Ces fausses mises à jour Zoom et Adobe ouvrent un accès permanent aux PC comme aux Mac
Une campagne de piratage active exploite la confiance accordée aux mises à jour logicielles. Les pirates se font passer pour Zoom ou Adobe afin de faire installer un programme d’accès à distance. Les ordinateurs sous Windows comme les Mac figurent parmi les victimes déjà repérées.
Les pirates informatiques misent de plus en plus sur la confiance accordée aux logiciels connus. Plutôt que de créer un virus de toutes pièces, ils détournent des programmes légitimes déjà reconnus par les antivirus. Cette année, le gestionnaire de téléchargements JDownloader a distribué un cheval de Troie depuis son propre site officiel. Les outils de dépannage à distance sont devenus une cible privilégiée, car ils offrent un contrôle total sans éveiller les soupçons.
Une nouvelle campagne pousse cette logique plus loin en s’appuyant sur de fausses alertes de mise à jour. Les pirates imitent les notifications de Zoom, un outil de visioconférence très répandu en entreprise. Ils diffusent aussi de faux documents de travail et de faux utilitaires de maintenance. Une faille zero-day d’Adobe Acrobat et Reader exposait déjà les données de ses utilisateurs au printemps.
Les fausses mises à jour Zoom et Adobe installent le logiciel de dépannage ScreenConnect
La campagne SMOKE#SCREEN a été mise au jour par Securonix Threat Research, qui la suit depuis plusieurs semaines. Les victimes qui ouvrent le faux installeur Zoom ou Adobe déclenchent l’installation silencieuse de ConnectWise ScreenConnect. Ce logiciel de gestion à distance est parfaitement légitime et signé par son éditeur. Cette signature lui permet de passer sous les radars des antivirus. Une fois en place, il contacte l’un des trois serveurs relais contrôlés par les attaquants. Ces derniers disposent alors d’un accès complet à la machine. Leur connexion ressemble à une intervention informatique ordinaire.
Le mode opératoire de SMOKE#SCREEN change régulièrement. Les premières versions cherchaient surtout à masquer l’activité, les suivantes tentaient de désactiver les protections de Windows. Les opérateurs ont ensuite adopté une méthode plus discrète. Un délai volontaire sépare désormais l’installation du démarrage du service, pour tromper les logiciels de sécurité. Les fichiers menant à ScreenConnect transitent par Dropbox et Cloudflare, deux services de confiance difficiles à bloquer. La meilleure protection reste de refuser toute mise à jour reçue par courriel et de passer uniquement par les sites officiels.
