Comment repérer les faux sites de téléchargement de logiciels Windows ?

C'est le développeur de Wintoys, un outil populaire d'optimisation de Windows, qui a tiré la première sonnette d'alarme. En repérant un site frauduleux imitant sa propre page officielle, il a remonté la piste jusqu'à identifier 72 faux sites fonctionnant sur le même modèle, plusieurs d'entre eux utilisant des URL délibérément proches des vrais domaines qu'ils imitent. La cybersécurité firme Check Point Research a de son côté cartographié une opération plus large en détail le mois dernier, dont il n'est pas encore établi si elle est liée au même opérateur ou s'il s'agit de groupes distincts appliquant le même schéma.

L'opération en question est particulièrement sophistiquée. Dans un premier temps, les faux sites proposent de vrais liens de téléchargement légitimes, ce qui leur permet de gagner en crédibilité et en référencement. Une fois que le site a accumulé suffisamment de trafic et de confiance, les opérateurs remplacent discrètement les liens par des versions malveillantes.

Un système conçu pour tromper

Certains sites utilisent une couche JavaScript chargée via Amazon CloudFront, qui intercepte les clics sur le bouton de téléchargement et redirige l'utilisateur à travers un système de distribution de trafic. Ce système analyse la localisation, le type de navigateur et d'autres signaux pour décider si l'utilisateur recevra un fichier malveillant ou un vrai installeur légitime. Les domaines frauduleux sont souvent enregistrés au même propriétaire et font parfois référence à de vrais dépôts GitHub, rendant la détection encore plus difficile.

Parmi les applications imitées figurent des outils très répandus : PowerToys, CrystalDiskMark, EasyBCD, Lively Wallpaper, ainsi que des outils de sécurité et de recherche comme Ghidra, dnSpy ou SpiderFoot. Même les utilisateurs avertis ne sont donc pas à l'abri.

Trois familles de malwares ont été identifiées dans les fichiers distribués par ces sites. On retrouve ainsi SessionGate, un loader multi-étapes utilisé principalement pour installer des logiciels indésirables en silence. RemusStealer est un infostealer, conçu pour voler des identifiants et des mots de passe. AnimateClipper, lui, surveille le presse-papiers et remplace automatiquement les adresses de portefeuilles cryptographiques copiées par des adresses contrôlées par les attaquants.

Les données de VirusTotal montrent plus de 5 000 soumissions d'échantillons dans la seule partie publique de l'enquête. Les chercheurs estiment que le nombre réel d'infections est significativement plus élevé. Les premiers échantillons remontent à août 2025, ce qui signifie que l'opération était active depuis près d'un an avant d'être découverte.

La conclusion pratique est simple : pour télécharger un logiciel Windows, privilégiez toujours la page officielle du développeur ou des sources vérifiées. Méfiez-vous des résultats sponsorisés ou des sites dont l'URL ressemble de près à un domaine officiel sans l'être exactement. Un seul caractère de différence peut faire la différence entre un logiciel légitime et un malware.

Source : Reddit