Le lien de téléchargement dit Steam. Votre clic va ailleurs.
Survolez un lien et votre navigateur affiche la destination dans le coin inférieur de la fenêtre. Cette petite ligne de texte grise est l'un des rares signaux honnêtes qui restent sur une page web. Quarante et un sites ont trouvé le moyen de mentir avec.
Malwarebytes a publié les résultats mercredi. Les sites usurpent des choses que les gens recherchent réellement : Counter-Strike, GTA VI, Fallout, Roblox, PUBG, et, dans un registre plus terne, VLC, 7-Zip, Paint.NET, Avast, Acronis et Recuva. Vraies captures d'écran, vrai descriptif produit, et un bouton de téléchargement dont le lien sous-jacent pointe vers la véritable page du magasin Steam. Survolez-le, c'est Steam que vous voyez. Cliquez dessus, et du JavaScript sur la page intercepte le clic et vous redirige plutôt via un lien d'affiliation. Selon la formule de Malwarebytes : le lien que vous voyez n'est pas le lien que vous suivez.
Ce qui atterrit est un installateur de 73 Mo pour Download Studio, valablement signé par une société nommée Grand Media, TOV. Windows inspecte cette signature et ne trouve rien d'anormal, parce que rien n'est anormal avec elle. Une signature vous indique qui a signé un fichier ; elle ne dit rien sur le fait que ce fichier soit bien celui que vous cherchiez. Download Studio capture vos liens torrent et magnet et installe son propre outil de mise à jour automatique, et cet outil a des antécédents : en 2020, Avast l'a surpris en train de diffuser discrètement FakeMBAM, une porte dérobée déguisée en installateur de Malwarebytes, qui faisait tourner des mineurs de cryptomonnaie sur les PC atteints.
L'habitude qui déjoue tout cela est gratuite : tapez vous-même l'adresse de l'éditeur plutôt que de cliquer sur le premier résultat de recherche. Si quelque chose a déjà été téléchargé, faites un clic droit dessus, choisissez Propriétés et lisez l'onglet Détails, le vrai nom du programme s'y trouve, et ce n'est souvent pas celui de la page d'où vous veniez. Le contrôle de sécurité de Tendvane sert pour l'après coup, en signalant les logiciels qui se sont installés sans invitation claire, et ses mises à jour d'applications passent par winget plutôt que par la page de téléchargement servie par un moteur de recherche.