Attention, cette publicité Google diffuse un dangereux malware à la place de CPU-Z

Antoine Barsacq , le 10 novembre 2023

La publicité Google n’a encore une fois pas fait son travail. Pendant une longue journée, une recherche pour l’utilitaire CPU-Z ramenait en haut de page un lien sponsorisé qui redirigeait vers un clone du site Windowsreport, à partir duquel était distribué un dangereux malware.

Malware CPU-Z Google Ads publicité sponsorisé — © Envato

Une fois de plus, une publicité Google vous fait télécharger un malware. Ads aura mis du temps à réagir : pendant une journée complète, une recherche Google pour CPU-Z ramenait comme résultat un lien sponsorisé en haut de page. Le site derrière ce lien distribuait une version cheval de Troie de l’utilitaire. Après installation, cette fausse version de CPU-Z installait Redline, le même malware que diffusait cette fausse mise à jour de Chrome le mois dernier.

Comment ont procédé les pirates pour distribuer le malware Redline ?

La nouvelle campagne a été repérée par les analystes de l’antivirus Malwarebytes, qui était pourtant au dernières nouvelles en bas du classement des meilleurs antivirus pour Windows. Comme le note l’entreprise, la majorité des campagnes de malvertising diffusant des chevaux de Troie trompent généralement les victimes en répliquant des pages de confiance.

Image 1 : Attention, cette publicité Google diffuse un dangereux malware à la place de CPU-Z — ©Malwarebytes

Cette campagne de publicité malveillante n’y échappe pas. Le lien sponsorisé dans Google ramenait sur une clone du site d’actualités WindowsReport. Tout comme votre cher Tom’s Guide, ce site d’information légitime contient une logithèque qui distribue le logiciel CPU-Z.

CPU-Z est un utilitaire gratuit bien pratique. Il permet en un coup d’œil de connaître les différents composants d’un PC. Le logiciel, très populaire, peut également servir d’outil pour l’overclocking grâce à de nombreuses données, allant de la vitesse des ventilateurs à la fréquence d’horloge du processeur en passant par la tension.

En cliquant sur le bouton Télécharger, les victimes reçevaient alors un fichier d’installation de CPU-Z aux apparences légitimes. Signé numériquement, il échappe ainsi aux moyens de détection de Windows. En réalité, il contient un script PowerShell malveillant installant le chargeur de logiciels malveillants FakeBat. À son tour, celui-ci installait le malware Redline, qui vole des données sensibles.

En traçant l’origine de la campagne, les experts en cybersécurité de Malwarebytes ont découvert que cette campagne publicitaire a pour origine les mêmes pirates que ceux derrière une campagne malveillante pour une fausse version de Notepad++. Pendant plusieurs mois, cette publicité malveillante était passée sous les radars de Google, distribuant le malware Cobalt Strike.