RedLine Stealer: exposition liée au malware en 2021

Les champs de données vérifiés dans la fiche RedLine Stealer sont les adresses e-mail, les noms d’utilisateur et les mots de passe. Lorsque ces trois éléments sont réunis, les attaquants peuvent cibler non seulement un compte, mais aussi d’autres services sur lesquels le même nom d’utilisateur et le même mot de passe sont utilisés. D’autres champs, comme le numéro de téléphone, l’adresse postale, les informations de paiement ou les pièces d’identité, ne figurent pas dans la description, car ils ne sont pas vérifiés. Le champ du mot de passe est l’élément le plus sensible de cette fiche : des secrets de connexion utilisables en clair ou pouvant être testés directement fragilisent rapidement la sécurité des comptes.

Les logiciels malveillants semblables à RedLine peuvent présenter des risques en exploitant les identifiants enregistrés dans le navigateur, les données de session et les informations de compte saisies par l’utilisateur. Cette fiche ne doit donc pas être considérée comme une simple ancienne liste de mots de passe en circulation. Si des traces du logiciel malveillant subsistent sur l’appareil touché, le même risque peut se reproduire, même si l’utilisateur définit un nouveau mot de passe. La situation décrite ici nécessite de vérifier à la fois les mots de passe des comptes et la sécurité des appareils.

Les utilisateurs concernés doivent d’abord sécuriser leurs comptes e-mail, puis changer leurs mots de passe sur tous les services importants qui utilisent le même nom d’utilisateur ou la même adresse e-mail. Modifier légèrement le même mot de passe pour l’utiliser sur d’autres comptes n’est pas sûr. Les comptes e-mail, les services bancaires et de stockage dans le cloud, les comptes professionnels, les réseaux sociaux, les plateformes de jeux et les sites d’achat en ligne doivent être vérifiés en priorité. L’authentification à deux facteurs doit être activée, les sessions inconnues doivent être fermées et les informations de récupération des comptes doivent être mises à jour.

Un nettoyage complet doit être effectué sur l’appareil. Il convient de lancer une analyse à l’aide d’un logiciel de sécurité fiable, de mettre à jour le système d’exploitation et le navigateur, de supprimer les applications suspectes et d’examiner les extensions du navigateur. Les mots de passe enregistrés dans le navigateur doivent être renouvelés, les données de remplissage automatique doivent être vérifiées et les sessions actives des comptes synchronisés doivent être fermées. Dans les comptes e-mail, les règles de transfert, les filtres automatiques et les autorisations accordées aux applications tierces doivent faire l’objet d’un examen particulier.

Pour les organisations, la détection de RedLine Stealer signale un risque de fuite d’identifiants causée par des logiciels malveillants présents sur les appareils des employés. Si des adresses e-mail appartenant au domaine de l’entreprise sont touchées, il convient de rechercher, dans les journaux du fournisseur d’identité, des localisations inhabituelles, des tentatives de connexion infructueuses fréquentes, de nouveaux enregistrements d’appareils et des activités de session inattendues. Pour les utilisateurs à protéger en priorité, il est possible d’envisager conjointement la réinitialisation des mots de passe, la fermeture des sessions, l’authentification multifacteur, une analyse de sécurité des terminaux et l’isolement des appareils.

La fuite de données RedLine Stealer doit être traitée comme une priorité majeure, compte tenu de la présence vérifiée d’adresses e-mail, de noms d’utilisateur et de mots de passe. Lorsqu’ils prennent connaissance de cet avis, les utilisateurs ne doivent pas se contenter de changer le mot de passe d’un seul service : ils doivent différencier les mots de passe de tous les comptes sur lesquels ils ont l’habitude de réutiliser le même mot de passe, nettoyer leurs appareils et renforcer la sécurité de leur compte e-mail. La défense la plus efficace consiste à combiner des mots de passe uniques, l’authentification à deux facteurs, le contrôle des sessions et des analyses de détection de logiciels malveillants.

Contrairement à d’autres collections de journaux issus de logiciels voleurs d’informations, la fiche RedLine Stealer inclut également le champ du nom d’utilisateur parmi les catégories de données vérifiées. Le nom d’utilisateur peut faciliter le rapprochement avec l’identité qu’une personne utilise sur des forums, dans des jeux, sur les réseaux sociaux ou dans des outils professionnels. Lorsque l’adresse e-mail, le nom d’utilisateur et le mot de passe sont réunis, il devient plus facile pour l’attaquant de tenter des connexions automatisées et de préparer des messages d’hameçonnage plus convaincants. Ce cas nécessite donc non seulement un changement de mot de passe, mais aussi une vérification de l’identité associée aux comptes et de la sécurité des appareils.

Face aux logiciels malveillants tels que RedLine, la manière dont les organisations assurent la sécurité des terminaux revêt une importance particulière. Si le compte d’un employé est touché, un simple changement centralisé de mot de passe peut ne pas suffire : il faut vérifier si l’appareil contient un logiciel malveillant persistant, des applications suspectes ou des extensions de navigateur non autorisées. Pour les utilisateurs à protéger en priorité, les jetons de session doivent être renouvelés, des politiques d’accès conditionnel doivent être appliquées et les téléchargements de données inattendus ou les accès aux consoles d’administration doivent également être examinés.