Des criminels se cachent dans une application réelle et signée que votre antivirus ne remettra pas en question
La plupart des logiciels malveillants essaient de passer sous le radar de votre antivirus. Une campagne détaillée par Malwarebytes le 11 août fait quelque chose de plus habile : elle installe un programme qui n'est pas du tout un logiciel malveillant. Les pages de téléchargement usurpent des noms auxquels vous faites confiance, CNN, l'éditeur d'antivirus Avast, l'application multimédia Stremio, et le fichier qu'elles vous remettent est O&O Syspectr, un véritable outil de gestion à distance signé numériquement que les services informatiques utilisent pour gérer des ordinateurs à distance. Comme il s'agit d'un logiciel légitime et signé, l'antivirus le laisse passer tel quel.
Le piège tient à qui se trouve de l'autre côté. Les attaquants préenregistrent leurs propres comptes Syspectr, si bien que dès que leur copie atterrit sur votre PC, elle se relie discrètement à une console qu'ils contrôlent, leur offrant un accès de bureau à distance et une ligne de commande administrateur sur votre machine. À partir de là, ils peuvent lire vos fichiers, en installer d'autres, et surveiller ce que vous tapez. Les chercheurs suivent ce procédé toute l'année : une campagne distincte appelée SeasonalInvite, active depuis janvier, a détourné quatre outils de ce type, ConnectWise ScreenConnect, LogMeIn Resolve, Kaseya et O&O Syspectr, de la même manière, précisément parce qu'un installateur valablement signé franchit les contrôles conçus pour repérer les virus ordinaires.
La défense n'a pas changé, et c'est une habitude à conserver : procurez-vous les logiciels sur le site de l'éditeur lui-même, pas via un résultat de recherche, une publicité, ou un lien que quelqu'un vous a envoyé. Si vous n'êtes jamais parti à la recherche d'un outil de gestion à distance, vous n'avez aucune raison d'en installer un, et si un programme comme Syspectr apparaît inopinément sur votre PC, supprimez-le et changez vos mots de passe depuis une machine de confiance.
C'est exactement l'angle mort pour lequel Tendvane est conçu. Son contrôle Sécurité signale les programmes qui se sont installés discrètement ou qui se lancent au démarrage, y compris des outils légitimes mais inattendus comme celui-ci, et ses mises à jour d'applications passent par le gestionnaire de paquets propre à Windows (winget) plutôt que par les fausses pages de téléchargement sur lesquelles repose cette arnaque.