Manipulation et diffusion
Particuliers et entreprisesPublicité malveillante
Malvertising
Une annonce vous conduit vers une arnaque ou un programme malveillant.
Je pense être concerné : que faire ?
Comprendre et agir
Découvrez le piège à partir d’un exemple, puis les gestes que vous pouvez faire. Vous pouvez suivre cette lecture sans connaissances en informatique.
Une situation concrète
Vous cherchez un logiciel. Une annonce placée au-dessus des résultats reprend son nom et son logo. Le téléchargement proposé installe autre chose, ou demande des informations sans raison. L’achat d’un emplacement publicitaire a donné une visibilité immédiate à un site trompeur.
Comment cela fonctionne
Une publicité malveillante utilise une annonce ou les services qui la diffusent pour vous atteindre. Elle peut vous conduire vers un faux support technique, une page de connexion trompeuse ou un programme piégé. Le site qui affiche la publicité peut être honnête tout en ne contrôlant pas tous les intermédiaires. La présence de l’annonce ne signifie donc pas que la plateforme recommande ou a vérifié le produit.
- Une annonce attire le clic
Le placement semble légitime.
- La destination change
Un site trompeur présente une ressource.
- Le piège se déclenche
Téléchargement, saisie ou autre interaction.
Les signes qui doivent attirer l’attention
- Une annonce conduit à un domaine qui n’est pas celui de l’éditeur.
- Le téléchargement est proposé par un installateur intermédiaire inattendu.
- La page affiche une urgence ou demande de désactiver une protection.
Si vous remarquez l’un de ces signes, vérifiez la situation. Un indice isolé ne suffit pas à prouver qu’une attaque a réussi.
Ce que vous pouvez faire
Vos premiers réflexes
Pour installer un logiciel, rejoignez le site de son éditeur ou le catalogue de votre organisation. Une annonce en tête des résultats ne certifie pas le téléchargement.
Si vous êtes responsable du service ou de l’organisation
Proposez un catalogue de logiciels approuvés et limitez les installations libres sur les postes. Conservez les références des annonces signalées pour rechercher d’autres expositions.
Une annonce bien placée et soignée peut conduire à un site frauduleux.
À vous de décider
Un logiciel porte le bon nom dans une annonce sponsorisée. Quelle vérification manque ?
Prenez un moment pour répondre et expliquer votre choix, puis ouvrez la correction.
Voir la réponse expliquée
Il reste à vérifier qui fournit le fichier. L’annonceur peut avoir copié le nom et le logo du logiciel. Ouvrez le site officiel de l’éditeur pour y retrouver le téléchargement.
Analyser un cas technique
Ce cas s’adresse aux personnes qui développent, administrent ou analysent ces systèmes. Si vous découvrez le sujet, commencez par « Comprendre et agir ».
Étude de cas fictive
Une publicité conduit à une copie non officielle d’un logiciel
Après plusieurs redirections, la publicité AD17 fait télécharger le fichier FILE9 au visiteur étudié. La version officielle porte le hachage FILE2. Vérifiez la version et la provenance pour comprendre cet écart. Comme les intermédiaires peuvent changer la destination, une seule visite ne suffit pas à décrire toute la campagne.
Conserver les identifiants de publicité, les horaires, les destinations et le hachage du fichier reçu. Ils permettent de rapprocher les signalements sans dépendre d’une URL qui peut changer. La présence d’une publicité sur une plateforme connue ne constitue pas une validation du logiciel proposé.
Le téléchargement ne prouve pas l’exécution. Dans ce cas, il faut encore retrouver un lancement du fichier ou une action du navigateur qui aurait exploité une vulnérabilité. Examiner les événements du poste, les avertissements contournés et les nouveaux processus. Le blocage doit couvrir le contenu et le parcours observés, tout en tenant compte des domaines partagés avec des usages légitimes. Pour les logiciels professionnels, une source de distribution maîtrisée réduit l’exposition à ces faux téléchargements.
