Faux installeurs de logiciels : désactivation de Windows Update et affaiblissement de Defender avant intrusion

The Hacker News documente une campagne de faux installeurs de logiciels qui commencent par désactiver Windows Update et réduire les protections de Microsoft Defender. Ce n'est plus du drive-by classique : c'est un préambule à une intrusion durable.

Les faits

The Hacker News rapporte le 2 septembre 2026 une campagne active de faux installeurs de logiciels - le vecteur classique du drive-by download, mais avec un tour de vis notable. Une fois exécuté, le faux installeur ne se contente pas de déposer un payload : il désactive Windows Update et affaiblit les protections de Microsoft Defender avant toute autre action.

Le pattern documenté :

1. L'utilisateur télécharge un installeur (via SEO, publicité, faux site officiel).
2. L'installeur demande les privilèges administrateur - nominalement pour « installer le logiciel ».
3. Une fois accordés, il modifie la configuration Windows Update (pause prolongée, désactivation de composants) et réduit les capacités Defender (exclusions de dossiers, désactivation de fonctions temps réel, altération du service).
4. Ensuite seulement, le payload principal est déposé - malware, RAT, ou point d'ancrage pour intrusion ultérieure.

Qui est impacté

• Utilisateurs Windows grand public et petite entreprise qui téléchargent des logiciels via moteur de recherche ou publicité (sans passer par le Microsoft Store ou un catalogue vérifié).
• Postes de travail hors gestion centralisée - pas de MDM/AV enterprise, l'utilisateur a les droits admin.
• Ordinateurs personnels utilisés en télétravail qui touchent au SI de l'employeur (BYOD non encadré).

Pourquoi c'est significatif

Cette évolution s'inscrit dans le fil « ingénierie sociale via terminal » que nous suivons - les campagnes qui exploitent la confiance des utilisateurs techniques (fausses CAPTCHA, fausses vérifications navigateur, ClickFix, TerminalFix). Ici, le vecteur est plus grand public que ClickFix, mais la logique est la même : transformer un acte volontaire de l'utilisateur en compromission durable.

Trois éléments à noter :

1. La désactivation de Windows Update est stratégique. Sans mises à jour, le poste reste vulnérable aux CVE connues - l'attaquant garde ses portes d'entrée ouvertes pour un retour ultérieur, même après nettoyage superficiel du payload initial.
2. L'affaiblissement de Defender préserve la furtivité. Plutôt que de tuer l'antivirus (qui déclencherait une alerte), la campagne le rend aveugle - exclusions de dossiers, désactivation de composants. Le voyant reste vert.
3. La chaîne est modulaire. Le faux installeur n'embarque pas le payload final ; il prépare le terrain. Cela permet aux opérateurs de livrer des charges différentes selon la cible (crypto-miner pour les particuliers, ransomware pour les entreprises, backdoor pour les cibles de valeur).

À faire maintenant

• Ne téléchargez jamais un logiciel via une publicité de résultat de recherche. Toujours passer par l'URL officielle connue, ou un catalogue vérifié (Microsoft Store, package manager comme winget, dépôt officiel).
• Vérifiez régulièrement l'état de Windows Update (Paramètres → Windows Update) et Defender (Sécurité Windows → Protection contre les virus). Une machine « en pause » ou « avec exclusions » que vous n'avez pas configurée est un signe d'intrusion.
• En entreprise : imposez EDR + désactivation des droits admin locaux ; c'est la seule barrière fiable contre ce type de campagne.
• Post-incident : sur un poste suspect, ne vous contentez pas de nettoyer le malware visible - réactivez manuellement Windows Update et Defender, retirez toutes les exclusions inconnues, puis re-scannez.

À retenir : quand un « installeur » demande les droits admin et met plus de deux secondes avant d'ouvrir sa fenêtre, il fait probablement autre chose que ce que vous croyez. Windows Update et Defender sont vos deux garde-fous par défaut - un utilisateur qui les trouve désactivés sans raison a été compromis.