Un nouveau logiciel malveillant s’attaque aux utilisateurs de Google Chrome et de Microsoft Edge. Débusqué par les chercheurs de Cisco Talos le 22 juillet 2026, le virus s’intitule « msaRAT ». Ce « nouveau cheval de Troie d’accès à distance » est massivement utilisé par Chaos, un gang de pirates spécialisés dans les attaques par ransomware, pour arriver à ses fins.
La cyberattaque commence par une opération de phishing. Les pirates vont entrer en contact avec la cible, que ce soit par message, par mail ou encore par le biais d’un appel téléphonique. En manipulant l’internaute, ils vont se frayer un chemin jusqu’à son ordinateur, par exemple à l’aide d’un fichier piégé, d’un site trompeur ou encore d’une pièce jointe infectée.
À lire aussi : Google corrige 7 failles dans Chrome, dont une vulnérabilité découverte par OpenAI
Un mode pour développeurs détourné
Une fois sur l’ordinateur, les attaquants déposent un fichier d’installation sur le système. Baptisé update_ms.msi, il ressemble à une mise à jour Windows légitime. Lorsqu’il s’exécute, le fichier d’installation charge en toute discrétion le code de « msaRAT ». Le malware fait tout pour rester invisible. Il ne s’affiche jamais à l’écran et ne se connecte pas à Internet.
Dans l’ombre, le logiciel malveillant va vérifier si Chrome ou Edge est installé sur l’ordinateur qu’il vient d’infecter. Si c’est le cas, il démarre discrètement le navigateur dans son collimateur en arrière-plan, sans qu’aucune fenêtre n’apparaisse à l’écran. Le virus active ensuite le mode débogage, qui est initialement destiné aux développeurs. Le mode permet d’inspecter le fonctionnement interne du navigateur, de tester du code, ou d’automatiser certaines actions. Le virus s’en sert pour envoyer des instructions au navigateur, exactement comme le ferait un développeur.
Le malware peut ouvrir des onglets, naviguer vers des adresses web, ou encore lire et modifier le contenu affiché. Il ne tarde pas à injecter directement du code JavaScript malveillant à l’intérieur du navigateur. Désormais sous la coupe du virus, le navigateur entre en contact avec un service Cloudflare Workers, une plateforme cloud parfaitement légitime, ce qui lui permet de se lier avec l’infrastructure des cybercriminels
Pillage de données
Une fois relié, le malware reçoit des instructions de la part des commanditaires de l’attaque. Le virus va alors explorer le réseau et identifier la présence de données sensibles. Sans surprise, msaRAT va siphonner toutes les informations qu’il peut. Enfin, le maliciel va télécharger et installer un ransomware. Celui-ci chiffre alors les fichiers de la victime. Comme toujours, le gang Chaos mise sur une stratégie de double extorsion. Ils vont à la fois voler des fichiers et en chiffrer d’autres. Cette stratégie, de plus en plus répandue chez les cybercriminels, permet de maximiser les chances qu’une victime verse une rançon sans tarder. Comme le soulignent les chercheurs, l’opération ne s’éternise pas, de manière à limiter les risques de détection.
Les chercheurs précisent que la cyberattaque ne repose sur aucune faille de sécurité dans le code de Google Chrome ou de Microsoft Edge. De facto, il n’y a pas de correctifs à installer pour se protéger. Il faut surtout se méfier des prises de contact un peu suspectes, que ce soit par mail, par message ou par téléphone. En restant vigilant, il est possible d’entraver l’intrusion avant qu’il ne soit trop tard. La menace de Chaos plane surtout sur les grandes organisations. Les internautes lambda ne sont pas les principales cibles du groupe criminel.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
Source : Cisco Talos