Le déroulement en schéma
Faites défiler le diagramme pour suivre les échanges ; les noms des acteurs restent en haut. Sur petit écran, faites aussi défiler de gauche à droite.
- Action
Chargement de l’annonce
Page consultée vers Régie / routeur
Trace creative_id AD17
- Réponse
Annonce affichée
Régie / routeur vers Terminal
Trace contexte de livraison
- Action
Clic C8
Terminal vers Régie / routeur
Trace identifiant de navigation
- Action
Redirection
Régie / routeur vers Destination finale
Trace chaîne conservée
- Réponse
Téléchargement FILE9
Destination finale vers Terminal
Trace hash et signature
- Action sur place
Comparaison au canal officiel
Terminal
Trace FILE2
- Action sur place
Recherche d’exécution
Terminal
Trace non observée ici
Comment repérer cette attaque
Indices à rechercher
Rechercher les redirections ou téléchargements inattendus après un clic publicitaire, puis les mêmes hachages de fichiers et destinations chez les autres utilisateurs.
Quelles informations comparer
Suivre publicité → intermédiaires → fichier → éventuelle exécution. Demander à la régie les informations de campagne qu’un navigateur ne peut pas confirmer, en conservant l’heure et l’URL observées.
Ce que ces indices ne permettent pas de conclure
Une publicité ou un fichier téléchargé ne prouve pas une infection. Ne pas exécuter le fichier pour lever le doute ; l’analyse porte sur les traces déjà disponibles et les références de l’éditeur.
Comment réagir
Préserver l’annonce et le fichier, retirer l’exposition locale et rechercher les terminaux ayant exécuté le binaire. Transmettre les identifiants de campagne à la régie ou au site via une procédure autorisée. Sécuriser les canaux de téléchargement métier.
Vérifier la correction
L’équipe responsable du système peut utiliser ces contrôles dans un environnement de test autorisé. Vous pouvez lire et comprendre le cas sans effectuer ces manipulations.
- Vérifier que l’identifiant d’annonce et le hash du fichier restent reliés dans le dossier.
- Tester la distinction entre téléchargement et exécution.
- Comparer une mise à jour officielle récente pour éviter un blocage fondé sur le seul hash inconnu.
À vous de raisonner
Un installateur diffère du fichier officiel, mais aucun lancement n’est retrouvé. Que pouvez-vous conclure et que manque-t-il ?
Quelle décision prendriez-vous, et sur quel indice vous appuieriez-vous ? Répondez avant d’ouvrir la correction.
Comparer avec le raisonnement expliqué
Le téléchargement mérite une vérification de provenance et de version. Vous ne pouvez pas annoncer une infection sur cette seule différence. Recherchez un lancement et ses effets dans une collecte qui couvre réellement la période ; l’absence de journal n’est pas une preuve de non-exécution.
Consulter les détails techniques
Les extraits permettent de s’exercer à lire les traces du cas. Si vous disposez des outils et des accès nécessaires, le guide de collecte vous aide aussi à rechercher ces informations.
Lire les extraits commentés (reconstitution fictive)
Ces extraits contiennent des valeurs fictives. Certains champs correspondent à ceux des outils documentés ; d’autres réunissent plusieurs sources pour faciliter l’explication. Vos propres exports pourront donc avoir une autre forme. Lisez d’abord les explications des champs, puis repérez-les dans les extraits.
executed=false- Dans le cas, aucune exécution n’est établie ; la fiabilité de ce constat dépend de la couverture de collecte.
creative- Identifiant de publicité du scénario, à obtenir de la capture ou de la régie, pas d’un événement Sysmon.
