Faux installateurs Windows : votre PC peut servir de proxy ou de machine de calcul
Microsoft décrit des téléchargements piégés qui ajoutent plusieurs logiciels sans consentement éclairé. Un premier blocage ne suffit pas à écarter tout le lot.
Accessible
Image générée · SecuFocus
En bref
L’essentiel
Un jeu gratuit, un activateur ou un plugin piraté peut installer bien autre chose que le programme attendu. Microsoft décrit le 3 novembre une campagne de faux installateurs Windows qui ajoute des logiciels pour utiliser la connexion du PC comme relais, exploiter sa capacité de calcul ou distribuer des utilitaires indésirables. Après un téléchargement suspect exécuté, examinez l’ensemble des installations et des tâches créées : le blocage d’un premier composant ne prouve pas que les suivants ont échoué.
Plusieurs charges dans une seule installation
Les leurres observés par Microsoft imitent notamment des jeux, des plugins audio, des activateurs et des outils non officiels. L’utilisateur lance le fichier. L’enveloppe de type Inno Setup démarre ensuite des étapes temporaires et peut installer plusieurs composants en mode silencieux.
Le système suit séparément chaque « offre », le nom qu’il donne aux charges distribuées. Une offre peut échouer pendant qu’une autre s’installe. Le message signalant qu’un fichier a été bloqué n’est donc pas un bilan de toute la session. Inno Setup est un installateur légitime ; son utilisation seule n’identifie pas cette campagne.
La connexion et le processeur deviennent des ressources revendues
Microsoft confirme une branche WorldProxyPool qui installe un agent de relais réseau et des tâches planifiées exécutées avec le compte SYSTEM. Dans la chaîne étudiée, elles lancent l’agent au démarrage, un mécanisme de surveillance toutes les cinq minutes et un programme de mise à jour chaque heure.
Une autre branche installe CharityEngine et BOINC pour du calcul distribué, avec des composants associés. Une troisième ajoute AW Manager ou Windows Manager. Ces noms ne suffisent pas à déclarer un poste compromis : certains de ces logiciels ont des usages légitimes. Le problème documenté est leur installation trompeuse, sans connaissance ni consentement éclairé de l’utilisateur.
Après un lancement suspect, vérifier plus que le fichier téléchargé
Microsoft recommande d’éviter les sources non fiables, d’activer les protections contre les applications potentiellement indésirables et de contrôler les installations inattendues. Les protections de réputation, du cloud et contre les modifications non autorisées de Defender font aussi partie de ses recommandations. Elles réduisent l’exposition ; elles ne constituent pas un certificat d’absence d’infection.
Si vous avez exécuté l’un de ces fichiers, notez son origine et l’heure approximative, puis faites examiner les alertes, les programmes ajoutés et les nouvelles tâches planifiées. Ne supprimez pas BOINC ou VirtualBox uniquement parce que leur nom figure dans cette recherche : rapprochez-les d’une installation non voulue et de la chaîne décrite. Sur un poste professionnel, passez par le support plutôt que d’effacer les traces.
- Reprendre les téléchargements depuis l’éditeur ou un canal de distribution vérifié, sans désactiver une protection pour terminer l’installation.
- Contrôler les applications et tâches apparues autour du lancement suspect, pas seulement le premier fichier bloqué.
- Faire examiner les éléments concordants avec les indicateurs publiés par Microsoft ; un nom de fichier ou de domaine isolé reste une piste.
Vérifier, approfondir
Les sources de cet article
Les numéros relient chaque référence aux passages qui l’utilisent. La date indique quand la documentation a été consultée.
Cet article s’appuie sur les sources ci-dessus. Les exercices proposés sont à réaliser sur vos appareils ; SecuFocus ne les présente pas comme des essais menés par la rédaction. Les interfaces et les fonctions peuvent changer. Méthode et corrections.
Citer cet article
Pour retrouver cette lecture ou la partager avec sa référence.