Storm ne vole pas vos mots de passe
il vole votre session ouverte.
Trois points de la version de mai 2026 sont corrigés ici. Le rapport de Varonis est daté du 1er avril 2026, pas de mai. Les 1 715 entrées relevées correspondent à des lignes de panneau d’administration, dont les chercheurs écrivent explicitement qu’ils ne peuvent pas garantir qu’il s’agit toutes de victimes réelles. Et le vecteur d’infection décrit ne figure pas dans le rapport.
Ce qu’est Storm exactement
Un logiciel voleur d’informations, loué par abonnement. Pas une vulnérabilité, pas une faille dans un produit du marché : un outil commercial vendu sur des forums criminels, avec des tarifs, des options et un support.
Storm est apparu sur les réseaux criminels au début de 2026 et a été analysé par Varonis Threat Labs, dont le rapport a été publié le 1er avril 2026 sous la signature de Daniel Kelley, chercheur senior en sécurité. La version identifiée au moment de l’analyse portait le numéro v0.0.2.0 et le nom de code Gunnar.
Le programme est écrit en C++, pèse environ 460 kilo-octets et ne fonctionne que sous Windows. Le compte vendeur associé, sous le pseudonyme StormStealer, a été enregistré sur le forum concerné le 12 décembre 2025, ce qui situe la préparation commerciale quelques semaines avant les premières campagnes.
Cette distinction entre faille et produit n’est pas théorique. Elle détermine la nature de la réponse : lorsqu’un éditeur publie un correctif, comme lors des failles Microsoft Defender activement exploitées, la mise à jour règle le problème. Ici, il n’y a rien à corriger. Storm exploite le fonctionnement normal des navigateurs et des sessions authentifiées, et la seule réponse possible relève de la configuration, de la surveillance et de l’hygiène des accès.
Le déchiffrement côté serveur
C’est la rupture technique du dossier, et elle se comprend mieux en regardant ce qu’elle remplace.
Les voleurs d’identifiants classiques déchiffraient les données du navigateur directement sur la machine de la victime, en chargeant des bibliothèques SQLite et en accédant aux magasins de mots de passe. Les outils de protection des postes ont appris à repérer ce comportement, au point que l’accès local à une base de navigateur est devenu l’un des signaux les plus fiables d’une activité malveillante.
Google a durci le dispositif avec App-Bound Encryption, introduit dans Chrome 127 en juillet 2024, qui lie les clés de chiffrement au navigateur lui-même. Les premiers contournements passaient par une injection dans Chrome ou par un abus de son protocole de débogage, deux techniques qui laissaient encore des traces détectables.
La réponse des développeurs de logiciels voleurs a été de renoncer complètement au déchiffrement local. Les fichiers sont exfiltrés tels quels, chiffrés, vers l’infrastructure de l’attaquant, où ils sont traités hors de portée de tout outil de détection. Les données de télémétrie sur lesquelles reposent les solutions de sécurité disparaissent, tout simplement parce que l’opération suspecte n’a plus lieu sur le poste.
La conséquence pour une organisation est directe et souvent sous-estimée. Un seul navigateur d’employé compromis peut livrer à un opérateur un accès authentifié à des plateformes en ligne, à des outils internes et à des environnements d’hébergement, sans qu’aucune alerte liée à un mot de passe ne se déclenche nulle part. Les dispositifs de surveillance construits autour de l’événement « connexion » ne voient rien, puisqu’il n’y a pas de connexion : il y a une session qui se poursuit. C’est ce déplacement du point de rupture, du mot de passe vers le jeton de session, qui rend l’ensemble du modèle de défense classique partiellement inopérant.
Storm pousse cette logique plus loin que ses concurrents en traitant côté serveur les navigateurs fondés sur Chromium mais aussi ceux fondés sur Gecko, dont Firefox, Waterfox et Pale Moon. Un concurrent identifié, StealC V2, continue de traiter Firefox localement. La couverture de Storm est donc plus large, ce qui explique une partie de son attractivité commerciale, et rappelle que la surface exposée d’un navigateur dépasse largement le sujet des failles critiques découvertes dans Chromium.
