Fin de l’année dernière, de nombreux sites web usurpant l’identité de projets open source ou d’utilitaires gratuits très populaires sont apparus sur Internet. Ces pages reprennent le nom, le logo et parfois les liens GitHub des logiciels légitimes. Avec cette tactique, ces faux sites peuvent berner les résultats de recherche de Google. Ils se hissent aisément en tête des résultats, ce qui peut porter à confusion pour les internautes. Les premières investigations, menées par les chercheurs de Fullstory, ne révèlent pas encore la présence de fichiers malveillants à ce stade.
À lire aussi : Ce malware utilise l’IA pour choisir les ordinateurs Windows qu’il va pirater
Plus de 70 sites dédiés à des outils Windows
En parallèle, le développeur du logiciel gratuit Wintoys, conçu pour configurer, optimiser, nettoyer, réparer et personnaliser son système Windows, découvre un site qui usurpe son identité. Le site prétend offrir documentation et téléchargement pour son application. En fouillant un peu, le développeur se rend compte qu’une seule entité a mis en ligne plus de 70 domaines analogues. Ces sites sont tous dédiés à des outils ou utilitaires Windows populaires comme PowerToys, CrystalDiskInfo, WinUtil ou encore CrystalDiskMark. Tout porte à croire qu’un mystérieux individu cherche à se faire une place de choix dans les résultats de recherche.
Lookalike Ghidra, dnSpy, and other download sites turned trusted clicks into TDS redirects. CPR found click hijacking, gated routing, and multiple malware families downstream — including an evasive, previously undocumented framework we call SessionGate.https://t.co/LyJMGPiEE2…
— Check Point Research (@_CPResearch_) June 3, 2026
À partir de décembre 2025, les chercheurs de Check Point découvrent une autre opération criminelle analogue sur la toile. Plus complexe, cette « opération à grande échelle » est véritablement malveillant, révèle une enquête approfondie de Check Point. Les différents sites s’enrichissent d’un système de redirection sophistiqué qui se déclenche au moment du clique sur un bouton de téléchargement. Ce système est taillé pour piéger les internautes. Lorsque vous passez la souris au-dessus sans cliquer, l’adresse d’un site légitime, souvent celle du vrai GitHub, s’affiche à l’écran. Si vous cliquez effectivement sur le bouton, vous serez redirigé sur une chaîne de sites contrôlés par les cybercriminels. Ce système trie les visiteurs et décide, selon des critères précis comme le pays ou le type d’appareil, s’ils reçoivent un contenu inoffensif ou un vrai logiciel malveillant.
« Ces sites sont bien conçus et ressemblent souvent, à première vue, à des portails de projets légitimes, parfois en renvoyant vers de véritables ressources officielles », explique Check Point.
Des virus distribués en France
L’infrastructure se met alors à distribuer massivement des malwares, en plus de logiciels truffés de publicités et de contenus sponsorisés. Parmi les principaux virus diffusés, on trouve Remus Stealer, un voleur de données, AnimateClipper, un malware spécialisé dans le vol de cryptomonnaies par le biais du presse-papiers, et SessionGate, un redoutable composant taillé pour ouvrir la porte à d’autres maliciels. Les virus sont massivement identifiés sur des ordinateurs situés en Turquie, Pologne, Brésil, Allemagne, en Russie, au Royaume-Uni et en France.
Quelques mois plus tard, Microsoft a débusqué une campagne malveillante analogue. Plus de 150 sites de téléchargement factices d’utilitaires PC connus, comme CrystalDiskInfo, HWMonitor, Display Driver Uninstaller, FurMark, K‑Lite Codec Pack ou PDFgear, sont identifiés par les équipes de l’éditeur. Les logiciels trafiqués cachent ScreenConnect, un outil de prise de contrôle à distance. Avec cet outil, les pirates installent de force des logiciels taillés pour miner des cryptomonnaies en exploitant la puissance de la carte graphique de l’ordinateur. Ces logiciels vont rapidement ruiner les performances de la machine.
À lire aussi : LG s’est servi d’une faille Windows pour installer de force un logiciel publicitaire sur des milliers de PC
De Google à ChatGPT
Tout porte à croire que différentes opérations malveillantes, reposant sur des sites factices, se sont multipliées au cours des derniers mois. Les équipes Microsoft Defender Experts et Microsoft Defender Security Research Team soulignent que les faux sites n’ont pas uniquement pris d’assaut les résultats de recherche Google. Ils se sont aussi progressivement infiltrés dans les réponses de chatbots d’IA. En demandant à l’IA comment télécharger certains utilitaires, les chercheurs ont reçu des liens pointant vers des sites de téléchargement contrôlés par des pirates. C’est très occupant, car la plupart des internautes accordent une confiance aveugle aux liens communiqués par ChatGPT, Gemini, Grok, Claude ou Perplexity.
Plus que jamais, on vous encourage à vous méfier des sites de téléchargement de logiciels, même si ceux-ci sont mis en avant sur Google ou par un chatbot. Avant de télécharger quoi que ce soit, assurez-vous d’être sur le site officiel du produit. Vérifiez attentivement l’adresse du site avant de cliquer, et n’agissez pas dans l’urgence. Avant d’ouvrir un fichier téléchargé, analysez-le avec l’antivirus installé sur votre PC. En cas de doute, ne l’exécutez pas.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
