De faux installateurs de logiciels désactivent la mise à jour de Windows.

8 septembre 2026 | Blog

Auteure : Katie Boquetti | Éditeur : Craig Taylor

Éditorial de Craig Taylor :

Je me souviens des débuts de la recherche. Dogpile , Ask Jeeves , AltaVista , puis Google est arrivé et a tout bouleversé. Pendant des années, la recherche fonctionnait tout simplement. On tapait une question et on faisait confiance à la réponse qui apparaissait parmi les premiers résultats.

Ces derniers temps, cette confiance s'est érodée. Google affiche désormais trois, quatre, voire cinq publicités de vendeurs au-dessus des résultats de recherche, et je me surprends à ignorer tout ce bazar et à interroger directement mon assistant vocal préféré. Nostalgie ou pas, je regrette l'époque où l'on pouvait faire confiance au haut de la page de recherche Google.

L'article ci-dessous nous rappelle que les résultats de recherche Google souvent trompeurs ne sont pas forcément les pires. Les cybercriminels créent désormais de fausses pages de vendeurs, reproduisant à l'identique le logo et le bouton de téléchargement, afin d'installer des logiciels malveillants sur vos ordinateurs. La solution se décline en deux volets : l'un traditionnel, l'autre technique. Le premier est simple : ne vous fiez plus aux résultats de recherche, téléchargez vos logiciels directement depuis le site officiel du vendeur et remerciez vos collègues qui prennent la peine de demander conseil avant l'installation. Le second volet technique vous protège en cas de relâchement de vos bonnes habitudes. Limitez les droits d'administrateur sur les comptes de vos collaborateurs. Un compte utilisateur standard bloque la plupart de ces logiciels malveillants, car l'attaque nécessite des droits d'administrateur pour désactiver vos défenses et vos mises à jour. De bonnes habitudes permettent de limiter les clics à risque, et le principe du moindre privilège garantit qu'une erreur ne compromet pas l'ensemble du système.

Partagez cette astuce avec ceux qui tapent encore le nom d'une marque dans la barre de recherche et cliquent sur le premier résultat. Ils vous en seront reconnaissants.

Et n'oubliez pas : Riez. Apprenez. Et faites la fête !
Craig

Les liens malveillants en tête des résultats de recherche

Microsoft a publié une étude sur une campagne de logiciels malveillants active, au mode opératoire simple. Un utilisateur recherche un logiciel populaire, clique sur un résultat en haut de la page, arrive sur une page imitant parfaitement le site du fournisseur et télécharge un programme d'installation. Ce fichier s'exécute. Rien d'anormal ne semble se profiler à l'écran. En réalité, le programme d'installation désactive Windows Update, ajoute des exclusions à Microsoft Defender et établit une connexion avec l'attaquant. Conséquences désastreuses.

Il y a de bonnes nouvelles : la plupart des outils de sécurité détectent ces programmes d'installation avant leur exécution. Si l'un d'eux parvient à passer, un utilisateur standard sans droits d'administrateur peut bloquer la plupart de ses actions. Et si votre équipe sait où se procurer des logiciels légitimes, cette menace n'atteindra jamais vos postes de travail.

Comment fonctionnent les faux sites de téléchargement ?

Les pirates ont enregistré des noms de domaine proches de marques réelles, en utilisant des extensions de pays comme .com.cn et .hl.cn. Ils ont copié les pages des vendeurs jusqu'à la mise en page, le logo et le gros bouton vert de téléchargement. Parmi les marques usurpées figuraient des navigateurs web, des éditeurs PDF, des liseuses, des applications de cartographie mentale, des enregistreurs d'écran, des utilitaires de disque, des outils de traduction et du matériel de jeu.

Un détail rend le blocage plus difficile que d'habitude : le fichier ZIP téléchargé conserve le même nom à chaque fois, tandis que son contenu change à chaque requête. Chaque visiteur reçoit un fichier légèrement différent, ce qui empêche les outils de sécurité de rechercher une signature de fichier malveillant connue de trouver un élément de comparaison. La détection doit donc se concentrer sur le comportement du fichier après son installation.