La restauration de session automatisée
Ce module est ce qui distingue vraiment Storm, et c’est aussi l’élément le plus absent des résumés qui ont circulé.
La plupart des logiciels voleurs livrent des journaux bruts que l’acheteur doit exploiter manuellement : identifier le compte intéressant, réinjecter le cookie, ajuster l’empreinte du navigateur, espérer que le service ne détecte rien. Storm automatise cette étape. Les identifiants et cookies déchiffrés arrivent directement dans le panneau de l’opérateur.
La procédure décrite par les chercheurs tient en deux éléments : un jeton de rafraîchissement Google et un relais réseau géographiquement cohérent avec la victime. Le panneau restaure alors silencieusement la session authentifiée. L’attaquant se retrouve connecté au compte sans avoir jamais saisi de mot de passe ni reçu de code de vérification.
C’est précisément pour cette raison que la double authentification ne joue aucun rôle protecteur dans ce scénario. Elle intervient au moment de l’ouverture de session. Or la session est déjà ouverte : elle a été volée après coup. Varonis rattache cette technique à ses travaux antérieurs, notamment sur le vol de cookies de session Entra ID, qui rendait l’authentification multifacteur inopérante sur Microsoft 365, et sur des kits d’hameçonnage interceptant les jetons de session en temps réel. Ce qui change avec Storm, c’est l’industrialisation : la même technique, vendue comme une fonctionnalité d’abonnement.
Ce que Storm collecte réellement
Le périmètre de collecte dépasse largement le navigateur. Le rapport en détaille les modules, configurables par l’opérateur au moment de la génération du programme.
- Données de navigateur : mots de passe enregistrés, cookies de session, remplissage automatique, jetons de compte Google, données de cartes bancaires et historique de navigation.
- Documents : un module de collecte de fichiers récupère des documents dans les répertoires utilisateur, selon des règles définies à l’avance.
- Messageries : données de session de Telegram, Signal et Discord.
- Cryptomonnaies : portefeuilles ciblés à la fois via les extensions de navigateur et via les applications de bureau.
- Environnement : informations système et captures d’écran sur plusieurs moniteurs, réalisées en mémoire.
Un détail mérite l’attention des professionnels du web. Le panneau intègre une détection automatique de domaines qui étiquette les identifiants volés par service, avec des règles visibles pour Google, Facebook, Twitter/X et cPanel. La présence de cPanel dans cette liste signale que les accès d’hébergement sont explicitement recherchés et triés. Un seul navigateur compromis peut donc livrer l’accès à un site, à sa base de données et à sa messagerie, sans qu’aucune alerte liée à un mot de passe ne soit déclenchée.
L’ensemble des opérations se déroule en mémoire pour réduire les chances de détection. Aucun fichier déchiffré n’est écrit sur le disque de la victime, ce qui prive l’analyse post-incident d’une partie de ses repères habituels.
Le modèle commercial
La grille tarifaire est publique sur les forums où l’outil est vendu. Elle en dit long sur la maturité de ce marché.
- Démonstration de sept jours : 300 dollars.
- Licence standard : 900 dollars par mois.
- Licence d’équipe : 1 800 dollars par mois, avec cent sièges d’opérateurs et deux cents générations de programme.
- Un chiffreur d’obfuscation est requis en supplément, à la charge de l’acheteur et facturé séparément.
- La gestion d’équipe prévoit des permissions distinctes pour l’accès aux journaux, la génération de programmes et la restauration de sessions.
