Des hackers utilisent de faux fichiers JPEG pour installer un malware
Des chercheurs ont repéré une campagne où un faux fichier JPEG cache en réalité un script PowerShell capable d’installer un malware basé sur une version trojanisée de ScreenConnect.
Des hackers utilisent de faux fichiers JPEG pour installer un malware
Des chercheurs de Cyfirma ont publié une analyse d’une campagne baptisée “Operation SilentCanvas”, où des attaquants utilisent de faux fichiers JPEG pour infecter des machines Windows.
Le principe est assez vicieux : le fichier porte une extension .jpeg, mais ce n’est pas une vraie image. À l’intérieur, on retrouve du PowerShell capable de télécharger et lancer une version trojanisée de ScreenConnect, un outil d’accès distant légitime souvent utilisé en entreprise.
Le point important
Techniquement, Windows n’exécute pas “magiquement une image JPEG”. Le fichier est surtout déguisé pour tromper l’utilisateur et contourner certains contrôles trop basiques.La chaîne d’infection utilise ensuite plusieurs techniques pour rester discrète :
- exécution en mémoire
- bypass UAC
- persistance Windows
- compilation locale via csc.exe
- contrôle distant caché
Bref, encore un rappel qu’une extension de fichier ne veut pas forcément dire grand-chose. Un “.jpeg” téléchargé depuis une source douteuse peut très bien ne pas être une image du tout.
Sources
Article Cyber Security NewsArticle TechRadar