Les victimes confirmées travaillent dans les secteurs de la santé, de l'industrie, du jeu vidéo, des technologies, de la logistique, de l'administration publique et de l'éducation. Microsoft établit un lien, avec un degré de certitude modéré, entre cette activité et un groupe connu sous le nom de Silver Fox, responsable depuis plusieurs années de la diffusion de fausses pages de téléchargement de fournisseurs.

Que se passe-t-il lorsqu'une personne clique sur « Exécuter » ?

Le programme d'installation effectue une série de modifications silencieuses sur l'ordinateur.

Il crée des tâches planifiées dont les noms correspondent aux tâches de maintenance informatique courantes, de sorte qu'un rapide coup d'œil au Planificateur de tâches ne révèle rien d'inhabituel.
Il exécute une tâche éphémère avec les droits SYSTEM et utilise PowerShell pour ajouter des exclusions Microsoft Defender à ses propres dossiers.
Cela supprime les copies de clichés instantanés de volumes, éliminant ainsi une méthode simple pour revenir à un état fonctionnel.
Il modifie les permissions des dossiers avec icacls, empêchant ainsi les utilisateurs standard de supprimer les fichiers malveillants.
Il arrête et désactive les services Windows Update, renomme les fichiers de mise à jour et efface le cache des mises à jour.
Il contacte ensuite les serveurs de l'attaquant via des ports réseau inhabituels.

Microsoft Defender a détecté l'activité et a lancé un confinement automatique ; l'objectif final de la campagne reste donc inconnu.

L'étape qui mérite votre attention

Désactiver Windows Update est la mesure la plus dommageable à long terme. Un ordinateur dont les mises à jour sont désactivées continue de fonctionner, d'ouvrir les e-mails et semble en parfait état de marche pour son utilisateur. Chaque nouveau correctif de sécurité contourne cette machine. Des semaines plus tard, ce même ordinateur reste vulnérable à des failles déjà corrigées sur tous les autres postes de travail de votre bureau.

Considérez les rapports de correctifs comme un signal d'alerte de sécurité, et non comme une simple tâche de maintenance informatique. Si une machine n'apparaît plus dans vos rapports de mises à jour, il est nécessaire d'y regarder de plus près.

Cinq étapes rapides pour agir en matière de défense

Chaque étape ci-dessous propose trois niveaux. Le niveau « Bon » vous permet de démarrer immédiatement à moindre coût, voire gratuitement. Le niveau « Meilleur » offre une protection renforcée avec un effort modéré. Le niveau « Excellent » vous offre la protection maximale, mais sa mise en place et son maintien nécessitent davantage de temps et d'argent.

