StealerLens : Transformez des heures d'analyse des journaux de vol en une pause-café

Par Olivier Bilodeau, chercheur principal en cybersécurité, en collaboration avec Estelle Ruellan, chercheuse en renseignement sur les menaces

Plus de 50 millions de fichiers cleptogiciels Apparus sur les réseaux clandestins en 2025, ces fichiers contiennent des dizaines de milliers d'éléments d'historique de navigation, de cookies de session et d'identifiants de connexion volés. C'est dans cette masse de données que se cache la réponse à la question qui préoccupe tous les intervenants en cas d'incident : Comment cette machine a-t-elle été infectée, et quel est l'impact sur mon organisation ? Cependant, la collecte manuelle de ces renseignements est tellement lente qu'en pratique, presque personne ne la pratique.

Voilà le problème. StealerLens a été conçu pour résoudre ce problème. Aujourd'hui, en parallèle de notre présentation à FIRSTCON Présentation de StealerLens : un microscope médico-légal à base de LLM pour accélérer les enquêtes sur les voleurs d’informations Le mercredi 17 juin, nous mettrons cet outil à la disposition de la communauté.

Mais que sont les bûches de voleur ?

A journal de voleur est le résultat d'un logiciel malveillant voleur d'informations qui récupère discrètement toutes les données de valeur de l'ordinateur de la victime : mots de passe de navigation enregistrés, cookies de session, données de remplissage automatique, portefeuilles de cryptomonnaies et fichiers personnels, puis les regroupe pour les vendre ou les réutiliser. Chaque infection réussie génère un journal. Ces journaux sont ensuite échangés en masse sur marchés du dark web et Chaînes de télégramme, une entreprise suffisamment importante pour attirer Opérations de police mondiales et suffisamment conséquent pour que des centaines de milliers de certificats d'entreprise font régulièrement surface dans le commerce.

Ces infections sont omniprésentes actuellement, et la technique de diffusion dominante est ClickFix : un faux CAPTCHA ou une fausse invite de vérification qui incite la victime à copier et exécuter elle-même une commande PowerShell malveillante. Elle est utilisée pour diffuser des informations malveillantes via des appâts aussi anodins que… faux tutoriels d’« activation » TikTokL'appât change ; le résultat est le même. Une autre bûche, une autre victime.

Qu'est-ce que StealerLens ?

StealerLens Ce logiciel analyse le journal d'activité d'un voleur de données et génère en quelques minutes une hypothèse d'infection documentée. Il indique la source la plus probable de l'infection, l'identité du logiciel malveillant, son comportement, le vecteur de diffusion et cite les lignes du journal qui étayent chaque conclusion.

Aperçu de StealerLens

La dernière partie est tout aussi importante que les autres. StealerLens n'est pas une boîte noire qui vous livre un verdict ; il vous propose une hypothèse étayée par des preuves, que vous pouvez confirmer, contester ou rejeter. L'analyste n'est pas remplacé. Il est simplement équipé pour aller plus vite et plus loin.

Les journaux de voleurs sont de véritables mines d'or pour les enquêtes numériques, bien plus que de simples identifiants volés.

La plupart des gens, en consultant un journal de vol de données, y voient une mine d'informations sur les mots de passe et les cookies dérobés. C'est là l'intérêt évident, et c'est pourquoi ces journaux s'achètent et se vendent. Mais cette vision est réductrice par rapport à la véritable valeur de ces fichiers.

Un journal d'attaque est une scène de crime documentée par le logiciel malveillant lui-même. Parmi les identifiants se cachent des éléments qui décrivent l'infection telle qu'elle s'est produite. Une fois que vous savez les interpréter, chaque composant vous apprend quelque chose :

• Informations utilisateur.txtIl s'agit d'un instantané du système compromis au moment de l'infection : le chemin d'exécution du logiciel malveillant, la date de l'infection, les informations matérielles et utilisateur, et souvent la famille de logiciels malveillants elle-même. C'est le point de départ de toute investigation.
• Logiciel.txtL’inventaire des logiciels installés révèle les applications vulnérables, les logiciels imitant ceux utilisés par le malware, et indique si des outils de sécurité comme un EDR étaient présents.
• Processus.txt: une photographie des processus en cours d'exécution au moment de l'infection. On y surprend le logiciel malveillant en flagrant délit : indicateurs d'exécution, activités post-exploitation telles que l'utilisation de PowerShell, et parfois injection de processus.
• Historique du navigateurLes URL, les titres des pages et les horodatages permettent de reconstituer les recherches et les téléchargements. C’est souvent là que se cache le vecteur de diffusion : un site de téléchargement malveillant, une page d’hameçonnage ou une recherche révélatrice de « logiciel piraté ».
• Clipboard.txt: le contenu du presse-papiers au moment de l'infection. Très souvent, il s'agit de l'URL malveillante ou de la charge utile PowerShell que la victime a copiée quelques instants avant d'être infectée.
• Captures d'écran de l'infection: lorsqu'elle est présente, c'est le jackpot. Une capture d'écran du bureau de la victime au moment de la compromission, montrant souvent le faux programme d'installation, le site malveillant ou le faux tutoriel encore affichés à l'écran.

Les indices sont là. Le problème, c'est que les trouver implique de lire l'intégralité du journal, des centaines voire des milliers de lignes, puis de les corréler entre les fichiers, car un élément peut souvent éclairer un autre que l'on avait déjà jugé anodin. C'est un travail fastidieux, long, sujet aux erreurs et quasiment impossible à réaliser à grande échelle.

