RAPPEL de ce que font les nouvelles infections : On a un ex avec les Stealer par ex ;: viewtopic.php?p=544690#p544690
Des techniques plus sophistiquées et plus sournoises
Outre les évolutions concernant les types et familles de malwares, ce début d'année 2025 met en évidence des techniques d'infiltration plus discrètes, et donc plus efficaces dans la durée.
Des méthodes de plus en plus répandues, qui rendent les attaques quasiment indétectables, aussi bien pour les utilisateurs que pour les systèmes de sécurité.
Les malwares pour s'infiltrer essaient de contourner, neutraliser, modifier etc un tas de taches et processus dont de sécurité
Le soucis est aussi bien dans la détection que dans la réparation après désinsfection
Quelques méthodes de base
- La désactivation des journaux d'événements Windows pour couvrir toute trace de leur passage.
En privant de cette source d’information, les malwares s’assurent que les tentatives de connexions, les modifications de fichiers et les changements apportés au système ne seront pas conservés par l’OS.
- L'exécution de scripts PowerShell camouflés
Les AV ne voient rien ou alors bloquent une partie de l'infection, pendant qu'un script Powershell reste actif par ex en tant que tache programmée
En effet, pour exécuter des commandes malveillantes, rien de tel qu’un accès à PowerShell.
Initialement conçu pour automatiser des tâches système, l’outil est ici détourné par les cybercriminels pour lancer des scripts malveillants à distance. Grâce à des techniques d’obfuscation, ces scripts passent facilement sous les radars de sécurité. Et comme PowerShell est intégré nativement à Windows, les systèmes le reconnaissent comme légitime (Normal, et EN PLUS ils ne savent pas si c'est l'utilisateur qui a mis en place un script ou pas) , rendant son usage particulièrement furtif et efficace.
- Le terminal Windows se présente, lui aussi, comme un environnement d’attaque privilégié pour les hackers puisqu’il leur permet d’automatiser des actions malveillantes en ligne de commande.
En lançant des scripts qui semblent se fondre dans les opérations système normales, ils manipulent des configurations, téléchargent des payloads ou déploient d'autres malwares, sans que personne s'en rende compte.
Là encore, les méthodes d’obfuscation peuvent couvrir leurs activités frauduleuses.
Un détournement de fonctionnalité standard qui permet de faire passer des actions malicieuses pour des opérations système ordinaires.
Sur le forum, sur les PC infectés, on en voit régulièrement via des taches programmées qui vont lancer derrière un script powershell
- La technique du masquerading consiste à donner aux programmes malveillants des noms courants de logiciels grand public ou de processus système, comme « explorer.exe », pour brouiller les pistes.
En dissimulant leurs malwares derrière des dénominations familières, les hackers font passer leurs programmes malveillants pour des processus légitimes, qui échappent à la surveillance des utilisateurs et utilisatrices.
Cette stratégie caméléon permet aux activités frauduleuses de rester presque invisibles, même pour les systèmes de détection avancés.
Désactiver Defender ou les antivirus Tiers
Par ex on peut voir pour Defender un VirTool:Win32/DefenderTamperingRestore qui peut trainer en tant qu'information
Ce n'est pas un "virus"
C'est Defender qui indique que Defender n'est pas activé et... qu'il a été désactivé.
C'est subtil car à la base cela est le résultat d'un malware
En fait le stealer va tenter avec plus ou moins de succès de rendre inopérant Defender
Le fichier hosts peut aussi être rempli pour empêcher l'accès aux outils de désinfection, des anti virus
- Déjouer les analyses en retardant l'activation des malwares
Pour échapper aux environnements de test (une VM par ex) , ou sandboxes, les cybercriminels intègrent désormais des mesures de temporisations dans leurs malwares. En clair, ils retardent l'activation ou désactivent le code malveillant, jusqu’à ce qu’il sorte de l’environnement de test, ce qui permet au malware de passer inaperçu au cours des premières vérifications.
Cette " évasion temporelle" complique la tâche des outils de détection basés sur la simulation, alors que les analyses s’arrêtent avant le déclenchement réel de la charge utile.
- S'autodétruire
Une fois les données exportées, il peut s'autodétruire, mais il peut ramener avant un ransomware, ou crypteur de monnaies, et s'autodétuire ensuite ne laissant aucune trace de son passage
Par contre on retrouve des dysfonctionnements dans Windows, comme le fait de ne pas pouvoir réactiver Defender ou le panneau de sécurité de Windows, etc
Le soucis étant que MEME si l'antivirus ou un script FRST vire l'infection, les effets secondaires du malware peuvent rester en place, et ne sont pas réparés
On le cas de Defender par exemple
Dans ce tuto du site on trouve des scripts pour réinstaller les fichiers Sécurité Windows et Windows Defender
https://www.malekal.com/resoudre-window ... dows-vide/
Réparer le centre de sécurité
https://www.malekal.com/impossible-dema ... e-reparer/
Réparer les fichiers systèmes de Windows
https://www.malekal.com/reparer-les-fic ... e-windows/
Malheureusement vu que les malwares touchent au noyau, la seule solution pour réparer Defender passe au mieux souvent par une réparation sans perte de données... au mieux
Windows 10
https://www.malekal.com/reparer-windows ... e-donnees/
Windows 11
https://www.malekal.com/comment-reparer ... e-donnees/
Sinon plus globalement on peut utiliser WIndows Repair de chez Tweaking.com, dont je précise l'origine car il y a des arnaques, pour restaurer les fonctions disparues (mais pas Defender)
https://www.malekal.com/windows-repair-tutoriel/
Il en existe d'autres comme par ex :
Windows-Malware-Effects-Remediation-Tool
Celui ci va à l'essentiel sous une même interface et qui fonctionne de Windows 7 à Windows 11
Lien auteur : https://github.com/orangegrouptech/Wind ... ation-Tool
Points positifs
- Elévation des privilèges pour réparer
- Mode Dark (ce qui n'est que purement esthétique mais permet de mieux voir les fonctions)
Points négatifs
- Pas en Français
- Pas de "juste un scan" car celui ci répare automatiquement
- Ne s'occupe pas de Defender (Edit : Corrigé avec la nouvelle version)