Des analystes en sécurité ont émis un avis urgent au sujet d'une campagne de rançongiciels active qui utilise des fichiers Excel avec macros déguisés en factures pour inciter les gens à infecter leurs propres appareils. L'attaque repose sur une astuce familière mais toujours efficace : un document qui ressemble à une facture commerciale ordinaire, accompagné d'une invitation demandant au destinataire d'« activer le contenu » pour qu'une macro cachée puisse s'exécuter. Une fois activée, cette macro lance un script qui télécharge et installe un rançongiciel, donnant aux attaquants la capacité de verrouiller des fichiers et d'exiger une rançon.
Bien que la technique elle-même ne soit pas nouvelle, le fait qu'elle reste active et suffisamment efficace pour justifier un nouvel avis montre à quel point l'ingénierie sociale compte encore dans les cyberattaques modernes. Les défenses techniques se sont considérablement améliorées au fil des ans, mais les attaquants continuent de réussir en ciblant le jugement humain plutôt que les vulnérabilités logicielles.
Comment fonctionne l'arnaque à la facture Excel
Selon l'avis, la campagne est centrée sur des documents Excel avec macros, des fichiers portant l'extension .xlsm et capables d'exécuter des scripts intégrés appelés macros. Les macros ont été conçues à l'origine pour automatiser des tâches répétitives dans les feuilles de calcul, mais elles sont depuis longtemps détournées comme mécanisme de diffusion de logiciels malveillants, car elles peuvent exécuter du code dès qu'un utilisateur accorde l'autorisation.
Dans cette campagne, les feuilles de calcul malveillantes sont habillées pour ressembler à des factures légitimes, un format qui abaisse naturellement la vigilance d'un destinataire parce qu'il imite une correspondance commerciale de routine. Lorsque le fichier est ouvert, Excel affiche généralement un avertissement de sécurité et bloque les macros par défaut. L'attaque ne réussit que si la victime contourne manuellement cette protection, généralement parce que le document contient un faux message affirmant que le contenu est illisible à moins d'activer les macros.
Une fois cette barrière franchie, la macro intégrée déclenche un script qui contacte un serveur externe, télécharge du code malveillant supplémentaire et déploie un rançongiciel sur le système de la victime. À partir de là, les fichiers peuvent être chiffrés et retenus contre une rançon, perturbant les données personnelles, les opérations commerciales, ou les deux selon la cible.
Pourquoi la diffusion par script est difficile à détecter
L'une des raisons pour lesquelles ce type d'attaque persiste est que la diffusion par script peut échapper à certains outils de détection traditionnels. Plutôt que d'intégrer directement la charge utile du rançongiciel dans le fichier Excel, les attaquants utilisent la macro comme rampe de lancement qui récupère séparément le code malveillant. Cette approche par étapes peut rendre le document initial moins suspect aux yeux des outils d'analyse automatisée, puisque le composant réellement dangereux n'est pas présent avant l'exécution du script.
Cela reflète une tendance plus large dans laquelle les attaquants utilisent des méthodes superposées ou déguisées pour faire passer du code malveillant au-delà des logiciels de sécurité. Dans un autre cas couvert par vpn.social, des hackers russes ont utilisé un faux prompt nucléaire pour tromper les scanners d'IA intégré dans un script malveillant, un autre exemple d'acteurs de la menace qui conçoivent leurs charges utiles spécifiquement pour confondre ou contourner les défenses automatisées plutôt que de s'appuyer uniquement sur des exploits techniques brutaux.
Ce que cela signifie pour vous
Pour les utilisateurs quotidiens et les petites entreprises, cette campagne rappelle que les rançongiciels ne nécessitent pas toujours un exploit technique sophistiqué. Ils nécessitent souvent simplement qu'une personne clique sur « activer le contenu » dans un fichier qui semble légitime. Les factures, les reçus et les documents de facturation sont des leurres particulièrement efficaces parce qu'ils créent un sentiment d'urgence ou d'obligation routinière, rendant les gens moins enclins à s'arrêter et à examiner le fichier avant de l'ouvrir.
Si votre travail ou votre messagerie personnelle implique régulièrement des factures, des bons de commande ou des pièces jointes financières, cette campagne mérite d'être prise au sérieux. Un rançongiciel déployé via un appareil compromis peut se propager aux lecteurs partagés, aux dossiers synchronisés dans le cloud et aux réseaux connectés, ce qui signifie qu'un seul clic imprudent peut avoir des conséquences bien au-delà d'un seul ordinateur.
Points à retenir concrets
Traitez avec prudence les pièces jointes de factures inattendues, en particulier celles provenant d'expéditeurs inconnus ou d'adresses e-mail inconnues qui imitent de véritables fournisseurs. N'activez jamais les macros dans un document Office à moins d'être certain de sa source et d'avoir une raison professionnelle précise de le faire. Gardez les paramètres de macro désactivés par défaut dans Excel et les autres applications Office, car la plupart des documents légitimes n'en ont pas besoin. Maintenez des sauvegardes régulières et hors ligne de vos fichiers importants afin qu'un rançongiciel ne puisse pas prendre en otage vos seules copies. Gardez les logiciels de sécurité des points de terminaison et les systèmes d'exploitation à jour, car de nombreux outils de détection sont continuellement affinés pour intercepter ces méthodes de diffusion par script en constante évolution.
Les campagnes de rançongiciels comme celle-ci réussissent en exploitant la confiance et la routine, pas seulement les faiblesses techniques. Rester vigilant face aux pièces jointes inattendues, vérifier les expéditeurs avant d'ouvrir les fichiers et garder les macros désactivées par défaut restent parmi les défenses les plus simples et les plus efficaces à la disposition des individus comme des organisations.
