Une opération inédite de cybercriminels vient d’être mise au jour : plus de 70 sites usurpent l’identité d’applis Windows très populaires pour piéger les utilisateurs qui les téléchargent avec des versions infectées par des logiciels malveillants.

Je m’abonne aux Infos à ne pas rater

C’est une cyberescroquerie peu ordinaire, et même inédite qui vient d’être dévoilée. Comme l’explique le site spécialisé Windows Latest, la découverte est venue d’un développeur indépendant, pas d’un service de renseignement ou d’une grande entreprise de cybersécurité. Bogdan_X, l’auteur de Wintoys, un utilitaire de personnalisation de Windows très populaire, a remarqué sur Reddit qu’un site dont il n’était pas à l’origine utilisait le nom et le logo de son application.

Le domaine wintoys.app présentait des informations inexactes sur son logiciel, avec une mise en page soignée destinée à convaincre n’importe quel visiteur d’avoir affaire à la page officielle. En tentant de remonter jusqu’au propriétaire du domaine, il a découvert que l’adresse email associée à son enregistrement était liée à plus de 70 autres sites, tous construits selon le même modèle.

Faux sites d’applis Windows : une opération inédite

Ce réseau de sites coordonnés usurpe l’identité de dizaines d’applications Windows populaires, créant une menace inhabituelle et particulièrement patiente pour les utilisateurs qui cherchent sur le web des utilitaires courants. Parmi les applications imitées figurent Wintoys, PowerToys – l’outil officiel de Microsoft lui-même –, CrystalDiskMark, WinUtil, EasyBCD, FreeFileSync, Lively Wallpaper, SpaceSniffer, HashCat et bien d’autres. Ces faux sites apparaissent dans la plupart des cas au-dessus des vraies pages des projets dans les résultats Google – ce qui en fait un piège d’autant plus efficace que l’internaute qui cherche à télécharger un logiciel fait naturellement confiance aux premiers résultats.

© u/Bogdan_X via Reddit

La liste des 72 domaines identifiés comprend notamment wintoys.app, powertoys.app, crystaldiskmark.net, winutil.app, freefilesync.net, spacesniffer.app, quickassistapp.com, hashcat.app et christitustool.com. Plusieurs de ces domaines sont encore en construction au moment de la découverte, ce qui indique que l’opération vient de démarrer et continue de s’étendre.

Voici la liste établie par Neowin, rangée par ordre alphabétique pour une meilleure lisibilité :

10mintimer.com
arduinodroid.com
beardlib.com
bepisdb.com
chatmate.info
christitustool.com
crystaldiskinfo.app
crystaldiskmark.net
cursorslibrary.com
cxxdroid.com
daijisho.app
darktable.app
droidkit.pro
dshidmini.app
easybcd.app
fakeflashtest.com
findoutdate.com
freefilesync.net
freeminutetimer.com
freewheelofnames.com
furfsky.com
gliden64.com
guiformat.app
hakchi2.com
hashcat.app
hddsentinel.com
hifiasm.com
iso2god.com
je2be.com
kalkulyator.com
lax1dude.com
liveclockwithseconds.com
lspconfig.com
mimalloc.com
moliyachi.com
mongosh.com
mouse-clicker.com
mouse-cursors.com
mouse-mover.com
mousecape.app
mousecape.net
move-mouse.com
movemouse.net
mumuplayer.app
nircmd.net
noisium.com
notatnikonline.com
ocrmypdf.com
power-toys.com
powertoys.app
productkeyscanner.com
pwndbg.com
pyjwt.com
quickassistapp.com
retraitedz.com
rezygisk.com
sageattention.com
searchmyfiles.com
shellmenuview.com
showmore.app
simplestickynotes.app
skse64.com
spacesniffer.app
themouseclicker.com
urlaubscountdown.com
usblogview.com
wiblr.com
winexp.app
wintoys.app
winutil.app
wushowhide.com
zhpcleaner.com

Faux sites d’applis Windows : un piège en deux temps

Ce qui rend cette campagne particulièrement insidieuse, c’est sa logique de construction progressive. Le danger immédiat n’est pas nécessairement que chaque faux site distribue déjà un logiciel malveillant aujourd’hui – c’est que ces sites sont construits pour paraître légitimes, attirer du trafic via Google et établir la confiance avant que leurs opérateurs décident de transformer un bouton de téléchargement en vecteur d’infection.

Au moment de la découverte, certains sites redirigeaient même vers le vrai Microsoft Store – une précaution astucieuse pour éviter les poursuites judiciaires, et surtout pour renforcer la crédibilité du site aux yeux des visiteurs. Une petite mention en bas de page indiquait bien « Not affiliated with » suivi du nom du logiciel, mais rédigée en anglais en tout petits caractères, elle passe inaperçue pour la quasi-totalité des visiteurs.

Certaines applications de cette liste ont déjà vu leurs faux sites confirmés comme distributeurs actifs de logiciels malveillants. Ils pourraient distribuer un programme d’installation corrompu qui installe silencieusement un service d’accès à distance sur le PC de la victime – ouvrant ainsi une porte dérobée que les pirates peuvent utiliser à leur guise : vol de données, espionnage, rançongiciel, voire revente de l’accès à d’autres groupes criminels.

Lorsque Bogdan_X a signalé le domaine wintoys.app à Cloudflare, le service de protection réseau a réagi rapidement en affichant une alerte « Suspected Phishing » dès la visite du site. Cette alerte est apparue en moins d’une heure après le signalement. Mais le formulaire d’abus de Cloudflare n’accepte qu’un seul domaine par signalement – et malgré l’énumération des 72 domaines dans sa soumission, les 71 autres sont restés sans protection.

Les 72 domaines originaux ont depuis été ajoutés à la liste de blocage DNS Hagezi, une liste de filtrage publique utilisée par des millions de personnes, qui bloquera désormais automatiquement ces sites pour tous ceux qui l’utilisent. Mais cette protection reste partielle : elle ne concerne que les utilisateurs ayant configuré ce filtre, et les pirates peuvent créer de nouveaux domaines plus rapidement que la communauté ne peut les recenser.

Le fait que les domaines aient été enregistrés via Epik Inc., qui inclut systématiquement la protection WHOIS dans tous ses enregistrements, complique encore les recherches. Lorsque Bogdan_X a signalé les domaines à l’hébergeur, celui-ci a bien mis fin aux services du fraudeur – mais ce dernier a simplement migré vers un autre hébergeur. La résistance de cette infrastructure aux tentatives de neutralisation est caractéristique des opérations menées par des groupes organisés.

Faux sites d’applis Windows : comment se protéger concrètement

La règle d’or est simple à formuler, mais souvent oubliée dans la pratique : ne téléchargez les applications Windows que depuis le site officiel du développeur, sa page GitHub ou le Microsoft Store, jamais depuis un résultat de recherche Google, aussi convaincant soit-il.

Quelques réflexes complémentaires méritent d’être adoptés systématiquement. Vérifiez toujours l’URL exacte avant de cliquer sur un lien de téléchargement – une lettre différente, une extension inhabituelle (.app au lieu de .com, .net au lieu du domaine officiel) doit alerter immédiatement. Si un navigateur ou un service comme Cloudflare affiche un avertissement, ne passez jamais outre. Et si vous avez récemment téléchargé l’un des logiciels concernés depuis un site dont vous n’êtes plus certain de la légitimité, un passage par un antivirus à jour s’impose sans délai.