Threat Spotlight : les risques commerciaux liés aux logiciels piratés

Les employés qui téléchargent des versions illégales de logiciels s’exposent à des violations de données et à bien d’autres risques, car la plupart de ces fichiers contiennent des malwares.

Ce qu’il faut retenir

• Au cours du mois dernier, le SOC de Barracuda a détecté plusieurs tentatives de téléchargement de logiciels piratés/crackés par des utilisateurs.
• Les logiciels illicites présentent des risques : infections par malware, vol d’identifiants, cryptomineurs, détournement de session, compromission de logiciels, ransomware, et plus encore.
• Les signes d’alerte incluent des fichiers exécutables inexpliqués, des fichiers ZIP enregistrés depuis le Web dans le dossier Téléchargements et des étapes d’activation manuelles.
• Les logiciels piratés ou crackés ne peuvent pas recevoir de mises à jour, ce qui laisse des failles de sécurité ouvertes.

Au cours du mois dernier, les outils et analystes du SOC de Barracuda ont détecté plusieurs cas d’utilisateurs tentant de télécharger et d’activer des versions piratées ou crackées de logiciels ainsi que des programmes d’installation non autorisés sur des terminaux d’entreprise.

Les logiciels piratés et crackés sont traditionnellement associés au monde du jeu vidéo : des joueurs cherchant des mises à niveau gratuites, des améliorations ou des hacks spéciaux. Un logiciel piraté désigne un programme copié illégalement, tandis qu’un logiciel cracké désigne un programme modifié pour contourner les mécanismes de licence ou de protection conçus pour empêcher le piratage.

Ces deux types de logiciels représentent un risque commercial important. Des employés recherchant des outils gratuits, non officiels et sans licence pour gagner en productivité, en facilité d’accès ou pour réduire les coûts peuvent involontairement devenir le point d’entrée d’incidents de sécurité graves.

Le risque des logiciels illicites

Les logiciels piratés et crackés sont extrêmement dangereux. Des études montrent que jusqu’à 80 % (voire plus) de ces programmes contiennent du contenu malveillant. Facteur aggravant, ces logiciels ne peuvent pas être corrigés ni mis à jour comme les versions légitimes, laissant les failles de sécurité ouvertes.

Lorsque des employés installent des logiciels crackés sur des terminaux d’entreprise, ils exposent l’organisation à des infections par malware, au vol d’identifiants, à des cryptomineurs, au détournement de session, à la compromission de logiciels, à des ransomwares, et bien d’autres menaces.

Comment détecter les téléchargements de logiciels crackés

Le SOC a détecté plusieurs fichiers exécutables suspects apparaissant à des emplacements où les utilisateurs peuvent ajouter du contenu, comme les dossiers « Téléchargements ». Les données ont également montré que ces fichiers étaient lancés manuellement peu après une activité du navigateur, par exemple depuis Chrome ou Microsoft Edge, et souvent via explorer.exe.  

Ce sont des indicateurs connus d’une tentative d’installation de logiciel cracké. Tous les cas ont été neutralisés par le SOC avant qu’ils ne puissent établir une persistance.

Il n’existe pas de téléchargement d’exécutable inoffensif

La détection de nouveaux fichiers exécutables, ou binaires, inattendus est presque toujours synonyme de problème. L’analyse de Barracuda a révélé que 87 % des fichiers exécutables distribués par e-mail étaient malveillants.

Les données les plus récentes du SOC mettent en évidence des détections répétées de trois types de fichiers exécutables : activate.exe, activate.x86.exe et activate.x64.exe.

Ces noms de fichiers sont génériques. Ils ont été délibérément choisis pour paraître légitimes, rassurants et ordinaires. Ils sont fréquemment utilisés dans des bundles de logiciels piratés/crackés, des pièces jointes de phishing, de faux programmes d’installation de logiciels, etc.

Dans la plupart des cas malveillants, « activate.exe » n’active rien du tout. À la place, il charge un malware, un injecteur capable d’installer d’autres malwares, ou sert d’enveloppe pour lancer des charges utiles cachées.

