Technologie
Microsoft : de faux installateurs de logiciels et de jeux piratés transforment les PC Windows en source de revenus pour des tiers
Microsoft Threat Intelligence décrit une campagne d’installateurs Inno Setup trojanisés qui ajoutent discrètement des logiciels proxyware, de calcul distribué et publicitaires sur les PC de personnes téléchargeant des logiciels crackés.
L’installateur d’un programme ou d’un jeu « piraté » peut faire bien plus que ce qu’il promet : transformer discrètement l’ordinateur de l’utilisateur en source de revenus pour des tiers. C’est ce que décrit Microsoft Threat Intelligence dans une analyse publiée le mardi 3 novembre 2026 sur son blog de sécurité, à propos d’une campagne évolutive de faux téléchargements. Il s’agit d’installateurs Inno Setup trojanisés (un outil très utilisé pour créer des installateurs Windows) qui embarquent des logiciels supplémentaires, appelés « offres », installés dans le même processus d’installation.
L’appât est classique : versions « crackées » de logiciels commerciaux, jeux gratuits, outils d’activation illégaux (activators), modules complémentaires et utilitaires non officiels. Microsoft a relevé comme exemples des plug-ins audio piratés, des jeux PC, des exécuteurs de scripts Roblox, des auto-clickers et des outils pour pilotes. Parmi les noms cités figurent Echo Client, le FabFilter Total Bundle, un crack de Navicat Premium et Command & Conquer: Red Alert 2. Les pages de téléchargement sont soignées, avec captures d’écran et boutons « Télécharger » répétés.
Le fonctionnement de l’installateur
Une fois le fichier lancé, l’installateur démarre un programme intermédiaire temporaire (runner) dans le dossier %TEMP%\is-*.tmp\, qui exécute des étapes numérotées portant des noms tels que eld0.exe, eld1.exe et eld4.exe, avec des paramètres en ligne de commande comme /SL5, /SPAWNWND et /FIRSTWND. Il contacte ensuite des serveurs qui changent constamment, selon une structure de requête fixe : d=inno et r=offer_execution, accompagnés d’identifiants de l’offre, de l’affilié de distribution, du réseau de téléchargement et de la position dans la file d’exécution. Si une offre échoue, la requête devient r=offer_execution_fail. Les offres réussissent ou échouent indépendamment les unes des autres : l’échec de la première n’implique donc pas l’arrêt de l’ensemble du paquet.
Microsoft a confirmé trois moyens de monétiser les appareils infectés. L’entreprise note que ces programmes peuvent avoir des usages légitimes, mais que leur installation silencieuse, sans consentement éclairé de l’utilisateur, crée des risques pour la sécurité et la vie privée. Le premier est WorldProxyPool, un logiciel qui fait transiter le trafic de tiers par l’ordinateur (proxyware). L’étape eld4.exe crée trois tâches planifiées avec les privilèges SYSTEM : l’une lance l’agent sdk-agent.exe au démarrage du système, une autre exécute un script de surveillance PowerShell caché toutes les cinq minutes, et la dernière met à jour le programme toutes les heures. La deuxième branche inscrit l’appareil dans une plateforme de calcul distribué, avec CharityEngine et BOINC, ainsi que VirtualBox 7.2.8. La troisième installe des applications auxiliaires aux caractéristiques de logiciels publicitaires, Advanced Windows Manager et Windows Manager.
Détections et recommandations
L’analyse recense également les détections associées. Microsoft Defender détecte la charge utile sous les noms Trojan:Win64/OfferLoader.DA!MTB et OfferLoader.DB!MTB, le comportement sous le nom Behavior:Win32/SuspInnoOffer.A!mapsi et, à l’étape de détournement de ressources, sous le nom Adware:Win32/Clover. Les techniques correspondent à sept entrées du cadre MITRE ATT&CK, dont l’exécution par l’utilisateur d’un fichier malveillant (T1204.002), la persistance via une tâche planifiée (T1053.005), le transfert d’outils entrant (T1105) et le détournement de ressources (T1496).
Pour ceux qui cherchent des traces, Microsoft publie des indicateurs de compromission (IOC). Les noms de domaine des serveurs recevant les rapports d’offres sont beliefdesk[.]xyz, companyharbor[.]xyz, signalpane[.]cfd, inkact[.]xyz et wishgrove[.]cfd, tandis que la requête de chasse avancée en comprend 15 au total. L’entreprise souligne que les noms de domaine changent rapidement et qu’un signal plus stable est la combinaison du motif d=inno, des dossiers temporaires et des noms d’étapes.
Les recommandations incluent d’éviter les sources de logiciels non fiables, les générateurs de clés et les outils d’activation, d’activer la protection dans le cloud et la protection contre les falsifications dans Defender, la protection basée sur la réputation et les règles de réduction de la surface d’attaque. Les administrateurs sont invités à vérifier les tâches planifiées avec privilèges SYSTEM et à rechercher les logiciels que les utilisateurs n’ont pas installés, tels que WorldProxyPool, CharityEngine, BOINC et VirtualBox. La même semaine, l’équipe a publié son rapport trimestriel sur les menaces d’hameçonnage.
