Les réinitialisations de mot de passe Google ne sont pas suffisantes pour arrêter ces logiciels malveillants volant des informations.

Les chercheurs en sécurité ont mis à jour leur information selon laquelle un malware volant des informations peut toujours accéder aux comptes Google compromis de ses victimes, même après que le mot de passe ait été changé. Un exploit zéro-jour de la sécurité des comptes Google a été teasé pour la première fois par un cybercriminel connu sous le nom de « PRISMA » en octobre 2023, se vantant que cette technique pourrait être utilisée pour se reconnecter à un compte de victime, même après que le mot de passe ait été changé. Il peut également être utilisé pour générer de nouveaux jetons de session afin de retrouver l’accès aux e-mails, au stockage en nuage, et plus encore, selon les besoins. Depuis lors, les développeurs de malware volant des informations – ciblant principalement les ordinateurs sous Windows, semble-t-il – ont progressivement intégré l’exploit dans leur code. Le nombre total de familles de malware connues abusant de la vulnérabilité s’élève à six, y compris Lumma et Rhadamanthys, tandis que Eternity Stealer travaille également sur une mise à jour à libérer dans un futur proche. On les appelle des vols d’informations parce que, une fois qu’ils sont en cours d’exécution sur l’ordinateur d’un malheureux, ils commencent à rechercher des informations sensibles – telles que des informations de connexion à distance, des cookies de site Web et des portefeuilles de cryptographie – sur l’hôte local et à les fuiter vers des serveurs distants gérés par des criminels. Les génies de CloudSEK ont déclaré avoir trouvé la cause de l’exploit du compte Google dans l’extrémité non documentée de Google OAuth « MultiLogin ».