Analyse de StealerLens

Considérons le volume brut. Un journal de voleur compressé de 2.3 Mo représente 8 698 701 caractères de texte, espaces compris, soit environ 1.5 million de mots ou environ 5 000 pages. Lire un seul journal d'une traite équivaudrait à lire le roman. Dune Dix fois (le livre audio dure 21 heures ; imaginez cela dix fois) ou la Bible deux fois. Bien sûr, personne ne lit un rapport de vol de drogue de bout en bout comme un roman, mais cela représente tout de même une quantité énorme de texte à parcourir, trier, écarter et examiner.

Fonctionnement

Démonstration de StealerLens

StealerLens utilise une architecture LLM à plusieurs niveaux : un artefact, une invite spécialisée. Chaque composant du journal est traité par une invite adaptée (les questions posées à une liste de processus diffèrent de celles posées à l’historique de navigation), et une invite principale finale corrèle toutes ces sorties pour former un récit d’infection cohérent. Nous avons opté pour cette conception modulaire plutôt qu’une invite monolithique unique pour des raisons concrètes :

• Chaque couche se concentre sur un seul type de preuve, ce qui la rend plus précise.
• Chaque couche est plus facile à entretenir
• Chacune peut évoluer indépendamment au gré des changements des familles de logiciels malveillants et des formats de journaux, sans nécessiter une réécriture complète du système.

La couche d'analyse des captures d'écran semblera familière à tous ceux qui ont assisté à notre présentation à Black Hat USA 2025. Des pirates informatiques publient des selfies en plein braquage : LLM identifie les vecteurs d’infection des voleurs d’informations et extrait les indicateurs de compromission.Ce pipeline est désormais intégré directement à StealerLens en tant que l'une de ses couches.

Nous ne reprenons pas toutes les questions dans cet article. L'ensemble des questions, avec leur justification, se trouve dans les supports de cours et le PDF, que vous trouverez également avec l'enregistrement de la conférence. (Si vous lisez ceci dès le lancement et que l'enregistrement de FIRSTCON n'est pas encore en ligne, les diapositives et le PDF sont disponibles dès maintenant, et nous ajouterons le lien vers la vidéo ici dès sa publication.)

Est-ce que ça fonctionne vraiment ?

Nous ne nous sommes pas contentés de quelques cas tests. Nous avons utilisé StealerLens sur plus de 10 000 journaux de voleurs de données réels afin de profiler les victimes à grande échelle ; un travail que nous avons présenté à la conférence RSAC et dont nous avons rédigé un article. Profilage des victimes à l'aide de logiciels malveillants voleurs.

Ce qui nous importe le plus, cependant, c'est le comportement du système face à l'incertitude. Lors de nos essais, lorsqu'un journal était trop incomplet pour permettre de tirer une conclusion, StealerLens l'indiquait clairement plutôt que d'en inventer une. Lorsque les preuves pointaient simultanément vers deux pistes plausibles, le système présentait les deux hypothèses et laissait la décision à l'analyste. Un « Je ne sais pas » assumé vaut bien plus qu'une réponse fabriquée de toutes pièces qui gaspille une heure de vérification. C'est précisément son rôle : clarifier la situation et épauler l'humain, et non prétendre le remplacer.

Accès

StealerLens est gratuit pour les professionnels de la cybersécurité certifiés. Cela inclut nos clients et les membres de notre serveur Discord Flare Academy ayant suivi la procédure de certification. Vous vous demandez peut-être pourquoi nous limitons l'accès à ce service.

En effet, cet outil serait tout aussi utile à l'autre camp. Entre les mains d'un acteur malveillant, StealerLens lui permettrait de trier plus rapidement ses propres journaux d'activité, d'identifier plus vite les victimes les plus importantes et d'apprendre à renforcer la sécurité de ses journaux contre ce type d'analyse, ce qui compliquerait la tâche de tous. Réserver l'accès aux praticiens certifiés nous permet d'éviter de donner aux deux camps le même avantage et de déclencher une course aux armements que nous préférons ne pas alimenter.

Voici comment y accéder :

1. Rejoignez le Discord Flare Academy et suivez les instructions du #vérifiez-ici canal.
2. Faites-vous vérifier. La vérification s'effectue à partir de votre adresse courriel professionnelle, de votre profil LinkedIn et de votre employeur, ainsi que d'un court appel vidéo de vérification. Plus de détails : devenir membre vérifié de la communauté.
3. Une fois que vous tenez le praticiens vérifiés rôle, s'authentifier à stealerlens.labs.flare.io et commencez à analyser.

Les clients Flare existants peuvent demander la fonctionnalité StealerLens Labs à leur responsable de compte. Elle sera intégrée gratuitement à leur plateforme.

Où cela va-t-il nous mener ?

StealerLens est une expérience Flare en accès libre. Nous y avons intégré un système de retour d'information et nous prendrons en compte les retours de la communauté. À court terme, le développement se concentrera sur l'étiquetage pour l'analyse des risques : l'ajout automatique d'attributs aux journaux permettant de déterminer la dangerosité d'une infection, tels que l'accès VPN, les identifiants d'entreprise, l'appartenance à un développeur ou l'accès administrateur cloud. Ces étiquettes alimentent les outils de triage automatisés en aval, afin que les infections les plus graves soient traitées en priorité, sans intervention humaine.

Si vous souhaitez une analyse technique plus approfondie (l'architecture complète, chaque invite de commande, ainsi que les décisions d'ingénierie et les impasses qui les sous-tendent), c'est ce que propose le Conférence FIRSTCON C'est pour ça. Le débroussaillage qui prenait des heures ne prend plus que quelques minutes. Venez voir comment.

Nous sommes convaincus que les équipes d'intervention doivent avoir accès aux meilleurs outils et aux meilleures informations pour pouvoir agir plus rapidement. StealerLens contribue à cet objectif.