Supprimer les droits d'administrateur local.
- BonSupprimez les droits d'administrateur local des comptes utilisés quotidiennement et attribuez au personnel informatique un compte administrateur dédié aux installations. Cette mesure ne nécessite qu'un changement de politique et neutralise la plupart des dommages décrits dans cet article, car le logiciel malveillant a besoin de droits d'administrateur ou de système pour désactiver Windows Defender et Windows Update.
- RapiditéAjoutez une élévation de privilèges basée sur l'approbation via votre outil RMM ou votre outil de point de terminaison, afin qu'un utilisateur demande une autorisation ponctuelle pour une installation légitime et que vous l'approuviez en quelques secondes.
- MieuxDéployez une gestion complète des privilèges sur tous les appareils, sans droits d'administrateur permanents. Cette version, la plus exigeante, nécessite une planification rigoureuse et un outil payant pour un fonctionnement optimal.
Contrôlez la provenance de vos logiciels.
- BonOrientez les utilisateurs vers la page officielle du fournisseur pour chaque outil et obtenez le logiciel directement auprès de la source, en évitant les moteurs de recherche où les faux sites font leurs preuves.
- RapiditéMettez en place un catalogue en libre-service comme Intune Company Portal, un catalogue de logiciels RMM ou Jamf sur Mac. Les utilisateurs installent les outils approuvés en un clic, sans avoir à consulter les résultats de recherche.
- MieuxOptez pour un déploiement entièrement géré, où le personnel n'installe rien lui-même et où toutes les applications sont distribuées par le service informatique. C'est la solution la plus transparente, mais aussi la plus coûteuse en termes de configuration et de personnel.
Contrôlez ce qui s'exécute sur vos ordinateurs.
- BonActivez le contrôle intelligent des applications sur Windows 11 et configurez Gatekeeper sur Mac pour n'autoriser que l'App Store et les développeurs identifiés. Ces deux outils sont fournis gratuitement avec le système d'exploitation et bloquent de nombreux programmes d'installation inconnus avant même leur ouverture.
- RapiditéEmpêcher les programmes de s'exécuter depuis les dossiers Téléchargements et les dossiers temporaires, un emplacement de lancement privilégié pour ces installateurs.
- MieuxMettez en place une liste blanche complète d'applications à l'aide d'outils comme WDAC ou AppLocker, afin que seuls les logiciels que vous approuvez puissent s'exécuter. Il s'agit du rempart le plus efficace contre les installateurs frauduleux, et sa mise en place et son paramétrage demandent du temps pour garantir la fiabilité de votre système.
Filtrez le Web au niveau du réseau.
- BonConfigurez vos appareils pour utiliser un service DNS de protection gratuit comme Quad9, qui bloque les domaines malveillants et les domaines similaires connus avant le début du téléchargement.
- RapiditéPassez à un service de filtrage avec blocage et signalement des nouveaux domaines enregistrés, qui repère les sites de type .com.cn que ces attaquants créent par centaines.
- MieuxMettez en place un filtrage DNS et Web complet sur l'ensemble des appareils du bureau et distants, avec des stratégies de groupe et une journalisation. Cette solution offre la couverture la plus étendue, mais elle engendre un coût par utilisateur et nécessite un paramétrage continu.
Protégez et surveillez vos défenses.
- BonActivez la protection contre les falsifications dans Microsoft Defender. Ce paramètre gratuit bloque les modifications indésirables de votre protection, notamment les dossiers d'exclusion que ce logiciel malveillant tente d'ajouter.
- RapiditéExaminez les rapports de correctifs chaque mois à l'aide d'un outil gratuit ou peu coûteux et effectuez un suivi des machines qui ne reçoivent plus de mises à jour, car une machine silencieuse signale souvent des mises à jour désactivées.
- MieuxAjoutez un service EDR ou MDR géré qui analyse le comportement plutôt que l'empreinte numérique des fichiers. C'est la solution la plus fiable lorsque chaque téléchargement correspond à un fichier unique. Cette méthode de détection est la plus performante, mais elle implique un coût mensuel et une configuration.

Commencez par un niveau « Bon » sur chaque ligne cette semaine. Vous terminerez la journée en meilleure sécurité qu'au début, et vous progresserez vers les niveaux « Meilleur » et « Excellent » à votre propre rythme.

Signes à vérifier sur une machine suspecte

Nouvelles tâches planifiées exécutées avec les droits SYSTEM et des noms de maintenance génériques.
Commandes PowerShell ajoutant des chemins d'exclusion Defender.
Les services Windows Update ont été arrêtés ou désactivés sans demande de modification.
Des appareils disparaissent de vos rapports de correctifs.
Trafic sortant sur des ports présentant des numéros inhabituellement élevés.

Si votre machine présente ces signes, une réinstallation complète est préférable à un simple nettoyage. Le logiciel malveillant supprime les copies de sauvegarde, verrouille ses propres dossiers et bloque les mises à jour ; un nettoyage partiel risque donc de laisser des problèmes persistants. Réinstallez le système, changez les mots de passe et poursuivez votre travail en toute sérénité.

