Anatomie d'une entrée de stealer log : ce que contient vraiment une ligne de données volées
Quand un infostealer termine son travail, le résultat n'est pas un exploit spectaculaire : c'est un fichier texte. Les vendeurs l'appellent un log : tout ce que le malware a prélevé sur une machine, agencé pour que les acheteurs l'analysent d'un coup d'œil. Comme une grande partie des détournements de comptes actuels commence ici, il vaut la peine de voir ce que contient une seule entrée. L'entrée ci-dessous est un composite illustratif - aucune donnée réelle de victime - modelé sur les recherches publiques de Red Canary, SpyCloud, Hudson Rock et Sekoia, avec les chercheurs dark web de Kaspersky pour compléter le tableau.
L'en-tête : un profil de machine
La plupart des familles de stealers commencent chaque fichier par un bloc système. L'étude de Sekoia sur le commerce des logs liste les champs habituels : version et architecture de l'OS, nom de l'ordinateur et de l'utilisateur, modèle de CPU et de GPU, langue du clavier, un identifiant matériel, plus l'IP publique, le user-agent du navigateur et une estimation de géolocalisation. Notre entrée illustrative commence ainsi :- Machine : DESKTOP-J41R7, utilisateur "anna" - Windows 10 22H2, 64 bits
- Navigateur : Chrome 139 - CPU : Intel i5-10400 - GPU : GTX 1660 - clavier : en-US
- IP : 84.xx.xx.xx (FAI résidentiel), champ pays : AT - collecté : 2026-11-09
Les lignes d'identifiants : URL, login, mot de passe
Sous l'en-tête viennent les logins enregistrés dans le navigateur, généralement en triple URL-login-mot de passe - les données ULP que décrit Hudson Rock. Un extrait élagué de notre entrée :- https://mail.example.com | a.reid91 | white-tulip-42
- https://shop.example.net | a.reid91@example.com | sunset-bike-88
- https://vpn.example-corp.com | anna.reid | Qk7!vTz9
Pourquoi le pot de cookies pèse plus que la colonne des mots de passe
La colonne des mots de passe attire l'attention ; la colonne des cookies provoque les incidents. Un cookie de session est le ticket qu'un site émet après connexion, et qui le rejoue présente une session déjà approuvée par le serveur - pas de devinettes de mot de passe, pas de page de phishing, pas de défi multi-facteur, car le facteur a été satisfait lors de la connexion d'origine. Comme le formule le glossaire de SpyCloud :Les voleurs de cookies contournent l'authentification - même la MFA.Les données d'un log peuvent ouvrir l'authentification unique d'entreprise, des comptes financiers et des plateformes crypto, et les chercheurs de Red Canary observent que les attaquants saisissent toute occasion de se connecter plutôt que de forcer l'entrée. Sekoia documente jusqu'où porte un seul cookie : le groupe Lapsus$ aurait, selon son récit, acheté le cookie d'un employé sur le Genesis Market et mené la session à distance jusqu'au Slack de l'entreprise, convainquant le support IT d'une réinitialisation MFA. Un log à colonne de mots de passe maigre mais au pot de cookies frais peut valoir plus que l'inverse.
Du panneau de l'opérateur au cloud de logs
Les fichiers bruts débutent dans le panneau de l'opérateur du malware, où chaque machine infectée fait son rapport. Ils y sont analysés puis normalisés - Sekoia cite des outils de traitement comme Crystal ou BLTools -, filtrés par mots-clés, dédupliqués et enrichis : les cookies sont reliés aux logins, les soldes et le nombre d'abonnés vérifiés, les phrases de récupération validées, le statut 2FA enregistré, les vérifications passant par des proxys du pays de la victime pour ne pas déclencher les systèmes antifraude. Le fichier devient ensuite de l'inventaire. Les logs individuels qualifiés se vendent sur des marketplaces centralisées pour cinq à cent dollars environ, selon l'étude de Sekoia. Les acheteurs en volume s'abonnent à des services qui s'appellent eux-mêmes clouds de logs, annonçant 1 000 à 15 000 logs frais par jour pour 200 à 900 dollars par mois. Où coule cet inventaire une fois les panneaux saisis est une question de marché à part entière : plus tôt cette année, nous avons examiné le marché des stealer logs après les takedowns.Repérer une entrée périmée ou falsifiée
Les acheteurs contrôlent l'offre, car la qualité est inégale. Les chercheurs dark web de Kaspersky notent que le battage autour des bases de données volées enveloppe souvent du matériel vieux, recyclé ou carrément fabriqué. Sur les marchés de logs, les signaux sont mécaniques :- Le format ne correspond pas à la famille de stealer revendiquée - un fichier réétiqueté ou recyclé
- Les mêmes lignes URL-login circulent déjà depuis des ventes antérieures
- Cookies expirés ou tests de session en échec - de vieilles données vendues comme fraîches
- Des détails système contredisant la géolocalisation ou la valeur entreprise revendiquée
- Une offre de "logs frais" sans aucune date de collecte
Ce qu'une victime doit renouveler
Si un e-mail ou un domaine apparaît dans cette économie, réinitialiser le mot de passe est la demi-réparation classique. Le conseil de SpyCloud est qu'une simple réinitialisation ne supprime pas une session volée : tant que ces cookies restent valides, l'acheteur garde l'accès. Red Canary demande aux répondants de réinitialiser les identifiants et de révoquer manuellement les sessions pour que les cookies capturés cessent de fonctionner ; la recommandation de remédiation de Hudson Rock associe les mêmes deux gestes. Concrètement :- Se déconnecter de toutes les sessions sur la messagerie, la banque, le SSO et les réseaux sociaux
- Révoquer les autorisations OAuth et les mots de passe d'application ; invalider les refresh tokens
- Réinscrire le multi-facteur si le facteur a été manipulé
- Remplacer les cartes enregistrées et déplacer tout portefeuille dont la phrase de récupération a touché la machine