‘Les réinitialisations de mot de passe de Google ne suffisent pas à arrêter ces souches de malware qui volent des informations.’

Les chercheurs en sécurité ont déclaré que les logiciels malveillants volant des informations pouvaient toujours accéder aux comptes Google compromis des victimes même après le changement de mots de passe. Une faille zero-day de sécurité des comptes Google a été d’abord esquissée par un cybercriminel connu sous le nom de « PRISMA » en octobre 2023, vantant que cette technique pouvait être utilisée pour se reconnecter au compte d’une victime même après le changement de mot de passe. Elle peut également être utilisée pour générer de nouveaux jetons de session afin de regagner l’accès aux e-mails, au stockage cloud et autres informations des victimes selon les besoins. Depuis lors, les développeurs de logiciels malveillants volant des informations – principalement ciblant Windows, semble-t-il – ont progressivement implémenté cette faille dans leur code. Le nombre total de familles de logiciels malveillants connues qui exploitent cette vulnérabilité s’élève à six, notamment Lumma et Rhadamanthys, tandis que Eternity Stealer travaille également sur une mise à jour à publier prochainement. Ils sont appelés voleurs d’informations car une fois qu’ils s’exécutent sur l’ordinateur d’une personne vulnérable, ils recherchent des informations sensibles – telles que les identifiants de bureau à distance, les cookies de site Web et les portefeuilles crypto – sur l’hôte local et les divulguent à des serveurs distants gérés par des malveillants. Les experts de CloudSEK affirment avoir identifié la racine de l’exploitation du compte Google dans l’endpoint Google OAuth non documenté appelé « MultiLogin ».