Deux caractéristiques méritent d’être relevées. D’abord, l’infrastructure : les opérateurs raccordent leurs propres serveurs privés virtuels aux serveurs centraux de Storm, si bien que les données volées transitent par une infrastructure qu’ils contrôlent. Une plainte pour abus ou une action judiciaire frappe d’abord le nœud de l’opérateur, ce qui protège le service central des tentatives de démantèlement — exactement la logique de cloisonnement observée dans l’affaire du service First VPN démantelé par Europol.
Ensuite, la persistance commerciale : les programmes générés continuent de fonctionner après l’expiration de l’abonnement. Un opérateur qui cesse de payer conserve donc une collecte active sur les machines déjà infectées. Cette caractéristique invalide l’idée qu’une campagne s’éteint avec la licence qui l’a produite.
Neuf cents dollars par mois pour un accès authentifié à des plateformes d’entreprise : le rapport coût-bénéfice explique à lui seul pourquoi ce segment se professionnalise plus vite que les défenses censées le contenir.
Ce que valent les 1 715 entrées
Ce nombre a été repris partout comme un décompte de victimes. Le rapport dit autre chose, et la nuance est écrite noir sur blanc.
Au moment de l’investigation, le panneau de journaux contenait 1 715 entrées, réparties entre l’Inde, les États-Unis, le Brésil, l’Indonésie, l’Équateur, le Vietnam et plusieurs autres pays. Les chercheurs précisent immédiatement qu’il est difficile de confirmer, à partir des seules copies d’écran du panneau, si toutes ces entrées correspondent à des victimes réelles ou si certaines relèvent de données de test.
Ils ajoutent un élément d’appréciation : la diversité des adresses réseau, des fournisseurs d’accès et des volumes de données observés paraît cohérente avec des campagnes réellement actives. Autrement dit, l’activité est probablement réelle, mais le chiffre exact ne peut pas être présenté comme un bilan consolidé de victimes.
L’affirmation selon laquelle le nombre réel serait bien supérieur ne repose sur aucun élément publié. Elle est plausible, puisqu’un panneau observé à un instant donné ne reflète pas l’ensemble d’une activité, mais elle relève de la déduction et non de la mesure. Les identifiants relevés concernent notamment Google, Facebook, Twitter/X, Coinbase, Binance, Blockchain.com et Crypto.com, soit le type de données qui alimente ensuite les places de revente d’accès.
Ce qui protège vraiment
Aucun correctif n’étant attendu, la réponse est organisationnelle. Les mesures ci-dessous agissent soit sur la durée d’exploitation d’une session volée, soit sur la détection.
- Réduire la durée de vie des sessions sur les outils sensibles. Un cookie volé ne vaut que tant qu’il reste valide, et une session de trente jours laisse trente jours d’exploitation.
- Savoir révoquer les sessions actives. La plupart des services professionnels proposent une déconnexion de tous les appareils : c’est le premier geste après une suspicion, avant même le changement de mot de passe.
- Surveiller les connexions depuis des localisations inhabituelles et les déplacements impossibles. C’est le signal résiduel que le déchiffrement à distance ne supprime pas.
- Fermer les sessions plutôt que fermer l’onglet, et vider les cookies à la fermeture du navigateur pour les usages sensibles.
- Séparer les usages : un navigateur ou un profil dédié à l’administration des sites et des outils métier, distinct de la navigation courante.
- Restreindre les extensions installées, en particulier celles qui manipulent des portefeuilles ou des identifiants.
Un mot sur la détection, puisque c’est le terrain sur lequel cette famille d’outils a pris l’avantage. Les signaux traditionnels ayant été supprimés par conception, il reste ceux que l’attaquant ne contrôle pas : une session active depuis deux pays à la fois, une modification de paramètres de sécurité non sollicitée, l’ajout d’une adresse de récupération inconnue, un accès à des documents sans rapport avec l’activité habituelle du compte. Ces éléments arrivent après la compromission, mais ils arrivent, et ce sont souvent les seuls disponibles. Les surveiller suppose d’activer les journaux de connexion sur les services professionnels utilisés, ce qui est presque toujours possible et rarement fait.
