Analyse de Stealers : RedLine, Raccoon, Lumma 2026

L'écosystème des infostealers constitue le maillon initial de la chaîne d'attaque pour la majorité des incidents de sécurité en 2026. Les credentials volés par RedLine, Raccoon et Lumma alimentent les initial access brokers qui revendent les accès VPN, RDP et SSO aux opérateurs de ransomware pour les intrusions ciblées. L'analyse technique de ces familles par rétro-ingénierie permet de comprendre les mécanismes de vol, de développer des détections efficaces et de protéger proactivement les actifs numériques de l'organisation. La rétro-ingénierie de ransomware partage les mêmes techniques d'analyse statique et dynamique. L'analyse dynamique en sandbox permet le triage automatisé de ces échantillons. Les techniques de rétro-ingénierie .NET sont essentielles car RedLine et Lumma sont développés en .NET. L'analyse des malwares polymorphes s'applique aux techniques d'obfuscation utilisées par ces stealers pour échapper à la détection. Les rapports de Sekoia TDR documentent l'évolution de ces familles, et Any.run Malware Trends fournit les statistiques de prévalence en temps réel.

Mécanismes de vol de credentials navigateur

Les infostealers ciblent les bases SQLite des navigateurs Chromium (Chrome, Edge, Brave, Opera) stockées dans %LOCALAPPDATA%. Le fichier Login Data contient les credentials chiffrés avec DPAPI (Data Protection API) de Windows, une protection qui ne résiste pas à un processus s'exécutant dans le contexte utilisateur car la clé de déchiffrement DPAPI est dérivée du mot de passe Windows de l'utilisateur connecté. Le fichier Cookies contient les cookies de session qui permettent le session hijacking sans connaître les credentials. Le fichier Web Data stocke les données de remplissage automatique (adresses, cartes bancaires). L'accès concurrent à ces fichiers SQLite verrouillés par le navigateur est contourné en les copiant d'abord dans le répertoire %TEMP% de l'utilisateur.

Pour Firefox, le stockage utilise le format NSS (Network Security Services) avec une base Berkeley DB (key3.db/key4.db) et un fichier logins.json. Le déchiffrement nécessite l'accès à la clé maîtresse NSS stockée dans le profil Firefox, qui est non protégée par défaut (pas de master password). Les stealers importent dynamiquement les DLL NSS (nss3.dll, softokn3.dll) pour appeler les fonctions de déchiffrement PK11SDR_Decrypt directement plutôt que de réimplémenter les algorithmes cryptographiques NSS, une technique d'API resolve dynamique qui simplifie le code du stealer.

Analyse technique de RedLine Stealer

RedLine Stealer est développé en C# .NET et communique avec son panel C2 via un protocole SOAP/XML sur HTTP. L'analyse de la configuration extraite par décompilation avec dnSpy révèle l'adresse IP et le port du serveur C2, l'identifiant unique du build (BuildID) qui lie l'échantillon à un opérateur spécifique, et la liste des modules de vol activés (navigateurs, wallets, FTP, VPN, Discord). Le protocole SOAP utilise des méthodes nommées (GetSettings, SendLogs, SendCredentials) qui facilitent la création de signatures réseau IDS/IPS pour la détection des exfiltrations en cours.

Les techniques d'évasion de RedLine incluent l'obfuscation des strings par XOR avec une clé embarquée dans le binaire, la résolution dynamique des API Windows via GetProcAddress pour éviter les imports statiques détectables, et la vérification de l'environnement d'exécution (anti-sandbox, anti-VM, détection de debugger via IsDebuggerPresent et CheckRemoteDebuggerPresent). Les versions récentes ajoutent le polymorphisme du loader avec des crypters tiers qui modifient la signature binaire à chaque build pour échapper aux détections par hash.

Analyse technique de Raccoon et Lumma

Raccoon Stealer v2 a été réécrit en C/C++ après la version 1 en .NET, améliorant les performances et réduisant la taille du binaire à moins de 100 Ko. La communication C2 utilise HTTP POST avec une configuration chiffrée en RC4 dont la clé est embarquée dans le binaire. L'analyse de la configuration déchiffrée révèle les URLs des serveurs C2 (typiquement 3 à 5 mirrors), le token d'authentification de l'opérateur, les bibliothèques DLL à télécharger dynamiquement (sqlite3.dll, nss3.dll) et les règles de ciblage des fichiers à exfiltrer (extensions, chemins, taille maximale). Le format d'exfiltration structuré en fichiers texte zippés permet la corrélation entre les dumps interceptés.

Lumma Stealer représente la menace émergente avec un obfuscateur .NET custom qui remplace le control flow standard par un interpréteur de bytecode propriétaire, rendant l'analyse statique avec dnSpy inefficace sans reconstruction préalable du control flow. L'analyse dynamique avec x64dbg en mode .NET debugging est nécessaire pour extraire la configuration C2 déchiffrée en mémoire. Lumma se distingue par des techniques d'évasion EDR avancées : direct syscalls pour contourner les hooks ntdll, unhooking de ETW (Event Tracing for Windows) pour désactiver la télémétrie, et AMSI bypass pour échapper à la détection des moteurs antivirus intégrés à Windows.

Conclusion

L'analyse technique des infostealers par rétro-ingénierie révèle des mécanismes de vol sophistiqués exploitant les faiblesses de stockage des navigateurs et les API système Windows. L'extraction de configuration C2 et le développement de signatures réseau basées sur les protocoles de communication spécifiques à chaque famille permettent une détection proactive et le takedown des infrastructures d'exfiltration avant que les credentials volés ne soient monétisés.

Synthèse et points clés

Les éléments présentés dans cet article mettent en évidence l'importance d'une approche structurée et méthodique. La combinaison de contrôles techniques, de processus organisationnels et de formation continue constitue le socle d'une posture de sécurité mature et résiliente face aux menaces actuelles.

Réponse aux incidents impliquant des stealers : containment et remédiation

La découverte d'une infection par stealer (RedLine, Raccoon ou Lumma) dans un environnement d'entreprise nécessite une réponse structurée qui va bien au-delà de la simple suppression du malware. Le premier réflexe est l'évaluation de la portée de l'exfiltration : quelles données ont été volées ? Les logs réseau du pare-feu permettent d'identifier les C2 contactés et d'estimer le volume exfiltré. Pour RedLine, les indicateurs typiques sont des connexions sortantes vers des IPs sur les ports 9876 ou 8080 en TCP, avec des volumes de transfert de quelques centaines de KB à quelques MB (credentials compressés).

La procédure de remédiation complète implique : réinitialisation immédiate de tous les mots de passe stockés dans les navigateurs sur les systèmes infectés, révocation et rotation des tokens et clés API présents dans les fichiers de configuration, invalidation de toutes les sessions actives sur les services critiques (Office 365, VPN, outils de développement), et notification des parties affectées si des données personnelles de tiers ont été exfiltrées (obligation RGPD de notification CNIL sous 72 heures). La ré-image complète des systèmes infectés est recommandée plutôt qu'une désinfection, car les stealers modernes peuvent installer des backdoors secondaires.

Analyse de malwares & rétro-ingénierie

Analyse de code malveillant, reverse engineering, threat intelligence — rapport IOC complet.

Contacter un expert [email protected]