Manipulation et diffusion
Particuliers et entreprisesEmpoisonnement des résultats de recherche
SEO poisoning
Une page bien placée dans les recherches vous propose un contenu piégé.
Je pense être concerné : que faire ?
Comprendre et agir
Découvrez le piège à partir d’un exemple, puis les gestes que vous pouvez faire. Vous pouvez suivre cette lecture sans connaissances en informatique.
Une situation concrète
Vous cherchez un modèle de contrat ou un outil de conversion. Un résultat bien positionné contient exactement les mots de votre recherche. Le site promet la ressource, mais impose un téléchargement ou une connexion inhabituelle. L’attaquant a travaillé la visibilité de sa page plutôt que de vous envoyer un message.
Comment cela fonctionne
L’empoisonnement du référencement consiste à faire apparaître des pages piégées dans les résultats d’un moteur de recherche. L’attaquant crée ou pirate des pages pour qu’elles ressortent sur les recherches de ses cibles. Elles proposent ensuite un faux document, une application ou une demande d’identifiants. Ces résultats sont à distinguer des annonces payantes : les deux pièges peuvent coexister, mais ils n’obtiennent pas leur visibilité de la même manière.
- Une recherche précise
Vous cherchez un outil ou un document.
- Un résultat semble idéal
La page a été préparée pour attirer ce clic.
- La ressource est piégée
Le téléchargement ou la connexion est détourné.
Les signes qui doivent attirer l’attention
- La page reprend vos mots-clés mais fournit peu d’informations sur l’auteur.
- Le document attendu est remplacé par une archive, un installateur ou une extension.
- Le site impose une action technique sans rapport avec la simple lecture.
Si vous remarquez l’un de ces signes, vérifiez la situation. Un indice isolé ne suffit pas à prouver qu’une attaque a réussi.
Ce que vous pouvez faire
Vos premiers réflexes
Un modèle de document ne devrait pas vous demander de lancer une commande ou d’installer une extension. Cherchez-le auprès de l’organisme qui le publie.
Si vous êtes responsable du service ou de l’organisation
Indiquez aux équipes où trouver les modèles et logiciels utilisés au travail. Préparez le traitement d’un téléchargement suspect sans demander à la personne de le rouvrir.
Un résultat en tête des recherches est visible, mais sa sécurité n’est pas certifiée pour autant.
À vous de décider
Le premier résultat propose un installateur pour lire un modèle de contrat. Poursuivez-vous ?
Prenez un moment pour répondre et expliquer votre choix, puis ouvrez la correction.
Voir la réponse expliquée
Non. Un modèle de contrat remplacé par un installateur mérite une vérification. Sa place en tête des recherches ne garantit pas sa sécurité.
Analyser un cas technique
Ce cas s’adresse aux personnes qui développent, administrent ou analysent ces systèmes. Si vous découvrez le sujet, commencez par « Comprendre et agir ».
Étude de cas fictive
Un résultat bien placé propose une copie piégée d’un logiciel
Le deuxième résultat de recherche propose une archive d’installation dont le hachage est H17. Celui de la distribution officielle attendue est H12. La position dans les résultats ne permet donc de garantir ni l’origine de la page ni l’intégrité du fichier téléchargé.
La comparaison doit porter sur la même version, la même plateforme et le même canal de distribution. Deux hachages différents peuvent aussi correspondre à deux versions légitimes. Examiner la signature, la provenance et le contenu du paquet avec les informations de l’éditeur. Un installateur signé peut contenir un logiciel indésirable ou être utilisé de façon trompeuse ; la signature n’est pas une appréciation de sécurité.
Dans l’exemple, un lancement est observé après le téléchargement. L’enquête peut donc dépasser la simple exposition au faux site et examiner les processus enfants, la persistance et les communications. Conserver également le terme recherché, l’URL et l’heure : la page de résultats peut changer rapidement et ne plus présenter le même lien lors de l’investigation.
Le déroulement en schéma
Faites défiler le diagramme pour suivre les échanges ; les noms des acteurs restent en haut. Sur petit écran, faites aussi défiler de gauche à droite.
- Action
Résultat sélectionné
Moteur de recherche vers Page de téléchargement
Trace requête et position
- Action
Lien vers l’archive
Page de téléchargement vers Stockage / archive
Trace destination finale
- Réponse
Archive reçue
Stockage / archive vers Terminal
Trace membres et hashes
- Action sur place
Extraction
Terminal
Trace provenance conservée
- Action sur place
Exécution H17
Terminal
Trace télémétrie processus
- Action
Comparaison indépendante
Terminal vers Stockage / archive
Trace manifeste officiel
Comment repérer cette attaque
Indices à rechercher
Repérer les téléchargements provenant de domaines extérieurs aux sources approuvées et les écarts de version, de signature ou de hachage du logiciel obtenu.
Quelles informations comparer
Établir le lien entre résultat de recherche, site imitant l’éditeur et fichier exécuté. Séparer le rang observé du résultat de la preuve de compromission du poste.
Ce que ces indices ne permettent pas de conclure
Un classement refait aujourd’hui ne prouve pas la position passée du résultat, qui peut varier selon l’utilisateur. Deux empreintes différentes pour deux versions différentes ne sont pas un indice suffisant.
Comment réagir
Isoler les postes où le comportement le justifie, préserver archive et chaîne de téléchargement, puis traiter les actions exécutées. Faire retirer les liens trompeurs via les procédures appropriées et fournir un canal de distribution validé aux utilisateurs.
Vérifier la correction
L’équipe responsable du système peut utiliser ces contrôles dans un environnement de test autorisé. Vous pouvez lire et comprendre le cas sans effectuer ces manipulations.