Votre prochain petit pas

Choisissez une bonne action parmi les étapes ci-dessus et mettez-la en œuvre dès aujourd'hui. Informez votre équipe de cette attaque et expliquez-lui les mesures de protection que vous mettez en place. Demandez à chacun de retenir l'indice fiable, l'adresse web, et de vous consulter avant d'installer quoi que ce soit de nouveau. Ces bonnes actions ne prennent que quelques minutes, pas des après-midi, et chacune d'elles renforce la sécurité de votre organisation dès ce soir. Encouragez ces bonnes pratiques, valorisez les personnes qui vous consultent avant d'installer et continuez à promouvoir ces mesures.

Questions fréquentes

Comment repérer un faux site de téléchargement avant de cliquer ?

Examinez l'adresse web plutôt que le design de la page, car ce dernier est souvent une copie conforme. Les indicatifs pays inhabituels, les noms de marque composés et les sous-domaines inconnus sont des indices courants. La meilleure solution consiste à éviter de se fier à l'apparence. Téléchargez vos logiciels depuis une source fiable, comme un catalogue en libre-service ou le site officiel du fournisseur, afin d'éviter tout résultat frauduleux.

Pourquoi l'évolution de l'empreinte digitale d'un fichier est-elle importante ?

De nombreux outils de sécurité identifient les fichiers malveillants grâce à une valeur de hachage unique. Or, lorsqu'un serveur génère une nouvelle copie du logiciel malveillant à chaque téléchargement, chaque victime reçoit un fichier unique. C'est pourquoi le blocage basé sur le hachage ne s'impose jamais. La détection comportementale prend alors le pas sur la détection traditionnelle.

Quel est le risque lié à la désactivation du service Windows Update ?

Une seule faille de sécurité entraîne une vulnérabilité permanente. L'ordinateur semble fonctionner normalement, mais ne bénéficie d'aucune mise à jour ultérieure. Dans cet état, les machines offrent aux attaquants une porte d'entrée fiable, même des mois plus tard.

Microsoft Defender me protège-t-il ici ?

Partiellement. Defender a détecté et neutralisé cette campagne dans les cas étudiés par Microsoft. Le logiciel malveillant tente toujours d'ajouter ses propres dossiers d'exclusion en utilisant les droits SYSTEM ; la protection repose donc sur l'activation de la protection contre la falsification, la vérification des modifications apportées aux exclusions et l'utilisation par le personnel de droits d'administrateur limités.

Est-ce un problème qui concerne uniquement les entreprises opérant en Chine ?

L'impact constaté se concentre sur les opérations basées en Chine et les utilisateurs sinophones, car les fausses pages utilisent du contenu en chinois. La technique se propage facilement. Des campagnes de faux installateurs ciblant des marques anglophones apparaissent régulièrement, et le comportement post-installation est identique sur tous les ordinateurs Windows.

Qu’en est-il des employés qui installent des logiciels à domicile sur leur ordinateur portable professionnel ?

Même conseil, mais présenté avec plus de tact. Les utilisateurs installent des outils personnels sur leurs appareils professionnels pour être productifs. Proposez-leur un catalogue en libre-service pour installer les outils approuvés en un clic, une méthode simple pour demander des ajouts et un compte standard sans droits d'administrateur. Fini les détours hasardeux par les moteurs de recherche : un clic accidentel a beaucoup moins d'impact.

Sources:

Les nouvelles des hackers : De faux installateurs de logiciels désactivent Windows Update et affaiblissent Microsoft Defender.

Sécurisez votre entreprise avec CyberHoot dès aujourd'hui !

Inscrivez-vous maintenant!

Les derniers blogues :

Restez informé des dernières nouveautés Informations sur la sécurité

Découvrez et partagez les dernières tendances, conseils et meilleures pratiques en matière de cybersécurité, ainsi que les nouvelles menaces à surveiller.