation tourne autour du vol de jetons de session de victimes. En d’autres termes, un logiciel malveillant infecte d’abord l’ordinateur d’une personne – généralement via un spam malveillant ou un téléchargement suspect, etc. – puis fouille l’ordinateur à la recherche, entre autres, de cookies de session de navigateur Web qui peuvent être utilisés pour se connecter à des comptes.