Publié le 9 octobre 2025 à 09h48. Une nouvelle campagne de malware cible les utilisateurs de Microsoft Teams en dissimulant un logiciel malveillant dans de faux installateurs, ouvrant la porte à un accès prolongé et secret aux systèmes compromis.
- Des attaquants exploitent l’optimisation pour les moteurs de recherche (SEO) et la publicité en ligne pour diffuser des installateurs frauduleux de Microsoft Teams.
- Le malware, baptisé Oyster (ou Broomstick), permet aux cybercriminels d’établir une communication de commande et de contrôle (C2) avec les machines infectées.
- Les experts en sécurité recommandent de télécharger les logiciels uniquement depuis les sites web officiels pour éviter ces menaces.
Une nouvelle menace pèse sur les utilisateurs de Microsoft Teams. Des cybercriminels ont mis au point une technique sophistiquée pour diffuser un malware, surnommé Oyster ou Broomstick, en le cachant dans des installateurs qui ressemblent à la version légitime de l’application de communication. Cette porte dérobée permet aux attaquants d’accéder à distance et de manière persistante aux ordinateurs des victimes.
L’équipe Advisory Pursuit du groupe de sécurité Blackpoint Cyber, qui suit de près cette campagne à grande échelle, a partagé ses découvertes avec Hackread.com. Selon leurs analyses, les attaquants misent sur une double stratégie pour inciter les utilisateurs à télécharger leurs fichiers malveillants.
La première consiste à manipuler les résultats des moteurs de recherche grâce à une technique d’ empoisonnement SEO. Ils font ainsi remonter en haut des résultats de recherche des pages de téléchargement frauduleuses. La seconde repose sur l’utilisation de publicités malveillantes, en payant pour que des annonces apparaissent lorsque les internautes recherchent des termes tels que « Téléchargement Teams ». De nombreux utilisateurs ont tendance à faire confiance aux premiers résultats affichés.
En cliquant sur ces liens trompeurs, les victimes sont redirigées vers des sites web frauduleux, comme le domaine teams-install.top identifié par les chercheurs. Ils sont alors incités à télécharger un fichier nommé MSTeamsSetup.exe.
Une analyse plus approfondie a révélé que les attaquants ont même pris la peine de signer numériquement ces faux installateurs avec des certificats non fiables, émis par des entreprises telles que 4th State Oy et NRM NETWORK RISK MANAGEMENT INC. Cette signature a pour but de donner une apparence légitime au fichier et de contourner les contrôles de sécurité de base.
Une fois exécuté, le fichier installe discrètement la porte dérobée Oyster, tout en lançant parfois le véritable programme Microsoft Teams pour ne pas éveiller les soupçons.
Oyster : l’espion invisible
Oyster est un malware polyvalent qui établit une communication de commande et de contrôle (C2). En d’autres termes, il crée un canal de communication secret permettant aux attaquants d’envoyer des instructions à la machine compromise depuis leurs propres serveurs.
Les chercheurs de Blackpoint Cyber ont identifié plusieurs serveurs contrôlés par les attaquants, tels que nickbush24.com ou techwisenetwork.com. Ce contrôle à distance leur permet de collecter des informations sur le système de la victime, voire de diffuser d’autres logiciels malveillants plus destructeurs.
Pour assurer un accès à long terme, le malware crée également une tâche planifiée récurrente, nommée CaptureService, qui garantit le redémarrage de la connexion même après un redémarrage de l’ordinateur.
Cette attaque est particulièrement efficace car le malware parvient à se fondre dans l’activité normale de l’ordinateur, réussissant même à contourner certains logiciels de sécurité réputés.
Selon Jason Barnhizer, directeur des opérations contre les menaces chez Blackpoint Cyber, ce type d’attaque n’est pas isolé.
« Cette activité rappelle des attaques similaires observées par le passé. »
Jason Barnhizer, directeur des opérations contre les menaces, Blackpoint Cyber
Il souligne une tendance persistante des attaquants à utiliser des marques de logiciels de confiance pour obtenir un accès initial, comme ce fut le cas avec les campagnes ciblant PuTTY.
Les chercheurs de Blackpoint Cyber recommandent vivement de faire preuve de prudence lors du téléchargement de logiciels. Pour se protéger, il est essentiel de se rendre directement sur le site web officiel du fournisseur (tel que le domaine officiel de Microsoft) ou d’utiliser un signet enregistré, plutôt que de cliquer sur des liens trouvés dans les résultats de recherche ou les publicités.
