De fausses téléchargements de logiciels utilisés pour diffuser ScreenConnect et AsyncRAT

Des chercheurs en sécurité ont identifié une vaste campagne de malwares dans laquelle des acteurs malveillants utilisent des techniques d’optimisation pour les moteurs de recherche (SEO) et de faux sites de logiciels pour diffuser ScreenConnect et finalement installer AsyncRAT sur des systèmes Windows.

Selon Kaspersky, l’opération s’étend sur plusieurs domaines et dans plusieurs langues, avec plus de 90 sites web malveillants identifiés dans au moins 10 langues, dont l’anglais, le russe, le chinois, l’allemand, le français, l’espagnol, le portugais et l’arabe. Certains domaines ont été enregistrés entre août 2025 et mars 2026.

Fonctionnement de la chaîne d’infection

Les faux sites usurpent l’identité d’outils populaires tels qu’OBS Studio, DNS Jumper, DS4Windows et Bandicam. Les victimes qui téléchargent les archives d’installation reçoivent un paquet contenant un binaire Microsoft légitime et signé, nommé install.exe, ainsi qu’une DLL malveillante, install.res.1033.dll. En exploitant le chargement latéral de DLL, les attaquants chargent la bibliothèque malveillante et l’utilisent pour déployer le service d’accès à distance ScreenConnect.

Une fois ScreenConnect actif, il exécute un script PowerShell qui ajoute des exclusions à Microsoft Defender, désactive les invites du contrôle de compte d’utilisateur et dépose les fichiers supplémentaires nécessaires à l’attaque. Un composant VBScript crée ensuite plusieurs fichiers dans C:\Users\Public, notamment msgbox.txt, secret_bytes.txt, 1.vb, cap.ps1 et script.vbs.

Ensuite, le malware met fin aux processus PowerShell existants et lance cap.ps1 dans une fenêtre masquée. Ce script extrait la charge utile AsyncRAT depuis secret_bytes.txt et utilise le creusement de processus pour l’exécuter.

Impact et persistance

Après son déploiement, le malware se connecte à un serveur de commande et de contrôle situé à l’adresse mora1987.work[.]gd, offrant aux opérateurs un accès furtif aux appareils compromis. Kaspersky indique que les intrus peuvent utiliser cet accès pour surveiller l’activité, capturer le contenu de l’écran et dérober des informations sensibles.

Pour rester présent sur les machines infectées, l’attaque crée une tâche planifiée nommée MasterPackager.Updater, qui s’exécute toutes les deux minutes et relance le composant VBScript, permettant ainsi au malware de survivre aux redémarrages.

• Les pages de téléchargement de faux logiciels sont mieux positionnées dans les résultats de recherche.
• La campagne utilise des binaires signés et le chargement latéral de DLL pour éveiller moins de soupçons.
• ScreenConnect sert de point d’ancrage initial avant l’exécution d’AsyncRAT.

Kaspersky indique que cette campagne montre comment la manipulation du référencement naturel et les outils d’accès à distance de confiance peuvent être combinés afin de faire paraître légitimes des téléchargements malveillants.