Demandez à votre IA où télécharger un logiciel : la réponse peut piéger votre carte graphique

Demandez à votre assistant IA où télécharger HWMonitor. La réponse peut vous coûter une carte graphique.

Le 26 mai 2026, l'équipe Microsoft Defender Experts a révélé une campagne de cryptojacking active dont la phase d'appât marque une première. À côté des résultats Google empoisonnés — la version classique du procédé —, des domaines de téléchargement frauduleux, taillés pour ressembler aux vrais, remontaient cette fois dans les réponses d'assistants IA : on demande où récupérer HWMonitor ou CrystalDiskInfo, l'assistant glisse un lien contrôlé par les attaquants. On installe ce qui semble être l'outil légitime, et la carte graphique se met à miner de la cryptomonnaie pour un inconnu, doublée d'une porte dérobée d'administration à distance.

Microsoft a recensé plus de 150 faux domaines depuis mars 2026, imitant six marques d'utilitaires connues. Le mineur n'est que la partie bon marché. Ce qui mérite l'attention, c'est que le chemin de confiance entre l'utilisateur et le piège passe désormais par l'assistant auquel il demande conseil.

Le détail de l'opération

Le choix des cibles est tout sauf un hasard. CrystalDiskInfo, HWMonitor, Display Driver Uninstaller, FurMark, K-Lite Codec Pack, PDFgear : chacune de ces marques séduit les passionnés de PC et les utilisateurs pointus sur le matériel, c'est-à-dire ceux qui possèdent une carte graphique haut de gamme. C'est elle qui rend l'opération rentable ; les attaquants ont privilégié la qualité des victimes à leur nombre.

Deux canaux avancent de front, expose la publication de Microsoft du 26 mai. Le premier est l'empoisonnement classique des résultats de recherche. Le second, observé dès avril 2026, déborde du moteur de recherche vers les chatbots : interrogés sur l'endroit où télécharger tel logiciel, ils servent les mêmes liens piégés, et les métadonnées de trafic relevées sur VirusTotal pointent ces échanges avec les assistants comme source de renvoi. Ensuite, le scénario redevient classique. L'archive ZIP contient le vrai exécutable accompagné d'une DLL malveillante (autorun.dll) chargée par « DLL sideloading » — une technique qui fait tourner du code hostile à l'intérieur d'une application signée et de confiance, de sorte que les protections ne sonnent pas l'alarme. La DLL installe alors discrètement ScreenConnect, un outil légitime de prise en main à distance édité par ConnectWise mais détourné ici pour garder un accès permanent, puis lance un mineur (gminer, lolMiner ou SRBMiner-MULTI) dissimulé dans des processus Windows signés par Microsoft grâce au « process hollowing ».

• Plus de 150 domaines malveillants suivis depuis mars 2026, la campagne restant active au moment de la divulgation.
• L'accès durable passe par ScreenConnect détourné — le même outil que les équipes informatiques utilisent légitimement —, ce qui ouvre la voie au vol de données, au déplacement latéral ou au rançongiciel.
• Le logiciel surveille le Gestionnaire des tâches, Process Explorer, Process Hacker et System Informer : dès qu'une de ces fenêtres apparaît, le minage s'arrête, et l'administrateur qui jette un œil ne voit rien d'anormal.

Pourquoi ce glissement compte

L'empoisonnement des moteurs de recherche a vingt ans. La nouveauté tient à l'endroit où se loge la confiance. Devant le premier résultat Google, un utilisateur averti garde une demi-seconde de méfiance : l'adresse est-elle la bonne, le certificat correspond-il ? Quand il demande à Claude, ChatGPT ou Gemini où télécharger CrystalDiskInfo « en toute sécurité », le lien arrive habillé du ton assuré de l'assistant, présenté comme une recommandation plutôt que comme un résultat. Ce réflexe de prudence se raccourcit, ou disparaît. Le risque, pour une organisation, est asymétrique : il suffit qu'un membre de l'équipe informatique installe un faux HWMonitor sur un poste d'administration pour offrir aux attaquants une session ScreenConnect ouverte — exactement ce que les courtiers d'accès revendent aux groupes de rançongiciels. Au fond, tout canal qui classe ou recommande des liens devient empoisonnable, et les assistants le sont devenus plus vite que la plupart des modèles de menace ne l'avaient prévu. Traitez leurs URL comme un lien reçu d'un inconnu par courriel : utile parfois, jamais à prendre pour argent comptant.

Ce qu'il faut mettre en place

1. Diffusez les logiciels via une liste interne validée, pas via les réponses d'un chatbot. Tenez une page courte d'adresses d'éditeurs vérifiées pour les outils dont vos équipes ont besoin, et imposez l'installation depuis cette seule source. Une adresse d'éditeur est stable ; un lien recommandé par un assistant est à un coup de référencement de devenir hostile.
2. Recensez ScreenConnect et les autres outils de prise en main à distance, et alertez sur toute installation inexpliquée. Toute l'attaque repose sur un agent ScreenConnect caché qui dialogue avec un serveur ennemi. Defender for Endpoint, CrowdStrike Falcon ou SentinelOne savent signaler une activité de ce type une fois correctement réglés — assurez-vous qu'ils le sont sur chaque poste touchant à des accès d'administration.
3. Revérifiez les exclusions Defender et les clés de démarrage après toute infection. Le logiciel les recrée dès qu'on les supprime. Après nettoyage, comparez chaque jour les exclusions Defender, les tâches planifiées et les clés HKCU\Run / HKLM\Run à une référence saine : le poste n'est propre que lorsque ces éléments cessent de réapparaître.

À retenir

Ce n'est pas le mineur qui rend l'affaire intéressante, c'est l'appât. Le chemin vers un poste compromis passe maintenant par l'assistant IA auquel de plus en plus de gens confient le tri du web, et la chaîne d'infection en dessous est assez aboutie pour s'appuyer sur un outil informatique légitime, se cacher des inspecteurs de processus et survivre au nettoyage. Dites à vos équipes de cesser de cliquer sur les liens de téléchargement fournis par un chatbot : se tromper coûte un poste piégé, avoir raison coûte vingt secondes à taper le nom de l'éditeur dans la barre d'adresse.