Infostealer, courtier d'accès, opérateur de rançongiciel : trois métiers distincts d'une même chaîne

Trois mots reviennent dans presque toutes les notes d'incident : infostealer, courtier d'accès, opérateur de rançongiciel. Ils sont souvent employés comme trois manières de désigner un attaquant, alors qu'ils désignent trois métiers qui ne vendent pas le même bien, n'interviennent pas au même moment et ne se détectent pas avec les mêmes signaux. Confondre les trois conduit à chercher un adversaire unique là où opère une filière, et à concentrer l'effort sur le dernier maillon, celui qui se manifeste, plutôt que sur le premier, celui qui rend tout le reste possible.

Le constat de fond est bien posé par Journal du Net : le dark web n'organise plus la vente d'outils isolés mais une industrie de capacités combinables, où chaque acteur vend une pièce distincte de la chaîne d'attaque, données, accès, outils, extorsion. Journal du Net souligne que les attaques ne sont plus nécessairement conduites de bout en bout par le même groupe, et que le premier étage de cette industrie repose sur les infostealers, des logiciels qui extraient des informations structurées depuis un poste compromis.

Ce repère pose les trois définitions, les distingue de leurs voisines, affilié, revendeur de fuites, groupe étatique, et donne les critères qui permettent de savoir, devant un signal, à quel étage on se trouve. Les reportages publiés par Le Fil de la Veille sur les suites d'incidents récents montrent que cette question n'est pas académique : elle décide de ce que l'organisation doit surveiller, de ce qu'elle doit révoquer et de ce qu'elle peut encore empêcher.

L'infostealer : un producteur de données brutes, en amont de toute intrusion ciblée

Un infostealer est un logiciel malveillant dont la fonction unique est d'extraire des informations structurées depuis un poste compromis : identifiants enregistrés dans les navigateurs, jetons de session, cookies d'authentification, remplissages automatiques de formulaires, fichiers de configuration de clients de messagerie ou d'accès distant. Il ne cherche ni à persister longtemps, ni à se propager, ni à chiffrer quoi que ce soit. Il capture, il exfiltre, il disparaît.

Sa production est un objet standardisé, souvent appelé journal de vol, qui contient l'inventaire de ce qui a été trouvé sur une machine donnée à une date donnée. Cette standardisation est ce qui rend le premier étage industriel : les journaux se comptent, se trient, se filtrent par domaine, par pays, par type d'accès, et se revendent en lots à des acteurs qui ne se sont jamais approchés du poste d'origine. L'infection initiale est opportuniste, elle ne vise pas l'organisation : c'est la revente qui rend l'organisation intéressante.

Le mode de compromission explique pourquoi une organisation détecte rarement cet étage. Le poste infecté est fréquemment un appareil personnel utilisé pour se connecter à un service professionnel, ou celui d'un prestataire, ou un ordinateur familial partagé. Il n'apparaît dans aucun inventaire, aucune sonde d'entreprise ne l'observe, et l'organisation n'apprend l'existence du problème que lorsqu'un accès dérivé de ce vol est utilisé, parfois des mois plus tard.

Le courtier d'accès : un vendeur d'accès valide, pas de données

Le courtier d'accès initial occupe l'étage intermédiaire. Son bien n'est ni un fichier ni un logiciel : c'est un accès fonctionnel à un système d'organisation identifiée, dont il garantit implicitement qu'il fonctionne au moment de la vente. Il achète ou collecte de la matière brute, teste les identifiants, cartographie sommairement le réseau atteint, qualifie la cible, secteur, chiffre d'affaires estimé, pays, niveau de droits obtenu, puis met en vente.

La différence avec l'infostealer est celle qui sépare une matière première d'un produit qualifié. Le journal de vol dit qu'un identifiant existait sur une machine. Le courtier affirme que cet identifiant ouvre encore une porte, aujourd'hui, sur telle organisation. Cette qualification est exactement ce qui fait la valeur ajoutée du métier, et c'est aussi ce qui rend son bien périssable : un accès révoqué ne vaut plus rien, ce qui explique la pression à la revente rapide.

Il faut distinguer le courtier d'accès du revendeur de fuites, qui commercialise des jeux de données déjà exfiltrés et souvent anciens. Le second vend un contenu, le premier vend une capacité d'action. Une organisation qui voit son nom apparaître dans une annonce de revente de fuite affronte un problème de notification et de fraude à venir. Une organisation qui apparaît dans une annonce de courtage affronte un problème immédiat de maîtrise de son système d'information.

L'opérateur de rançongiciel : un monétiseur d'effet, en bout de chaîne

L'opérateur de rançongiciel intervient au dernier étage. Il n'a pas nécessairement compromis quoi que ce soit lui-même : il achète un accès, l'exploite pour élever ses privilèges, exfiltre ce qui a une valeur de chantage, puis chiffre et négocie. Son bien n'est ni la donnée ni l'accès, c'est la pression exercée sur la victime, et son savoir-faire porte autant sur la négociation, la mise en scène publique et la gestion d'une réputation d'attaquant fiable que sur la technique.

Ce métier est lui-même divisé. La plupart des ensembles observés séparent ceux qui développent et maintiennent l'outil de chiffrement et l'infrastructure de négociation, de ceux qui conduisent l'intrusion et déclenchent l'attaque, souvent appelés affiliés. Un affilié peut travailler avec plusieurs opérateurs successivement, ce qui déplace les modes opératoires d'un ensemble à l'autre et fragilise l'attribution fondée sur les seuls outils employés.

