REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
Une seconde présentation publique de cette campagne détaille l’affaiblissement de Windows Update et de Microsoft Defender après un téléchargement trompeur. Le suivi des changements de configuration devient central pour reconstruire le parcours de l’intrusion.
Déroulement décrit par la source
- La campagne utilise de faux sites d’éditeurs et des archives contenant des installateurs malveillants générés côté serveur.
- Les comportements décrits incluent des exclusions Microsoft Defender, la désactivation de Windows Update et la suppression de copies de récupération.
- Le rapport rapproche cette activité de Silver Fox avec une confiance modérée.
Comprendre les mécanismes et les enseignements
- Leçon défensive : un téléchargement malveillant peut chercher à modifier durablement la capacité du poste à se défendre. Une analyse qui s’arrête à la mise en quarantaine du fichier initial risque donc de laisser les paramètres de protection dans un état dégradé.
- L’attribution d’une campagne n’est pas un prérequis à la réponse technique. Les faits utiles à l’entreprise sont d’abord les installations réalisées, les réglages altérés et les accès créés ; le niveau de confiance sur l’auteur doit rester séparé de ces observations.
Les vérifications défensives utiles
- Établir une configuration de référence pour les services de mise à jour et les exclusions de protection. Comparer les écarts aux changements approuvés, en recherchant leur origine et leur date plutôt qu’en rétablissant immédiatement les valeurs sans conserver de traces.
- Vérifier les derniers téléchargements et les sources d’installation sur les postes présentant ces écarts. Rapprocher les fichiers trouvés des services et tâches ajoutés, puis étendre la recherche aux autres machines qui ont suivi le même parcours de téléchargement.
- Tester la disponibilité des sauvegardes depuis un environnement distinct et préparer une reconstruction si l’intégrité du poste est incertaine. La correction de la configuration doit être suivie d’un contrôle de persistance et d’un examen des comptes potentiellement exposés.
Portée et limites
Ce rapport peut recouper la campagne décrite dans l’article sur les sites de téléchargement contrefaits. Il apporte un angle de lecture sur les protections Windows ; les deux publications ne doivent pas être additionnées comme deux populations de victimes indépendantes.
Rapport original
Fake Software Installers Disable Windows Update and Weaken Microsoft Defender — thehackernews.com.