L’équipe de recherche et d’analyse mondiale (GReAT) de Kaspersky a détecté une campagne cybernétique en plusieurs étapes ciblant des utilisateurs particuliers et des organisations en dissimulant des logiciels malveillants jusque-là inconnus dans des fichiers torrent de films populaires, notamment le nouveau film The Odyssey. L’activité de la campagne a commencé à la mi-août 2026 et se poursuit toujours, selon l’entreprise.
Kaspersky a identifié des centaines de victimes en Russie, en Turquie, au Japon, au Kenya, en Ouganda et en Colombie, ainsi qu’en Espagne, aux Pays-Bas, en Belgique et en Allemagne. Les entités touchées comprenaient des organisations des secteurs des entreprises, de l’administration, des technologies de l’information, du conseil, de la vente au détail, des transports et de l’agriculture, ce qui étend la portée du risque au-delà des seuls utilisateurs particuliers de contenus de divertissement.
Comment la campagne fonctionne-t-elle ?
Les attaquants ont exploité le piratage de l’un des sites d’archives publiques utilisés pour stocker des fichiers torrent, puis y ont publié les fichiers malveillants afin d’atteindre les utilisateurs. L’infection commence par un outil de téléchargement capable de détecter les environnements de test isolés utilisés par les logiciels de sécurité pour analyser les fichiers suspects. Lorsqu’une analyse est détectée, l’outil peut prendre des mesures pour se dissimuler ou entraver l’enquête.
Après son activation sur l’appareil de la victime, le logiciel malveillant déploie des modules supplémentaires qui l’aident à maintenir sa présence après le redémarrage de l’appareil ou l’arrêt du processus malveillant. Il dispose également de capacités permettant de contourner le contrôle de compte d’utilisateur (UAC) de Windows, afin d’obtenir des privilèges d’administrateur sans afficher le message d’avertissement habituel, ce qui peut permettre aux attaquants d’accéder à distance à l’appareil.
Utilisation de Solana dans l’infrastructure de commande et de contrôle
La campagne s’appuie sur la blockchain Solana pour obtenir l’adresse du serveur de commande et de contrôle (C2). Cette méthode confère à l’infrastructure des attaquants une plus grande flexibilité et rend la neutralisation de la campagne plus difficile, par comparaison avec le recours à des serveurs pouvant être bloqués ou démantelés directement.
Pourquoi cette information est-elle importante ?
La campagne montre que les fichiers de divertissement diffusés par des sources non officielles peuvent devenir un point d’entrée vers des environnements d’entreprise, en particulier lorsque le logiciel malveillant combine la détection des environnements d’analyse, la persistance, l’escalade des privilèges et un mécanisme flexible d’accès aux serveurs de contrôle. Les mesures concrètes ne se limitent pas à empêcher le téléchargement de fichiers suspects ; les organisations doivent également encadrer l’utilisation de logiciels externes, surveiller les terminaux et enquêter sur les comportements inhabituels.
Kaspersky a recommandé de télécharger les fichiers depuis des sources officielles ou fiables, de ne pas désactiver les logiciels de sécurité et d’utiliser des solutions de sécurité efficaces. Pour les organisations, l’entreprise a appelé à mettre en place des politiques encadrant l’utilisation de logiciels externes et à tirer parti des capacités de protection des terminaux ainsi que de la détection et de la réponse étendues, en complément des renseignements sur les menaces et des services d’évaluation des intrusions et de réponse aux incidents en cas de manque d’expertise spécialisée.
Konstantin Isakov, expert en cybersécurité au sein de l’équipe GReAT de Kaspersky, a déclaré que la campagne combinait l’attrait des fichiers de films à une infrastructure technique avancée. L’entreprise a confirmé que ses solutions avaient détecté les logiciels utilisés, tandis que l’analyse technique complète est disponible sur Securelist.com. La source ne précise ni le nom de la famille de logiciels malveillants ni le nombre détaillé d’organisations touchées, des éléments qui nécessitent la consultation de l’analyse technique originale.