Définition · Stealer log
Qu’est-ce qu’un stealer log ?
Comment une machine finit dans un stealer log, ce que l’archive contient, où elle circule, pourquoi elle pèse plus qu’une fuite de base, et que faire quand votre domaine y apparaît. Le mot revient dans les alertes et les rapports d’incident sans être expliqué. Voici comment une machine finit dans un stealer log, ce que l’archive contient, où elle circule, pourquoi elle pèse plus qu’une fuite de base de données, et ce qu’il faut faire quand votre domaine y apparaît.
- Guide
- Définition
- Lecture
- 6 min de lecture
- Publié le
- Dernière mise à jour
En une phrase
Un stealer log est l’archive produite par un logiciel voleur d’informations sur une machine infectée : mots de passe enregistrés dans le navigateur, cookies de session, formulaires, fichiers et empreinte du système, revendue par lots sur les marchés cybercriminels et exploitable tant que les accès qu’elle contient n’ont pas été révoqués.
Un logiciel voleur d’informations (infostealer) s’exécute une fois, copie ce qu’il trouve et disparaît souvent sans laisser de trace. Il arrive par un utilitaire gratuit, un logiciel piraté, une publicité malveillante ou une pièce jointe, et vise volontiers les ordinateurs personnels, là où aucun outil d’entreprise ne le verra.
Le résultat est un journal, le stealer log : un dossier par machine, revendu par lots ou distribué dans des canaux de messagerie, que des acheteurs trient par domaine, par service ou par pays. Une adresse professionnelle dans ce journal signifie qu’un appareil qui a touché vos services est infecté.
Ce que contient un journal
Les mots de passe enregistrés dans les navigateurs, avec l’adresse du site et l’identifiant ; les cookies de session, qui rejouent une connexion sans mot de passe ni second facteur tant qu’ils sont valides ; les formulaires enregistrés, adresses et cartes comprises ; des fichiers choisis par mots-clés ; parfois des captures d’écran et des portefeuilles de cryptomonnaies.
L’empreinte du système complète le tout : nom de la machine, système, matériel, adresse IP, date d’infection. C’est elle qui permet de dire si l’appareil est un poste professionnel ou l’ordinateur du foyer, et de dater l’infection.
Où il circule et combien de temps
Les journaux frais se vendent d’abord à l’unité ou par petits lots, puis rejoignent des compilations gratuites ou presque, où ils restent des mois. Les canaux de messagerie des groupes et les places de marché spécialisées en sont les principaux lieux d’échange.
Le délai qui compte est celui entre l’infection et la première exploitation. Il se mesure en jours, parfois en heures pour une session encore ouverte sur un service à privilèges. C’est pourquoi nos partenaires de collecte acquièrent les journaux dès leur mise en circulation, et pourquoi une alerte doit arriver le jour même.
Pourquoi c’est plus grave qu’une fuite de base
Une base fuitée livre un mot de passe, souvent ancien et parfois haché. Un journal livre un accès complet : le mot de passe en clair, la session encore valide qui contourne l’authentification multifacteur, et la certitude qu’un appareil est infecté et continue peut-être à envoyer ce qu’on y tape.
Le journal touche aussi ce que l’entreprise ne contrôle pas : un ordinateur personnel utilisé pour lire la messagerie, le poste d’un prestataire, un téléphone du foyer. Votre détection interne ne verra jamais cette machine ; la seule trace exploitable est le journal lui-même.
Que faire quand votre domaine y apparaît
Dans l’ordre : révoquer les sessions ouvertes sur les services concernés, réinitialiser les identifiants capturés, vérifier dans vos journaux qu’ils n’ont pas déjà servi, puis traiter l’appareil, réinstallation comprise lorsqu’il vous appartient, marche à suivre transmise à la personne lorsqu’il ne vous appartient pas.
Enfin, prévenir la personne avec un message factuel, sans blâme : un journal prouve qu’une machine est infectée, pas qu’un salarié a fauté. Le guide sur la réaction aux identifiants compromis détaille chaque étape, et l’analyse des collaborateurs exposés place la personne dans la cohorte « poste à protéger » jusqu’à l’action enregistrée.
Questions fréquentes
Un antivirus suffit-il ?
Il en arrête une partie, pas toutes : les logiciels voleurs changent d’emballage plus vite que les signatures, et l’appareil infecté est souvent personnel, hors de tout outil d’entreprise. La surveillance des journaux en circulation est le seul moyen de savoir qu’une machine que vous ne gérez pas a exposé vos accès.
L’authentification multifacteur protège-t-elle ?
Contre le rejeu d’un mot de passe, oui. Contre le rejeu d’un cookie de session déjà authentifié, non : la session est ouverte après le second facteur. La réponse est la révocation des sessions, pas seulement le changement du mot de passe.
Peut-on savoir quelle machine est infectée ?
Le journal porte le nom de la machine, son système et sa date d’infection ; un analyste distingue en général un poste professionnel d’un appareil personnel. Nous ne conservons ni les mots de passe ni les cookies : les métadonnées suffisent à décider quoi révoquer et qui prévenir.
Vos domaines sont-ils déjà dans un journal ?
Un cadrage d’une heure avec un analyste dit ce que les journaux en circulation contiennent déjà sur votre périmètre, historique compris.
Offre sur mesure : aucun prix public, aucun pack.