Un log. Toute l’entreprise.
ump — Un mot de passe pourri recent 2026-04-21 · Voir sur Substack ↗
Un attaquant n'a plus besoin de scanner ton infra. Les infostealers le font pour lui. Domaine → 47 identités → VPN → infra interne. Tout ça sans jamais toucher ton périmètre. https://unmotdepassepourri.substack.com/p/un-log-toute-lentreprise
1/ Les logs d'infostealers sont devenus la vraie phase de reconnaissance. Pas de scan. Pas de bruit. Juste des millions de credentials, cookies, URLs agrégés. Tapez un domaine → l'infra remonte toute seule.
2/ 47 identités corporate compromises. 83 machines analysées. VPN, SSO, M365. Pas besoin de phishing : le credential existe déjà. L'attaquant entre par la porte, avec un badge valide.
3/ Les URLs enregistrées dans les navigateurs révèlent tout : jenkins.intranet, grafana.ops, citrix.entreprise.fr. Des sous-domaines invisibles en DNS public. L'architecture interne se dessine sans un seul paquet réseau.
4/ Les credentials VPN dans un log = jackpot. Pas de CVE. Pas de mouvement latéral visible. L'attaquant se connecte comme un utilisateur légitime. Aucun SOC ne tique.
5/ Bonus : l'analyse statistique des mots de passe. Les patterns de réutilisation permettent de deviner les comptes admin. Entreprise2024! → Admin2024!. C'est systématique.
6/ Les infostealers cartographient mieux ton SI que ton CMDB. Shadow IT, outils DevOps, portails internes : tout ce que les gens utilisent vraiment, pas ce que la DSI croit contrôler.
7/ Bilan terrain : un domaine suffit. En 3 min, tu sais qui, où, avec quoi. Les EDR ne voient rien. Les VPN loguent une connexion normale. Le credential a 6 mois mais il marche encore.
8/ Article complet ici, avec la méthodo exacte et les outils OSINT qu'on utilise en mission : https://unmotdepassepourri.substack.com/p/un-log-toute-lentreprise
Un log d'infostealer sur un poste RH, c'est jenkins.intranet + grafana.ops + le VPN. En 2 min t'as l'archi interne complète. Pas un scan, pas un paquet. Juste les URLs que le gars a enregistrées dans Chrome.
Les infostealers cartographient mieux ton SI que ton CMDB. Shadow IT, portails internes, outils DevOps : tout ce que les gens utilisent vraiment, sans que la DSI le sache. C'est ça la vraie surface d'attaque.
Ton EDR détecte rien. Le VPN logue une connexion normale. Le credential a 6 mois mais marche encore. Les infostealers ont tué la phase de reconnaissance — et personne n'a adapté son modèle de détection.