En novembre 2022 Malekal titrait
LNK Malware : ce qu’il faut savoir
https://www.malekal.com/lnk-malware/
En février 2023 Malekal titrait
Trojan LNK, Trojan.VBS et Malware PowerShell : Exemple d’une campagne visant la France
https://www.malekal.com/trojan-lnk-malw ... nt-france/
-----------------------------------------------------------------
Nous sommes en mars 2025 et ;
Espionnage et cyberattaques : une faille des raccourcis Windows inquiète les experts
Il s'agit d'une vulnérabilité dans les raccourcis « .lnk » qui permet de déclencher le téléchargement de logiciels malveillants.
Tout en semblant pointer vers des fichiers ou des exécutables légitimes, ces raccourcis incluent discrètement des instructions supplémentaires pour récupérer ou décompresser et tenter d’exécuter des charges utiles malveillantes.
Cette faille de Windows est exploitée par 11 gangs de pirates depuis 2017
Une faille âgée de 8 ans et toujours exploitée
Cette faille a été découverte par Trend Micro en 2024 et a été signalée à Microsoft en septembre 2024. Trend Micro affirme que le problème est connu des pirates et qu’il est exploité depuis au moins 2017.
Au moins 1 000 de ces liens ont été trouvé dans la nature. Tous contiennent des mégaoctets de caractères d’espaces pour tenter de tromper les antivirus et la vigilance des utilisateurs.
Microsoft n’a pas donné suite aux informations fournies.
Trend Micro a déclaré qu’il avait décidé de rendre publiques ce dossier en raison de l’inactivité de Microsoft.
En effet, en dépit des preuves d’exploitation avancées par les experts, Microsoft hésite encore à déployer un correctif.
Selon les chercheurs, la menace « pose un risque important pour la confidentialité, l’intégrité et la disponibilité des données conservées par les gouvernements, les infrastructures critiques et les organisations privées à l’échelle mondiale ».
Microsoft est généralement réactif lors de la découverte d’une faille de sécurité car des centaines de millions d’appareils Windows sont concernés. Parfois, cependant la position du géant interpelle concernant des vulnérabilités spécifiques.
Justin Childs, responsable de la sensibilisation aux menaces au sein de la Zero Day Initiative, a expliqué à The Register
Un porte-parole de Microsoft a fait écho à cette déclaration en précisantC’est l’un des nombreux bugs utilisés par les attaquants, mais c’est un bug qui n’est pas corrigé et c’est pourquoi nous l’avons signalé comme un zero day. Nous l’avons dit à Microsoft, mais ils considèrent qu’il s’agit d’un problème d’interface utilisateur, et non d’un problème de sécurité. Il ne répond donc pas à leurs critères de maintenance en tant que mise à jour de sécurité
Bien que l’expérience de l’interface utilisateur décrite dans le rapport ne réponde pas à la barre d’une maintenance immédiate selon nos directives de classification de gravité, nous envisagerons de la résoudre dans une future version de fonctionnalité.
Un exemple concret sur le forum ou la personne abusant de cracks ne pouvait être qu'infectée vu son comportement
Pourtant elle n'était pas une cible privilégiée (à priori) de la Corée du Nord, de l'Iran, ....
viewtopic.php?t=72230
Exemple d'exploitation
Les experts considèrent la brèche comme une faille de type zero-day.
En clair, la vulnérabilité a été exploitée dans le cadre de cyberattaques avant sa divulgation.
détaille Trend Micro dans son rapport.« L’interaction de l’utilisateur est nécessaire pour exploiter cette vulnérabilité en ce sens que la cible doit visiter une page malveillante ou ouvrir un fichier malveillant »,
La faille a été surtout été utilisée par des gangs financés par des gouvernements, comme la Corée du Nord, l’Iran, la Russie et la Chine. Ces nations sont connues pour mener des opérations d’espionnage à grande échelle.
Dans la plupart des offensives, la vulnérabilité a permis d’installer des virus sur les machines visées, tels que Ursnif, Gh0st RAT et Trickbot.
Prés de 70 % des attaques visaient à dérober des données personnelles.
Seules 20 % des offensives avaient pour objectif de récolter de l’argent.
Trend Micro indique avoir trouvé près d’un millier de preuves que la faille a été exploitée, mais « il est probable que le nombre total de tentatives d’exploitation soit beaucoup plus élevé ». L’essentiel des tentatives d’exploitation vient de la Corée du Nord.
Les attaques visent surtout les entreprises gouvernementales, financières et de télécommunications.
Sources
https://www.theregister.com/2025/03/18/ ... rend_flaw/
https://www.bleepingcomputer.com/news/s ... ince-2017/
https://www.trendmicro.com/en_us/resear ... ploit.html