Des dizaines de sites frauduleux diffusent des clones vérolés de logiciels Windows populaires
Une opération inédite de cybercriminels vient d'être mise au jour : plus de 70 sites usurpent l'identité d'applis Windows très populaires pour piéger les utilisateurs qui les téléchargent avec des versions infectées par des logiciels malveillants.
C'est une cyberescroquerie peu ordinaire, et même inédite qui vient d'être dévoilée. Comme l'explique le site spécialisé Windows Latest, la découverte est venue d'un développeur indépendant, pas d'un service de renseignement ou d'une grande entreprise de cybersécurité. Bogdan_X, l'auteur de Wintoys, un utilitaire de personnalisation de Windows très populaire, a remarqué sur Reddit qu'un site dont il n'était pas à l'origine utilisait le nom et le logo de son application.
Le domaine wintoys.app présentait des informations inexactes sur son logiciel, avec une mise en page soignée destinée à convaincre n'importe quel visiteur d'avoir affaire à la page officielle. En tentant de remonter jusqu'au propriétaire du domaine, il a découvert que l'adresse email associée à son enregistrement était liée à plus de 70 autres sites, tous construits selon le même modèle.
Faux sites d'applis Windows : une opération inédite
Ce réseau de sites coordonnés usurpe l'identité de dizaines d'applications Windows populaires, créant une menace inhabituelle et particulièrement patiente pour les utilisateurs qui cherchent sur le web des utilitaires courants. Parmi les applications imitées figurent Wintoys, PowerToys – l'outil officiel de Microsoft lui-même –, CrystalDiskMark, WinUtil, EasyBCD, FreeFileSync, Lively Wallpaper, SpaceSniffer, HashCat et bien d'autres. Ces faux sites apparaissent dans la plupart des cas au-dessus des vraies pages des projets dans les résultats Google – ce qui en fait un piège d'autant plus efficace que l'internaute qui cherche à télécharger un logiciel fait naturellement confiance aux premiers résultats.
La liste des 72 domaines identifiés comprend notamment wintoys.app, powertoys.app, crystaldiskmark.net, winutil.app, freefilesync.net, spacesniffer.app, quickassistapp.com, hashcat.app et christitustool.com. Plusieurs de ces domaines sont encore en construction au moment de la découverte, ce qui indique que l'opération vient de démarrer et continue de s'étendre.
Voici la liste établie par Neowin, rangée par ordre alphabétique pour une meilleure lisibilité :
- 10mintimer.com
- arduinodroid.com
- beardlib.com
- bepisdb.com
- chatmate.info
- christitustool.com
- crystaldiskinfo.app
- crystaldiskmark.net
- cursorslibrary.com
- cxxdroid.com
- daijisho.app
- darktable.app
- droidkit.pro
- dshidmini.app
- easybcd.app
- fakeflashtest.com
- findoutdate.com
- freefilesync.net
- freeminutetimer.com
- freewheelofnames.com
- furfsky.com
- gliden64.com
- guiformat.app
- hakchi2.com
- hashcat.app
- hddsentinel.com
- hifiasm.com
- iso2god.com
- je2be.com
- kalkulyator.com
- lax1dude.com
- liveclockwithseconds.com
- lspconfig.com
- mimalloc.com
- moliyachi.com
- mongosh.com
- mouse-clicker.com
- mouse-cursors.com
- mouse-mover.com
- mousecape.app
- mousecape.net
- move-mouse.com
- movemouse.net
- mumuplayer.app
- nircmd.net
- noisium.com
- notatnikonline.com
- ocrmypdf.com
- power-toys.com
- powertoys.app
- productkeyscanner.com
- pwndbg.com
- pyjwt.com
- quickassistapp.com
- retraitedz.com
- rezygisk.com
- sageattention.com
- searchmyfiles.com
- shellmenuview.com
- showmore.app
- simplestickynotes.app
- skse64.com
- spacesniffer.app
- themouseclicker.com
- urlaubscountdown.com
- usblogview.com
- wiblr.com
- winexp.app
- wintoys.app
- winutil.app
- wushowhide.com
- zhpcleaner.com
Faux sites d'applis Windows : un piège en deux temps
Ce qui rend cette campagne particulièrement insidieuse, c'est sa logique de construction progressive. Le danger immédiat n'est pas nécessairement que chaque faux site distribue déjà un logiciel malveillant aujourd'hui – c'est que ces sites sont construits pour paraître légitimes, attirer du trafic via Google et établir la confiance avant que leurs opérateurs décident de transformer un bouton de téléchargement en vecteur d'infection.
Au moment de la découverte, certains sites redirigeaient même vers le vrai Microsoft Store – une précaution astucieuse pour éviter les poursuites judiciaires, et surtout pour renforcer la crédibilité du site aux yeux des visiteurs. Une petite mention en bas de page indiquait bien "Not affiliated with" suivi du nom du logiciel, mais rédigée en anglais en tout petits caractères, elle passe inaperçue pour la quasi-totalité des visiteurs.
Certaines applications de cette liste ont déjà vu leurs faux sites confirmés comme distributeurs actifs de logiciels malveillants. Ils pourraient distribuer un programme d'installation corrompu qui installe silencieusement un service d'accès à distance sur le PC de la victime – ouvrant ainsi une porte dérobée que les pirates peuvent utiliser à leur guise : vol de données, espionnage, rançongiciel, voire revente de l'accès à d'autres groupes criminels.
Lorsque Bogdan_X a signalé le domaine wintoys.app à Cloudflare, le service de protection réseau a réagi rapidement en affichant une alerte "Suspected Phishing" dès la visite du site. Cette alerte est apparue en moins d'une heure après le signalement. Mais le formulaire d'abus de Cloudflare n'accepte qu'un seul domaine par signalement – et malgré l'énumération des 72 domaines dans sa soumission, les 71 autres sont restés sans protection.
Les 72 domaines originaux ont depuis été ajoutés à la liste de blocage DNS Hagezi, une liste de filtrage publique utilisée par des millions de personnes, qui bloquera désormais automatiquement ces sites pour tous ceux qui l'utilisent. Mais cette protection reste partielle : elle ne concerne que les utilisateurs ayant configuré ce filtre, et les pirates peuvent créer de nouveaux domaines plus rapidement que la communauté ne peut les recenser.
Le fait que les domaines aient été enregistrés via Epik Inc., qui inclut systématiquement la protection WHOIS dans tous ses enregistrements, complique encore les recherches. Lorsque Bogdan_X a signalé les domaines à l'hébergeur, celui-ci a bien mis fin aux services du fraudeur – mais ce dernier a simplement migré vers un autre hébergeur. La résistance de cette infrastructure aux tentatives de neutralisation est caractéristique des opérations menées par des groupes organisés.
Faux sites d'applis Windows : comment se protéger concrètement
La règle d'or est simple à formuler, mais souvent oubliée dans la pratique : ne téléchargez les applications Windows que depuis le site officiel du développeur, sa page GitHub ou le Microsoft Store, jamais depuis un résultat de recherche Google, aussi convaincant soit-il.
Quelques réflexes complémentaires méritent d'être adoptés systématiquement. Vérifiez toujours l'URL exacte avant de cliquer sur un lien de téléchargement – une lettre différente, une extension inhabituelle (.app au lieu de .com, .net au lieu du domaine officiel) doit alerter immédiatement. Si un navigateur ou un service comme Cloudflare affiche un avertissement, ne passez jamais outre. Et si vous avez récemment téléchargé l'un des logiciels concernés depuis un site dont vous n'êtes plus certain de la légitimité, un passage par un antivirus à jour s'impose sans délai.