Le logiciel recherché peut cacher une autre fonction
Le 31 août 2026, Kaspersky a décrit une campagne dans laquelle le backdoor ValleyRAT était distribué avec un outil de gestion de fond d'écran présenté comme un adware. L'installateur déployait une bibliothèque malveillante chargée par DLL sideloading, ajoutait une persistance au démarrage et tentait de désactiver Windows Defender.
La campagne a touché principalement la Chine et l'Inde, avec plus de 1 500 utilisateurs identifiés par Kaspersky. L'intérêt de cette actualité dépasse sa géographie : un logiciel que l'utilisateur installe volontairement peut obtenir une confiance disproportionnée.
Pourquoi la signature ne suffit pas
Un fichier signé peut provenir d'un éditeur réel tout en étant distribué dans un mauvais contexte, accompagné d'un autre composant ou utilisé pour charger une DLL qui ne l'est pas. Les utilisateurs ajoutent aussi parfois un programme à une exclusion antivirus pour éviter un blocage, ce qui supprime une barrière importante.
ValleyRAT peut enregistrer les frappes, lire le presse-papiers, capturer l'écran et charger d'autres modules. Sur un poste professionnel, ces fonctions peuvent exposer des mots de passe temporairement visibles, des codes de récupération, des données client et des sessions déjà ouvertes.
La réponse pratique d'une petite équipe
- Autoriser l'installation de logiciels selon une liste et un processus connus.
- Ne pas ajouter un programme téléchargé à une exclusion antivirus pour le faire fonctionner.
- Retirer les droits administrateur locaux lorsque l'activité ne les justifie pas.
- Si un logiciel suspect a été installé, isoler le poste avant de changer les mots de passe depuis ce même appareil.
- Révoquer les sessions et faire tourner les secrets accessibles : messagerie, cloud, VPN, navigateur et coffre.
- Recréer le poste depuis une image saine si la persistance ou l'étendue de l'accès ne peuvent pas être exclues.
Ce que Soclyde peut et ne peut pas faire
Un coffre local-first ne transforme pas un poste infecté en poste fiable. Soclyde aide néanmoins à garder des secrets uniques et à accélérer leur rotation après l'isolement d'un appareil. Un mot de passe remplacé ne doit pas être recopié dans un fichier temporaire ou partagé dans une conversation.
Le guide Soclyde sur les infostealers détaille la différence entre le coffre, le navigateur, l'endpoint et les sessions. Cette séparation est essentielle : chaque couche a son propre contrôle.
À retenir
La sécurité commence avant l'installation. Une application populaire, signée ou recommandée par un moteur de recherche reste du code à exécuter. La combinaison d'un poste sans privilèges inutiles, d'un antivirus non contourné et de secrets uniques réduit le rayon d'action d'une backdoor.
