- Le domaine publicitaire de Google est devenu une couverture idéale pour une chaîne de diffusion de malware
- Le malware recrée de fausses pages d’entreprise en utilisant de vrais logos récupérés en ligne en temps réel
- Cinq étapes d’attaque s’exécutent presque entièrement en mémoire, en laissant très peu de traces
Des chercheurs en cybersécurité alertent sur une campagne de malware qui utilise l’infrastructure publicitaire de Google pour dissimuler des activités malveillantes.
Des travaux menés par Huntress montrent que l’opération commence par des emails de spam malveillants contenant des pièces jointes HTML conçues pour rediriger les utilisateurs vers une chaîne d’infection soigneusement structurée.
La campagne a retenu l’attention car le processus de redirection passe d’abord par ad.doubleclick.net, un domaine publicitaire et de suivi appartenant à Google, largement considéré comme fiable par les systèmes de sécurité.
La chaîne de malware se cache derrière une infrastructure de confiance
Cette méthode de routage est importante car de nombreuses passerelles de messagerie et systèmes de filtrage web ne considèrent presque jamais les domaines publicitaires de Google comme suspects ou potentiellement malveillants.
La pièce jointe elle-même contient presque aucun contenu exploitable, si ce n’est une redirection cachée qui oriente les victimes vers d’autres infrastructures contrôlées par les attaquants.
Une fois la page ouverte, l’opération se reconstruit dynamiquement à partir de données automatiquement extraites de l’adresse email du destinataire pendant l’exécution.
Si l’utilisateur télécharge l’archive jointe, la chaîne d’infection bascule rapidement d’une phase d’ingénierie sociale vers une exécution dissimulée de malware sous Windows.
Les fichiers téléchargés s’appuient sur JScript, PowerShell, le chargement .NET réflexif et des méthodes d’exécution en mémoire conçues pour réduire la détection.
Le malware évite de laisser des fichiers classiques sur le disque en exécutant plusieurs étapes directement en mémoire active.
La campagne paraît crédible car elle va plus loin en générant un habillage personnalisé, en récupérant automatiquement des logos d’entreprise depuis des sources en ligne.
Elle collecte aussi des informations de localisation et l’heure locale, ce qui rend les pages frauduleuses plus crédibles pour les destinataires.
Les chercheurs indiquent que le malware mise fortement sur la discrétion
Huntress a identifié une séquence en cinq étapes impliquant des redirections HTML, des chargeurs JScript, des scripts PowerShell, des composants .NET, puis le déploiement de charges utiles dissimulées.
Le malware vérifie la présence d’environnements de débogage, de systèmes sandbox et d’outils d’analyse forensique avant de poursuivre son exécution.
Si ces outils sont détectés, l’activité s’arrête immédiatement et peut forcer le redémarrage du système infecté sans message d’avertissement.
Le malware interfère aussi avec la surveillance de sécurité de Windows via des modifications au niveau des API natives, en affectant directement les systèmes de télémétrie AMSI et ETW.
Il cherche à se dissimuler en injectant du code malveillant dans des utilitaires légitimes signés par Microsoft, notamment InstallUtil.exe et MSBuild.exe.
Cette technique permet de faire passer des comportements malveillants au sein de processus Windows reconnus comme fiables par les systèmes de sécurité d’entreprise.
Une infrastructure de communication est également utilisée, basée sur des services DNS dynamiques et des ports réseau non standards capables de changer rapidement après la mise en place de contre-mesures.
Le malware collecte aussi des informations matérielles sur les systèmes infectés, notamment des identifiants de processeur, les antivirus installés, des données sur la carte mère et les cartes graphiques Nvidia et AMD.
L’ensemble de l’opération semble conçu pour maintenir un accès non autorisé sur le long terme, grâce à des mécanismes de persistance qui relancent les processus malveillants après chaque redémarrage ou arrêt du système.
Huntress n’a toutefois pas identifié avec certitude l’objectif final de l’opération. Sa structure suggère néanmoins une préparation à des intrusions à distance de grande ampleur.