Chaîne de livraison
JournalRelevé synthétique ; les identifiants d’annonce et de clic sont fictifs.
page=media.example slot=sidebar creative_id=AD17
navigation hop=1 host=ad-router.example status=302 click_id=C8
navigation hop=2 host=download-demo.example status=200
response filename=outil-setup.exe sha256=FILE9 signer=unknown
publisher_official release=outil-4.2 sha256=FILE2 signer=ExpectedVendor
endpoint file=FILE9 executed=falsePréparer une collecte dans votre environnement
Utilisez les sources disponibles dans vos outils et auxquelles vous êtes autorisé à accéder. Vous pouvez comprendre la fiche sans posséder ces outils. Vérifiez que les journaux étaient activés pendant la période étudiée. Gardez l’export original avec son fuseau horaire et sa provenance dans un espace à accès restreint. Pour l’analyse, travaillez sur une copie dont vous avez retiré les secrets.
Chrome DevTools — panneau Network du navigateur
- Où les trouver
- Dans une capture déjà conservée, ou sur une reproduction autorisée en environnement de test : ouvrir Network et conserver la navigation avec Preserve log. Examiner Headers et Initiator.
- Quoi relever
- Conserver la chaîne de redirections après le clic publicitaire, avec domaines, initiateurs et téléchargement final. Les identifiants de campagne ou de création sont utiles s’ils figurent réellement dans la capture.
- Accès et prérequis
- La capture doit être active pendant l’observation : elle ne reconstitue pas le passé. Un export HAR peut contenir des données privées, même après retrait des en-têtes sensibles ; le nettoyer avant partage.
Windows — Microsoft Sysmon
- Où les trouver
- Observateur d’événements → Journaux des applications et des services → Microsoft → Windows → Sysmon → Operational, ou leur copie dans le collecteur central.
- Quoi relever
- Rechercher la création du fichier téléchargé (11) puis une éventuelle exécution (1). Comparer son empreinte à celle de l’éditeur pour la même version et la même plateforme.
- Accès et prérequis
- Sysmon doit avoir été installé et configuré avant les faits. L’événement réseau 3 est désactivé par défaut ; les filtres peuvent exclure des événements. L’événement 11 décrit une création de fichier, pas sa lecture.
Dans l’histoire des cyberattaques
Groupes et campagnes documentés
Ces cas réels montrent où ce mécanisme a été observé. Les années indiquent quand les faits ont eu lieu. Chaque notice précise la source qui les relie à un groupe ou à une campagne.
- GroupeDEV-0569
Noms et appellations : Storm-0569 depuis 2023 chez Microsoft
Des annonces sponsorisées vers de faux installateurs
En octobre 2022, Microsoft observe des publicités qui envoient certains visiteurs vers BATLOADER. Présenté comme un installateur de logiciel, le fichier peut ensuite livrer d’autres programmes malveillants. L’emplacement publicitaire ne garantit donc pas la fiabilité du téléchargement.
Ce qu’établit la source. Campagne attribuée à DEV-0569 par Microsoft. Les différentes charges distribuées et les opérateurs de rançongiciels en aval ne sont pas assimilés à un groupe unique.
Consulter le rapport DEV-0569 finds new ways to deliver Royal ransomware, various payloadsMicrosoft · Publié le
Cette sélection ne couvre pas tous les incidents. Plusieurs acteurs peuvent utiliser une même technique. Les exemples fictifs de la fiche ne décrivent les actions d’aucun de ces groupes.
Si vous pensez être concerné
- Conservez l’URL de l’annonce et celle du téléchargement sans réexécuter le fichier.
- Si une application a été lancée, faites contrôler le poste et les comptes utilisés depuis celui-ci.
- Signalez l’annonce à la plateforme avec les éléments observés.
Pour comprendre votre situation et trouver de l’aide : obtenir une assistance sur 17Cyber. Dans une organisation, prévenez aussi le responsable ou prestataire chargé de la sécurité.
Sources et repères pour approfondir
- MITRE ATT&CK — Drive-by Compromise — attack.mitre.org
- MITRE ATT&CK — Malicious File — attack.mitre.org
- Microsoft — signatures Authenticode — learn.microsoft.com
