Une campagne de malware sophistiquée cible actuellement des utilisateurs peu méfiants, provoquant des dégâts sévères sur leur sécurité. Sous couvert de sites officiels, ces malwares désactivent Microsoft Defender et Windows Update. Le risque ? Une exposition critique à des attaques plus graves et une perte de contrôle sur les systèmes.
Les acteurs derrière cette vague sont identifiés comme le groupe Silver Fox, connus pour des actions particulièrement rusées. Ils jouent sur la crédulité en reproduisant fidèlement des portails de téléchargement de marques célèbres.
La contamination passe par un procédé d’une grande efficacité, défiant les méthodes classiques de détection.
Une tactique sournoise via de faux sites de téléchargement Windows
Le point de départ de cette attaque : des pages web clonées imitant des sites crédibles comme ceux de Razer, Kaspersky ou même Microsoft Edge. Hébergées principalement sur des domaines chinois en « .com.cn » ou « .hl.cn », elles utilisent un contenu en chinois pour convaincre l’internaute de cliquer.
Le bouton de téléchargement, parfaitement visible, cache en fait un piège. Un installeur malveillant se télécharge sous forme d’archive ZIP dont le contenu varie en permanence. Ce changement constant d’empreinte numérique empêche leur détection par signature classique.
Une véritable ruse d’ingénieur qui met en échec les outils automatisés de sécurité.
Un malware qui se camoufle au cœur du système Windows
Une fois lancé, le malware adopte deux principaux modes d’exécution : un « installateur-enveloppe » se déploie dans des chemins système aléatoires sous l’apparence d’un pilote légitime. Parallèlement, il utilise le service Windows Installer pour exécuter son code via un processus de confiance.
Ces deux méthodes rendent la détection complexe. De plus, le malware crée des tâches planifiées aux noms volontairement trompeurs comme “Deadline Mission Target” ou “Hierarchy Tools Smooth Inventory”. Ces processus malveillants relancent le malware toutes les 60 secondes, garantissant sa persistance.
Cette résilience démontre à quel point la sécurité doit s’appuyer sur des solutions dynamiques et une surveillance continue.
Neutralisation de Microsoft Defender et Windows Update : une double menace
Au cœur du problème, le malware s’attaque directement aux défenses du système. Il manipulate Microsoft Defender en ajoutant des exclusions de chemin étendues via PowerShell. La modification du registre est autorisée par une tâche planifiée créée avec les droits administrateurs les plus élevés.
Le système est ainsi livré sans protection à la prochaine attaque. Mais ce n’est pas tout : pour empêcher toute restauration, la commande vssadmin delete shadows supprime les copies cachées du système. Les utilisateurs se retrouvent sans fichier de sauvegarde accessible.
Enfin, il cible Windows Update en arrêtant et désactivant les services comme wuauserv ou UsoSvc, en renommant les DLL critiques et en effaçant le cache des mises à jour. Cette stratégie bloque le système dans un état vulnérable durable.
Les conséquences pour les entreprises et les utilisateurs à l’heure de la cyber-résilience
Cette attaque ne concerne pas uniquement des particuliers, mais aussi des organisations dans les secteurs de la santé, la fabrication ou la technologie. Nombre d’entre elles ont des opérations en Chine ou emploient des utilisateurs sinophones, rendant l’attaque particulièrement ciblée.
La désactivation de Microsoft Defender et Windows Update compromet gravement la résilience des infrastructures. Sans correctifs ni protection, le risque d’escalade des attaques est exponentiel. Sans mesures immédiates, ces systèmes tombent dans un cercle vicieux de vulnérabilités.
Dans un monde connecté, une architecture IT solide exige un monitoring rigoureux des processus de sécurité en temps réel.
Source: www.generation-nt.com
Commentaires
Laisser un commentaire