Une précision s’impose sur la remédiation. Si une compromission est suspectée, changer les mots de passe depuis la machine infectée ne sert à rien : les nouveaux identifiants sont captés aussitôt. La séquence utile consiste à isoler le poste, à révoquer les sessions depuis un appareil sain, puis à changer les mots de passe, et seulement ensuite à assainir ou réinstaller la machine. Le vol d’identifiants n’est jamais une fin en soi : il précède des tentatives de manipulation directe, selon le schéma décrit dans notre article sur l’ arnaque au faux conseiller bancaire.
Storm ne fonctionne que sous Windows. Cela ne met à l’abri ni les autres systèmes, qui disposent de leurs propres outils équivalents, ni les comptes eux-mêmes : une session volée sur un poste Windows ouvre les mêmes portes.
Ce qu’on nous demande le plus souvent.
La double authentification protège-t-elle contre Storm ?
Pas dans ce scénario. Elle sécurise l’ouverture de session, alors que Storm dérobe une session déjà ouverte via son cookie. Elle reste indispensable contre les autres modes d’attaque, notamment l’hameçonnage classique et le bourrage d’identifiants.
Un correctif est-il attendu ?
Non, et l’attendre serait une erreur. Storm n’exploite pas une vulnérabilité mais le fonctionnement normal des sessions authentifiées. Il n’y a rien à corriger côté éditeur : la réponse relève de la configuration, de la surveillance et de l’hygiène des accès.
Combien de victimes exactement ?
Le panneau observé contenait 1 715 entrées réparties sur plusieurs pays. Varonis précise ne pas pouvoir confirmer que toutes correspondent à des victimes réelles, certaines pouvant être des données de test, tout en jugeant l’activité cohérente avec des campagnes actives.
Quels navigateurs sont concernés ?
Les navigateurs fondés sur Chromium, dont Chrome et Edge, ainsi que ceux fondés sur Gecko, dont Firefox, Waterfox et Pale Moon. Cette couverture des deux familles côté serveur distingue Storm de plusieurs de ses concurrents. Le programme ne fonctionne que sous Windows.
Les antivirus le détectent-ils ?
La détection est rendue difficile par conception : le déchiffrement a lieu sur le serveur de l’attaquant et les opérations se déroulent en mémoire, ce qui supprime les signaux sur lesquels reposent habituellement les outils de protection des postes.
Que faire en cas de suspicion ?
Isoler la machine du réseau, puis révoquer les sessions actives depuis un appareil sain, changer ensuite les mots de passe, et enfin assainir ou réinstaller le poste. Changer ses identifiants depuis la machine infectée revient à les livrer directement.
- Varonis Threat Labs, rapport d’analyse du logiciel voleur Storm, publié le 1er avril 2026 sous la signature de Daniel Kelley, incluant la grille tarifaire, les indicateurs de compromission et la correspondance avec le référentiel MITRE ATT&CK.
- Travaux antérieurs de Varonis Threat Labs sur le vol de cookies de session Entra ID et sur l’interception de jetons de session par des kits d’hameçonnage.
- Documentation de Google relative à App-Bound Encryption, introduit dans Chrome 127 en juillet 2024.
- Couverture de la presse spécialisée en cybersécurité publiée en avril 2026 à la suite du rapport, pour les éléments de contexte marché.
WY-Créations conçoit des sites internet et construit des stratégies de visibilité pour les artisans, les TPE, les PME et les professions libérales depuis 2018. Cet article s’appuie sur le rapport public de l’équipe de recherche citée et distingue ses constats des déductions qui en ont été tirées ailleurs. Il ne constitue pas un audit de sécurité. Pour aller plus loin : les avis clients ou nous écrire.
Vos accès d’hébergement sont-ils cloisonnés ?
Les identifiants cPanel figurent explicitement dans les règles de tri de ce type d’outil. Un profil de navigateur dédié à l’administration change déjà beaucoup de choses.