L'extorsion sans chiffrement complique encore la nomenclature. Un acteur qui se contente d'exfiltrer puis de menacer de publier remplit la fonction économique de l'opérateur sans en utiliser la technique caractéristique. Cette configuration est celle qui suit le plus souvent une fuite documentaire, et c'est aussi celle qui laisse le moins de traces internes, puisqu'aucun service n'est interrompu.

Les critères qui font basculer un acteur d'une catégorie à l'autre

La question à poser n'est pas de savoir quel outil un acteur emploie, mais quel bien il vend, à qui, et combien de temps ce bien conserve sa valeur. Trois réponses suffisent à situer l'étage.

Deux bascules importent en pratique. Un acteur passe du statut de collecteur à celui de courtier au moment où il qualifie et teste ce qu'il détient : c'est un travail de renseignement, pas de piratage. Un courtier devient opérateur au moment où il choisit d'exploiter lui-même plutôt que de revendre, décision généralement dictée par la valeur estimée de la cible et par le risque qu'il accepte de prendre.

Une filière spécialisée ne se combat pas en cherchant un coupable unique : elle se combat en rendant invendable, à chaque étage, le bien que l'étage précédent produit.

Ce que cette division du travail change pour la veille d'une organisation

La première conséquence porte sur le délai de détection. Une organisation ne voit presque jamais le premier étage et découvre le troisième, souvent par une revendication publique. L'indicateur qui compte est l'écart entre le moment où un accès est mis en circulation et le moment où l'organisation le révoque. Cet écart se réduit par la surveillance externe des annonces mentionnant son secteur, ses technologies ou son pays, bien plus que par l'analyse des seuls journaux internes.

La deuxième porte sur les suites d'une fuite déjà avérée. Burkina NTIC News rapporte, à propos de la compromission de la Direction générale des Finances publiques, que 285 570 professionnels sont exposés à des risques d'ingénierie sociale et de fraude au président, que le groupe cybercriminel ZeroBytes a exfiltré des fichiers contenant des données d'état civil, des identifiants fiscaux, des revenus de référence et des taux de prélèvement à la source, et que ces informations ont été cédées à deux acheteurs pour quelques milliers d'euros avant de circuler sur des forums spécialisés. Burkina NTIC News indique également, d'après l'AFP, que ZeroBytes déclare que les données sont toujours en vente. Ce décompte est celui d'une publication à une date donnée et ne constitue pas un total arrêté.

La troisième porte sur la construction du corpus de surveillance. Il faut suivre des annonces, des revendications et des reprises dans plusieurs langues, sur des supports qui apparaissent et disparaissent. NewsCore (www.newscore.fr) couvre en continu des millions de sources multilingues, trie les signaux par intelligence artificielle et relie chaque alerte à sa publication d'origine, ce qui raccourcit le trajet entre la mise en circulation d'une information et sa prise en compte par l'équipe de sécurité.

Questions fréquentes

Quelle différence entre un infostealer et un rançongiciel ?

La fonction et le moment. Un infostealer extrait discrètement des informations d'authentification depuis un poste et disparaît : sa réussite tient à ce que personne ne s'aperçoive de rien. Un rançongiciel se manifeste au contraire délibérément, en rendant des données indisponibles pour obtenir un paiement. Les deux se situent aux extrémités opposées de la même chaîne : le premier fabrique la matière première qui, après plusieurs reventes, permettra parfois au second d'entrer sans effort d'intrusion.

Comment savoir si un accès à mon organisation circule ?

Rarement par un signal direct, car les annonces désignent généralement une cible par son secteur, son pays et un ordre de grandeur d'activité plutôt que par son nom. La démarche réaliste combine trois choses : une surveillance externe des annonces et des revendications construite sur ces critères indirects, un suivi des expositions d'identifiants associés aux domaines de messagerie de l'organisation, et une détection interne des sessions authentifiées anormales, connexion depuis un contexte inhabituel, réutilisation d'un jeton, absence de facteur d'authentification supplémentaire.

Un poste personnel infecté peut-il vraiment compromettre une entreprise ?

Oui, et c'est le mécanisme le plus fréquent aujourd'hui. Un appareil personnel utilisé une seule fois pour ouvrir un service professionnel dans un navigateur laisse un jeton de session exploitable. Ce jeton permet parfois de contourner l'authentification à plusieurs facteurs, puisqu'il matérialise une authentification déjà réalisée. C'est pourquoi la contre-mesure utile n'est pas seulement le changement de mot de passe, mais l'invalidation des sessions actives et la réduction de la durée de vie des jetons.

La spécialisation de la chaîne rend-elle l'attribution impossible ?

Non, mais elle en change la nature. Attribuer un mode opératoire à un ensemble d'acteurs reste possible, à condition d'accepter qu'un affilié travaille pour plusieurs opérateurs et qu'un outil circule d'un ensemble à l'autre. Ce qui devient impossible, c'est de déduire d'une seule signature technique l'identité de l'ensemble de la chaîne. La formulation honnête consiste à attribuer chaque étage séparément, avec son niveau de confiance propre, plutôt que de désigner un responsable unique pour l'ensemble de l'incident.