En bref

  • DarkCore : implant C++ vendu sur les marchés cybercriminels, capable de hijacker des sessions Gmail, WhatsApp et YouTube sans mot de passe
  • Le malware réutilise des cookies de session volés pour accéder aux comptes même après validation du MFA
  • Le trafic des sessions hijackées est routé via l'adresse IP de la victime, contournant les détections géolocalisées

Les faits

Des chercheurs de la société BlackFog ont identifié DarkCore au cours d'opérations de threat hunting de routine. Une annonce de vente datée du 11 août 2026 sur un marché cybercriminel décrit DarkCore comme un implant natif C++ doté de capacités avancées de vol d'identifiants, de contrôle à distance et — c'est son trait distinctif — de réutilisation de sessions navigateur authentifiées. La recherche a été publiée fin octobre 2026, attirant l'attention sur une menace déjà en circulation depuis plusieurs mois.

L'architecture de DarkCore combine plusieurs capacités offensives en un seul implant : vol de credentials stockés dans les navigateurs, transfert de fichiers depuis et vers la machine compromise, contrôle d'un bureau caché invisible à l'utilisateur légitime, et proxy inverse permettant de router du trafic réseau à travers la machine de la victime. C'est cette dernière fonctionnalité, couplée au module de hijacking de session, qui fait de DarkCore un outil d'un niveau de sophistication supérieur aux stealers traditionnels comme Redline ou Vidar.

Le mécanisme de hijacking de session exploite un principe fondamental de l'architecture web : après une authentification réussie — y compris avec vérification MFA — le serveur émet un cookie de session. Ce cookie est la preuve que l'utilisateur a déjà été authentifié. Lors des requêtes ultérieures, le navigateur le présente automatiquement. DarkCore extrait ces cookies du magasin de sessions du navigateur et les transfère vers l'infrastructure de l'attaquant. L'interface de contrôle permet à l'opérateur de sélectionner parmi les sessions disponibles et de les injecter dans un navigateur dédié. Les captures d'écran publiées par BlackFog montrent les services suivants listés dans ce navigateur de réutilisation : WhatsApp, YouTube, Gmail et MediaFire.

La fonctionnalité de reverse proxy est le mécanisme de camouflage. En routant le trafic de ces sessions hijackées à travers l'adresse IP de la victime, l'opérateur de DarkCore fait apparaître ses accès comme des connexions légitimes depuis l'emplacement habituel de l'utilisateur. Les systèmes de détection basés sur la géolocalisation — qui auraient déclenché une alerte sur une connexion depuis un pays inhabituel — ne voient qu'une connexion normale. Les systèmes d'analyse comportementale de Google (compte Gmail) ou de Meta (WhatsApp) reçoivent des signaux considérablement affaiblis.

La durée de vie des cookies de session est la fenêtre d'exposition. Chez Google, un cookie de session Gmail peut rester valide plusieurs semaines sans ré-authentification si l'adresse IP et le profil d'appareil restent stables. En routant via l'IP de la victime, DarkCore satisfait précisément ces conditions de stabilité. Une machine compromise pendant seulement quelques heures peut ainsi offrir à l'attaquant un accès persistant aux comptes email, messagerie et stockage cloud pendant des semaines.

DarkCore s'inscrit dans une tendance de maturation des stealers vers des capacités de réutilisation de session. Lumma Stealer, Redline Stealer et Vidar ont progressivement intégré des modules de vol de cookies dans leurs versions successives. Ce que DarkCore apporte de nouveau est la boucle complète : vol, interface de sélection, injection dans un navigateur dédié, et masquage via proxy inverse — le tout dans un seul produit commercial vendu avec support.

Les chercheurs de BlackFog précisent avoir pu vérifier certaines composantes du malware mais n'ont pas établi que chaque fonctionnalité navigateur annoncée fonctionne de manière fiable dans des environnements cibles réels. Il convient de nuancer : DarkCore est un outil réel, actif sur les marchés cybercriminels depuis au moins août 2026, mais son degré de fiabilité opérationnelle sur l'ensemble de ses fonctionnalités annoncées reste à évaluer empiriquement.

L'accessibilité commerciale de DarkCore sur les marchés cybercriminels le met potentiellement à disposition d'opérateurs peu qualifiés techniquement (modèle Malware-as-a-Service), mais aussi de groupes APT cherchant à diversifier leur arsenal. Le ciblage des sessions Gmail est particulièrement préoccupant dans un contexte professionnel où Google Workspace est devenu l'outil de communication central de millions d'organisations.

Impact et exposition

Tout poste de travail susceptible d'être infecté — via phishing, téléchargement malveillant ou exploitation d'une vulnérabilité logicielle — est exposé au vol de session. Les comptes Gmail, WhatsApp Web, et tout service Google ou Meta utilisant des cookies de longue durée sont directement visibles. Les environnements BYOD (appareils personnels utilisés pour des activités professionnelles) sont particulièrement à risque : ils cumulent l'absence de contrôles EDR d'entreprise et la présence de sessions personnelles et professionnelles entremêlées.

Recommandations

  • Déployer des solutions EDR capables de détecter les accès aux magasins de cookies des navigateurs par des processus tiers non autorisés
  • Activer les politiques de session courte pour les services critiques : Google Workspace Admin permet de configurer la durée des sessions utilisateur
  • Évaluer l'activation des mécanismes Device Trust et Continuous Access Evaluation (CAEP) disponibles dans Google Workspace Enterprise et Microsoft Entra
  • Restreindre l'utilisation de services Google personnels (Gmail) sur les postes professionnels non gérés — ou isoler ces usages dans des profils navigateur séparés
  • Former les utilisateurs à reconnaître les indices d'une compromission de compte : activité depuis des heures inhabituelles, messages envoyés à leur insu, modifications de paramètres

Le MFA protège-t-il contre DarkCore ?

Non, dans le scénario décrit. DarkCore ne cherche pas à contourner le MFA lors de l'authentification — il vole le cookie généré après que l'utilisateur légitime a déjà satisfait à la vérification en deux facteurs. C'est une attaque post-authentification. Le MFA valide une identité au moment de la connexion ; il ne peut rien contre le vol du jeton de session qui en résulte. La seule réponse efficace combine la réduction de la durée de vie des cookies et la détection précoce de l'infection initiale avant que les cookies ne soient exfiltrés.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.

Demander un audit