Les versions x86 et x64 des fichiers activate.exe permettent d’assurer l’exécution sur différents systèmes Windows.

Ces noms de fichiers sont souvent observés dans des versions crackées de Microsoft, Adobe et d’autres outils professionnels.

Le signal d’alerte lié au comportement utilisateur

Les logiciels piratés/crackés nécessitent une interaction manuelle pour installer et activer le programme, donc, par extension, la charge malveillante. C’est une bonne nouvelle pour les défenseurs, car dans un environnement informatique de plus en plus automatisé, tout signe d’activité manuelle liée à un téléchargement logiciel constitue un fort indicateur de logiciel illégal.

Signes réseau indiquant le téléchargement intentionnel d’un fichier suspect :

• Le fichier entrant provient d’un client torrent (streaming) tel que BitTorrent.
• Le fichier entrant provient d’un site connu de « téléchargement gratuit » ou de cracks.
• Le fichier entrant provient d’un site de partage de fichiers pouvant héberger de gros fichiers compressés ZIP, RAR ou 7z.
• Les fichiers ont été téléchargés par lots.
• Les fichiers ont été téléchargés sous forme d’archives ZIP/RAR protégées par mot de passe.

Les éditeurs de logiciels légitimes ne distribuent pas leurs logiciels ni leurs outils d’activation de cette manière.

Comportements utilisateurs suggérant l’installation et l’activation de fichiers suspects :

• Extraction manuelle d’une archive via l’Explorateur Windows, WinRAR ou 7-Zip
• Création ou ajout de contenu dans les dossiers Téléchargements ou Documents\Logiciels
• Ouverture des fichiers un par un plutôt qu’exécution automatique
• Cliquer sur Oui aux invites ou exécuter les fichiers manuellement

Les logiciels piratés/crackés nécessitent généralement une activité manuelle étape par étape.

Les équipes de sécurité informatique peuvent également détecter des tentatives de blocage des vérifications de licence.

En résumé, si l’équipe de sécurité informatique détecte la présence d’un fichier activate.exe associée à des téléchargements manuels, des dossiers de cracks extraits, des fichiers d’instructions, une demande d’approbation administrateur et des modifications visant à contourner la licence, il est très probable que l’utilisateur ait intentionnellement tenté d’installer un logiciel piraté/cracké.

Que faire en cas de détection de logiciel piraté/cracké

Comment débarrasser le réseau des logiciels illégaux malveillants :

• Supprimer le logiciel piraté/cracké ainsi que les fichiers d’activation. Supprimer le programme d’installation, le crack, le keygen et les dossiers extraits.
• Désinstaller l’application concernée et, si nécessaire, la réinstaller depuis une source approuvée et sous licence.
• Lancer une analyse anti-malware complète : les logiciels crackés incluent souvent des composants indésirables comme des infostealers, même si l’intention initiale était simplement le piratage.
• Annuler les modifications de contournement de licence.
• Réinitialiser ou reconstruire l’appareil si l’un des cas suivants s’applique :
• L’antivirus ou la solution (EDR) a détecté d’autres malwares.
• Des fichiers système ou des binaires d’applications critiques ont été remplacés.
• Il est impossible d’annuler en toute confiance toutes les modifications apportées par le logiciel cracké.
• L’utilisateur a désactivé des contrôles de sécurité (antivirus, EDR, firewall).

Conclusion

Pour protéger les employés et les actifs contre les dommages causés par les logiciels piratés/crackés, les organisations peuvent :

• Mettre en place des mesures de protection des terminaux pour bloquer automatiquement les exécutables inconnus ou non autorisés en temps réel, même lorsqu’ils sont lancés manuellement.
• Restreindre les droits d’administrateur local et exiger une approbation pour toute installation de logiciel.
• Mettre en œuvre un contrôle des applications afin de n’autoriser que les logiciels approuvés sur les appareils d’entreprise.
• Surveiller l’apparition de fichiers exécutables dans les dossiers accessibles aux utilisateurs, comme Téléchargements et Temp.
• Combiner contrôles techniques, politiques d’usage acceptables claires et formation de sensibilisation des utilisateurs pour réduire les comportements à haut risque.