- Vérifier le lien entre membre d’archive et processus exécuté.
- Tester une nouvelle version officielle et son manifeste pour éviter une exclusion arbitraire.
- Contrôler que les liens du catalogue interne pointent vers le canal attendu après redirection.
À vous de raisonner
Le fichier téléchargé n’a pas le même hachage que votre référence, qui date du mois dernier. Faut-il le qualifier immédiatement de malveillant ?
Quelle décision prendriez-vous, et sur quel indice vous appuieriez-vous ? Répondez avant d’ouvrir la correction.
Comparer avec le raisonnement expliqué
Commencez par comparer la même version et la même plateforme depuis une source officielle indépendante. Une mise à jour légitime change aussi le hachage. Si le fichier a été lancé, examinez son comportement ; le rang du résultat et la seule différence de hachage ne permettent pas de trancher.
Consulter les détails techniques
Les extraits permettent de s’exercer à lire les traces du cas. Si vous disposez des outils et des accès nécessaires, le guide de collecte vous aide aussi à rechercher ces informations.
Lire les extraits commentés (reconstitution fictive)
Ces extraits contiennent des valeurs fictives. Certains champs correspondent à ceux des outils documentés ; d’autres réunissent plusieurs sources pour faciliter l’explication. Vos propres exports pourront donc avoir une autre forme. Lisez d’abord les explications des champs, puis repérez-les dans les extraits.
position- Rang documenté dans le scénario ; il doit venir d’une observation conservée, pas d’une supposition fondée sur l’historique.
official- Référence éditeur à vérifier pour la même version avant de comparer les empreintes.
Provenance du téléchargement
JournalLe rang affiché est une observation de cette recherche, pas une mesure stable ni une certification.
search query=outil conversion PDF result_position=2 sponsored=false
result title=Télécharger Outil URL=https://outils-demo.example/download
redirect final=https://cdn-demo.example/build/setup.zip
archive member=setup.exe hash=H17 signer=unknown
official_repository release=4.1 artifact_hash=H12
endpoint process_hash=H17 first_execution=10:28Préparer une collecte dans votre environnement
Utilisez les sources disponibles dans vos outils et auxquelles vous êtes autorisé à accéder. Vous pouvez comprendre la fiche sans posséder ces outils. Vérifiez que les journaux étaient activés pendant la période étudiée. Gardez l’export original avec son fuseau horaire et sa provenance dans un espace à accès restreint. Pour l’analyse, travaillez sur une copie dont vous avez retiré les secrets.
Chrome DevTools — panneau Network du navigateur
- Où les trouver
- Dans une capture déjà conservée, ou sur une reproduction autorisée en environnement de test : ouvrir Network et conserver la navigation avec Preserve log. Examiner Headers et Initiator.
- Quoi relever
- À partir de l’historique ou d’une capture conservée, retrouver le résultat choisi, le domaine et les redirections menant au téléchargement. Conserver une éventuelle capture du classement au moment des faits.
- Accès et prérequis
- La capture doit être active pendant l’observation : elle ne reconstitue pas le passé. Un export HAR peut contenir des données privées, même après retrait des en-têtes sensibles ; le nettoyer avant partage.
Windows — Microsoft Sysmon
- Où les trouver
- Observateur d’événements → Journaux des applications et des services → Microsoft → Windows → Sysmon → Operational, ou leur copie dans le collecteur central.
- Quoi relever
- Relier création du fichier, empreinte et exécution éventuelle à son processus parent. Comparer au fichier officiel correspondant exactement à la version et à la plateforme annoncées.
- Accès et prérequis
- Sysmon doit avoir été installé et configuré avant les faits. L’événement réseau 3 est désactivé par défaut ; les filtres peuvent exclure des événements. L’événement 11 décrit une création de fichier, pas sa lecture.
Dans l’histoire des cyberattaques
Groupes et campagnes documentés
Ces cas réels montrent où ce mécanisme a été observé. Les années indiquent quand les faits ont eu lieu. Chaque notice précise la source qui les relie à un groupe ou à une campagne.
- àGroupeUNC2565
Noms et appellations : Opérations GOOTLOADER
Un résultat de recherche mène à un faux document
Des sites piratés, bien placés dans les résultats de recherche, attirent les personnes qui cherchent des documents professionnels. Le fichier proposé contient GOOTLOADER, qui permet ensuite l’arrivée d’autres logiciels malveillants. La bonne position du résultat ne garantit pas l’origine du téléchargement.
Ce qu’établit la source. Mandiant suit cet ensemble d’activité sous le nom UNC2565. GOOTLOADER est le logiciel distribué, pas le nom d’une personne.
Consulter le rapport Welcome to Goot Camp: Tracking the Evolution of GOOTLOADER OperationsMandiant / Google Cloud · Publié le
Cette sélection ne couvre pas tous les incidents. Plusieurs acteurs peuvent utiliser une même technique. Les exemples fictifs de la fiche ne décrivent les actions d’aucun de ces groupes.
Si vous pensez être concerné
- Conservez l’adresse du résultat et la référence du fichier téléchargé.
- Faites examiner le poste si un programme ou une commande a été exécuté.
- Signalez le résultat malveillant et avertissez les collègues utilisant la même ressource.
Pour comprendre votre situation et trouver de l’aide : obtenir une assistance sur 17Cyber. Dans une organisation, prévenez aussi le responsable ou prestataire chargé de la sécurité.
Sources et repères pour approfondir
- MITRE ATT&CK — Drive-by Compromise — attack.mitre.org
- MITRE ATT&CK — User Execution — attack.mitre.org
- MITRE ATT&CK — SEO Poisoning — attack.mitre.org
- Microsoft — signatures Authenticode — learn.microsoft.com
