Publié le 4 décembre 2025 18h34. Microsoft a discrètement corrigé une vulnérabilité critique dans la gestion des fichiers de raccourcis Windows, exploitée depuis plusieurs années par des groupes de cybercriminalité et d’espionnage étatique pour exécuter du code malveillant à l’insu des utilisateurs.
- Une faille de sécurité (CVE-2025-9491) permettait de masquer des commandes dangereuses dans les fichiers .lnk.
- Des groupes d’espionnage soutenus par la Chine, la Corée du Nord, l’Iran et la Russie ont utilisé cette vulnérabilité dans des campagnes de cyberespionnage et de vol de données.
- Microsoft a déployé une correction silencieuse dans le cadre de sa mise à jour de novembre 2025, rendant visible la commande complète dans les propriétés du raccourci.
La vulnérabilité, identifiée sous le nom de CVE-2025-9491, affecte la manière dont Windows gère les fichiers de raccourcis (.lnk). Elle permettait aux attaquants d’intégrer des commandes malveillantes dans ces fichiers tout en les dissimulant aux utilisateurs. Lorsque la victime ouvrait le raccourci, le code caché était exécuté, compromettant potentiellement le système.
Selon des chercheurs de Trend Micro, près d’un millier d’échantillons malveillants exploitant cette faille ont été détectés depuis 2017. Leur analyse a révélé l’implication de pas moins de onze groupes d’espionnage soutenus par des États, notamment la Corée du Nord, l’Iran, la Russie et la Chine. Ces groupes utilisaient cette vulnérabilité principalement dans le cadre d’opérations de cyberespionnage et de vol de données.
La technique employée par les attaquants était particulièrement astucieuse. Ils ajoutaient des espaces (ou d’autres caractères non imprimables) à la fin des commandes malveillantes. Ainsi, lorsque l’utilisateur consultait les propriétés du raccourci dans Windows, le champ “Cible” affichait une commande apparemment inoffensive, masquant la véritable nature de la menace.
Initialement, les tentatives de correction de cette vulnérabilité par la Zero Day Initiative (ZDI) de Trend Micro avaient été rejetées par Microsoft, qui la considérait comme une faille de « faible gravité » ne nécessitant pas de correctif immédiat. Cependant, face à l’intensification des attaques, notamment une campagne récente ciblant des entités diplomatiques européennes, Microsoft a finalement déployé une « atténuation silencieuse » dans sa mise à jour de novembre 2025.
D’après 0patch, un service spécialisé dans la surveillance des correctifs de sécurité, la mise à jour rend désormais visible la commande complète dans la boîte de dialogue “Propriétés” de Windows, mettant ainsi fin à la technique d’obscurcissement utilisée par les attaquants.
En octobre dernier, des chercheurs d’Arctic Wolf Labs avaient mis en évidence l’exploitation de cette vulnérabilité par un groupe d’espionnage chinois, connu sous le nom d’UNC6384 ou « Mustang Panda ». Ce groupe avait ciblé des entités diplomatiques européennes en Hongrie, en Belgique, en Italie, en Serbie et aux Pays-Bas. L’attaque débutait par des courriels de phishing se faisant passer pour des invitations à des ateliers de l’OTAN ou de la Commission européenne. En ouvrant le raccourci malveillant, les victimes déclenchaient l’installation du cheval de Troie d’accès à distance PlugX, permettant aux attaquants d’accéder et de contrôler les systèmes compromis.
Cette campagne souligne l’importance croissante du format LNK pour les attaquants. Ces fichiers, de petite taille et apparemment inoffensifs, contournent facilement les filtres de pièces jointes des e-mails tout en permettant l’exécution de code à distance grâce à l’ingénierie sociale.
Bien que Microsoft ait déployé un correctif, les experts en sécurité rappellent que le risque n’a pas totalement disparu. La longue période d’exploitation de cette vulnérabilité suggère que de nombreux systèmes pourraient encore être compromis. Il est donc crucial que toutes les machines Windows concernées reçoivent la mise à jour de sécurité afin de se protéger contre cette menace persistante.
Sur le même sujet
