Infostealer Storm : vol de sessions et contournement 2FA

Un mot de passe complexe et une double authentification ne suffisent plus si votre session est volée. C'est ce que montre l'infostealer Storm, un logiciel malveillant analysé par les chercheurs de Varonis Threat Labs, qui pille les navigateurs, envoie les données chiffrées à ses opérateurs et rejoue ensuite les sessions des victimes, sans jamais avoir besoin de leur mot de passe ni de leur code. Cet article explique ce qui est établi, comment il fonctionne, ce qu'il faut nuancer et comment s'en protéger.

À retenir : Storm ne casse pas la double authentification : il vole une session déjà authentifiée. Il faut donc protéger l'appareil et raccourcir la vie des sessions, pas seulement renforcer les mots de passe.

Ce que l'on sait de l'infostealer Storm

Selon le rapport de Varonis, Storm est apparu sur des réseaux cybercriminels au début de 2026. La version analysée était la 0.0.2.0, et le compte du vendeur sur le forum a été créé en décembre 2025. Un rapport détaillé signé Daniel Kelley (Varonis) a été publié le 1er avril 2026, d'après Infosecurity Magazine. Le programme cible Windows, est écrit en C++ et pèse environ 460 Ko.

Ce qu'il vole

D'après Varonis, Storm collecte :

• les identifiants et cookies de session des navigateurs basés sur Chromium (Chrome, Edge, Brave) et sur Gecko (Firefox, Waterfox, Pale Moon) ;
• les données de remplissage automatique, les cartes bancaires enregistrées, l'historique et les jetons de compte Google ;
• les portefeuilles de cryptomonnaies, extensions de navigateur comme applications de bureau ;
• les données de session de Telegram, Signal et Discord ;
• des documents des dossiers de l'utilisateur, des informations système et des captures d'écran de plusieurs écrans.

Le déchiffrement côté serveur : pourquoi c'est furtif

Les infostealers traditionnels déchiffrent les données du navigateur directement sur la machine infectée, en accédant aux bases de données et aux magasins d'identifiants, un comportement que les outils de sécurité savent repérer. Depuis Chrome 127, en juillet 2024, Google protège les données sensibles avec l'App-Bound Encryption, qui lie les clés de chiffrement à Chrome et complique ce déchiffrement local.

Storm change de méthode. Selon Varonis, il « arrête complètement le déchiffrement local » et envoie les fichiers chiffrés vers sa propre infrastructure, ce qui supprime la télémétrie sur laquelle s'appuient la plupart des outils de protection des postes. Tout s'exécute en mémoire pour limiter la détection, et les données transitent par des serveurs virtuels contrôlés par les opérateurs plutôt que par des plateformes partagées, ce qui complique les démantèlements.

Deux précisions s'imposent :

• « Sans la moindre alerte » est trop fort. Le logiciel réduit les signaux qu'un antivirus ou un EDR peut voir sur la machine, mais Varonis ne dit pas qu'il est invisible pour toutes les solutions.
• Le rapport ne détaille pas ici comment les clés nécessaires sont obtenues côté attaquant. Je ne le décris donc pas.

Le vol de session qui contourne la double authentification

Le plus dangereux est l'étape suivante. Varonis décrit un panneau d'opérateur qui restaure « silencieusement » la session authentifiée d'une victime à partir d'un jeton d'actualisation Google (Google Refresh Token) et d'un proxy SOCKS5 situé dans la même région que la victime, pour éviter de déclencher des alertes de connexion inhabituelle.

Le principe n'est pas nouveau. Le CERT-FR le décrivait dès 2022 : les cookies d'authentification sont une cible privilégiée, et une fois le cookie de session acquis, l'authentification multifacteur devient sans effet puisque la session est déjà validée. Le déploiement du SSO et du cloud aggrave la menace.

Attention à ne pas conclure que la double authentification est inutile. Elle reste très efficace contre le vol d'un simple mot de passe, l'hameçonnage classique ou les attaques par réutilisation d'identifiants. Ici, elle est contournée parce que l'attaquant n'a pas besoin de passer l'étape de connexion.

Un service vendu par abonnement

Storm est proposé sur des forums selon Varonis :

Un « crypter » distinct, qui masque le code, est nécessaire, et les compilations restent utilisables après l'expiration de l'abonnement. Lors de l'enquête, les journaux contenaient 1 715 entrées provenant de plusieurs pays, dont l'Inde, les États-Unis, le Brésil, l'Indonésie, l'Équateur et le Vietnam, avec des identifiants liés à Google, Facebook, X, Coinbase, Binance, Blockchain.com et Crypto.com. Il s'agit d'entrées de journaux, et non d'un nombre de personnes confirmé.

