Les réinitialisations de mot de passe Google ne suffisent pas à arrêter ces logiciels malveillants volant des informations.

Des chercheurs en sécurité ont mis à jour leur information selon laquelle un logiciel malveillant pouvant voler des informations peut toujours accéder aux comptes Google compromis de ses victimes, même après que le mot de passe a été modifié. Une faille zero-day de la sécurité des comptes Google avait été entrevue pour la première fois par un cybercriminel connu sous le nom de « PRISMA » en octobre 2023, se vantant que cette technique pourrait être utilisée pour se reconnecter à un compte de victime, même après que le mot de passe ait été modifié. Elle peut également être utilisée pour générer de nouveaux jetons de session afin de retrouver l’accès aux e-mails de victimes, à leur stockage en nuage, et plus encore selon les besoins. Depuis, les développeurs de logiciels malveillants volant des informations – ciblant principalement les systèmes d’exploitation Windows, semble-t-il – ont progressivement intégré la faille dans leur code. Le nombre total de familles de logiciels malveillants connues abusant de la vulnérabilité s’élève à six, y compris Lumma et Rhadamanthys, tandis que Eternity Stealer travaille également sur une mise à jour à publier dans un avenir proche. On les appelle des logiciels malveillants volant des informations car une fois qu’ils sont en cours d’exécution sur l’ordinateur d’une personne, ils collectent des informations sensibles – telles que les informations d’identification de connexion à distance, les cookies de sites Web et les portefeuilles de cryptomonnaies – sur l’hôte local et les transfèrent vers des serveurs distants gérés par des malfaiteurs. Les experts en sécurité de CloudSEK ont déterminé que la cause de la faille était l’utilisation d’une interface utilisateur Google OAuth non documentée appelée « MultiLogin ». La faille consiste en voler les jetons de session des victimes. Autrement dit, un logiciel malveillant infecte d’abord l’ordinateur d’une personne – généralement via un courrier indésirable malveillant ou un téléchargement douteux, etc. – puis recherche des cookies de session de navigateur Web pouvant être utilisés pour se connecter à des comptes sur la machine.