Un téléchargement peut installer bien davantage que le logiciel recherché. Dans son rapport du 1er septembre 2026, Microsoft décrit des sites imitateurs qui distribuent des installateurs malveillants. Ses observations concernent principalement les opérations chinoises de multinationales et des utilisateurs sinophones.
Le même nom peut cacher un autre fichier
Les pages copient l’apparence d’éditeurs connus, mais leur bouton envoie vers l’infrastructure des attaquants. Certaines archives gardent le même nom alors que leur contenu et leur hachage, l’empreinte numérique du fichier, changent entre téléchargements.
L’ouverture de l’archive donne accès à un installateur. C’est son exécution qui lance le premier composant malveillant : extraire le fichier et l’exécuter sont deux étapes distinctes.
Des composants qui se relancent et affaiblissent les défenses
Microsoft décrit une persistance assurée par des tâches planifiées, qui relancent les composants. Le programme cherche aussi à modifier les exclusions de Microsoft Defender, les emplacements que l’antivirus ne doit pas analyser, et communique avec les attaquants.
Microsoft recommande de privilégier les sources de téléchargement fiables et d’activer les protections de navigation et contre l’altération des défenses. Pour les équipes informatiques, les tâches inhabituelles et les changements d’exclusions sont des comportements à surveiller ; le nom rassurant d’un fichier ne suffit pas à le reconnaître.
À retenir
Dans son rapport du 1er septembre 2026, Microsoft décrit des faux installateurs touchant surtout des opérations chinoises de multinationales et des utilisateurs sinophones. L’exécution de l’installateur lance le logiciel malveillant. Des tâches planifiées le relancent et les exclusions antivirus peuvent être modifiées. Microsoft recommande des sources fiables et la surveillance de ces comportements.