Comment l'infection commence

Le rapport de Varonis se concentre sur les capacités du logiciel plutôt que sur sa diffusion. Pour les infostealers en général, les canaux les plus fréquemment observés sont bien connus :

• Logiciels « crackés » et faux installateurs. Le CERT Santé décrit des campagnes d'août 2025 (LummaC2, ACRStealer, Rhadamanthys) qui utilisaient le « SEO poisoning » pour placer des pages malveillantes en tête des résultats de recherche, avec des fichiers exécutables dans près de 90 % des cas.
• Publicités malveillantes menant vers de faux sites de téléchargement.
• Pièces jointes piégées dans des courriels.
• ClickFix, où un faux message d'erreur pousse l'utilisateur à coller lui-même une commande pour « réparer » un problème.

Je n'ai pas de confirmation que Storm utilise précisément l'un de ces vecteurs.

Comment se protéger

Éviter l'infection

• Téléchargez uniquement depuis les sites officiels des éditeurs, jamais depuis un lien sponsorisé ou un site de logiciels crackés.
• Ne collez jamais une commande proposée par une page web pour « corriger » une erreur.
• Méfiez-vous des pièces jointes et liens inattendus. Notre guide sur l'analyse d'un e-mail de phishing explique comment les repérer, et l'analyseur d'URL suspecte de ForenShield permet d'examiner un lien avant de l'ouvrir.
• Mettez à jour le système et les applications, et utilisez un antivirus ou un EDR.

Réduire l'impact d'un vol de session

• Limitez la durée de vie des sessions et mettez en place la révocation des sessions, comme le recommande le CERT-FR. Se déconnecter des services sensibles (banque, messagerie, cryptoactifs) quand on ne s'en sert pas est un bon réflexe.
• Vider régulièrement les cookies raccourcit la fenêtre d'exploitation, mais ne protège pas contre un programme déjà actif sur votre machine, qui volerait de nouvelles sessions à chaque connexion.
• Utilisez les protections liées à l'appareil. Google a rendu généralement disponible les Device Bound Session Credentials (DBSC) dans Chrome 146 sur Windows en avril 2026. D'après Google, ce mécanisme lie la session à une clé matérielle qui ne peut pas être exportée, avec des cookies de courte durée : un cookie volé devient inutilisable ailleurs. Il faut pour cela un module matériel (TPM), le service doit le prendre en charge, et il ne protège pas contre un programme qui agit en direct sur l'appareil infecté.
• Utilisez un gestionnaire de mots de passe et des mots de passe uniques (générateur).

Si vous pensez être infecté

Considérez tout ce qui était présent sur l'appareil comme compromis :

1. Isolez la machine et faites-la analyser ou réinstaller.
2. Depuis un appareil sain, révoquez les sessions actives, retirez les autorisations d'applications inconnues, changez les mots de passe et vérifiez les méthodes de double authentification et les règles de redirection de messagerie.
3. Surveillez les connexions depuis des lieux inhabituels et, pour les cryptoactifs, déplacez les fonds vers de nouveaux portefeuilles.

Un mot de passe modifié ne suffit pas : une session volée peut rester valide jusqu'à sa révocation ou son expiration.

Ce qu'il faut retenir

Storm illustre une évolution des infostealers : il minimise les traces sur la machine et exploite les sessions plutôt que les mots de passe. Pour les organisations, Varonis recommande de surveiller les connexions depuis des lieux inhabituels, les mouvements latéraux et les accès qui s'écartent des habitudes. Pour tous, la meilleure défense reste d'éviter l'installation du logiciel et de limiter la valeur d'une session volée.

Sources

• Varonis : A Quiet « Storm », infostealer qui détourne les sessions et déchiffre côté serveur
• Infosecurity Magazine : Storm déchiffre à distance les identifiants volés
• BleepingComputer : The silent « Storm »
• CERT-FR : menaces liées aux vols de cookies et contre-mesures
• CERT Santé : campagnes d'infostealers distribués par des logiciels crackés
• Google : protéger les cookies avec les Device Bound Session Credentials
• Help Net Security : Chrome déploie les DBSC
• Google Security Blog : améliorer la sécurité des cookies Chrome sous Windows