Les réinitialisations de mot de passe Google ne suffisent pas à arrêter ces logiciels malveillants volant les informations.

Les chercheurs en sécurité ont déclaré que les logiciels malveillants volant des informations pouvaient toujours accéder aux comptes Google compromis des victimes, même après que leurs mots de passe aient été modifiés. Une exploitation zéro-jour de la sécurité des comptes Google avait d’abord été teased par un criminel en ligne connu sous le nom de « PRISMA » en octobre 2023, se vantant que cette technique pourrait être utilisée pour se reconnecter à un compte de victime, même après que le mot de passe ait été modifié. Il peut également être utilisé pour générer de nouveaux jetons de session afin de regagner un accès aux e-mails des victimes, au stockage en nuage, et plus encore selon les besoins. Depuis lors, les développeurs de logiciels malveillants volant des informations – principalement ciblant Windows, il semble – ont progressivement intégré l’exploitation dans leur code. Le nombre total de familles de logiciels malveillants connues abusant de la vulnérabilité s’élève à six, y compris Lumma et Rhadamanthys, tandis que Eternity Stealer travaille également sur une mise à jour à publier dans un avenir proche. Ils sont appelés vols d’informations parce qu’une fois qu’ils sont en cours d’exécution sur l’ordinateur d’une personne malchanceuse, ils commencent à rechercher des informations sensibles – telles que les informations d’identification de connexion à distance, les cookies de site Web, et les portefeuilles de crypto-monnaie – sur l’hôte local et à les fuiter vers des serveurs distants gérés par des criminels. Les génies de CloudSEK ont déclaré avoir trouvé la cause de l’exploitation du compte Google dans le point de terminaison non documenté de Google OAuth « MultiLogin ».