Des images loin d’être parfaites : le risque des fichiers JPG malveillants

Comment les pirates informatiques se servent d’images ordinaires pour diffuser des menaces dissimulées

Ce qu’il faut retenir

• Les pirates mettent désormais à profit des formats d’images courants, comme le format JPG, pour diffuser des éléments malveillants cachés. Cette technique rend plus difficile la détection des menaces par les utilisateurs.
• Les méthodes de diffusion d’éléments logiciels malveillants sont en train d’évoluer. Selon de récents rapports sur les menaces, les pirates recourent aujourd’hui à l’IA et tirent parti des jetons d’authentification et des intégrations de SaaS.
• Les images malveillantes (au format JPG ou autre) contiennent des données dangereuses dissimulées dans des fichiers d’apparence sûre. Ce stratagème contourne les mesures de sécurité conventionnelles focalisées sur les e-mails et les liens.
• Certaines attaques récentes ont recouru à des images MSI déguisées en fichiers légitimes, ce qui met en lumière l’adaptation continuelle des pirates à l’usage d’images à des fins malveillantes.

Les éléments logiciels malveillants sont des cibles mouvantes. Les pirates modifient constamment leur façon d’infiltrer les systèmes, de contourner les mesures de sécurité en place et d’exfiltrer des données. Ils recourent également à l’IA pour automatiser leurs attaques à grande vitesse, en tirant parti des intégrations de SaaS à privilèges stricts pour élargir leur impact et en se procurant des jetons pour neutraliser l’authentification multifacteur.

En ce moment, le Centre des tempêtes d’Internet (ISC) du SANS Institute signale l’apparition récente d’un nouveau type de risque : les fichiers JPG (ou JPEG) malveillants. Cet article informe les entreprises de ce qu’elles doivent savoir sur le fonctionnement de ces images problématiques et des mesures à prendre pour rester en sécurité.

Bref historique des problèmes liés aux images

La dissimulation d’éléments malveillants dans des images n’est pas une technique nouvelle. En 2015, le logiciel malveillant Stegoloader utilisait la stéganographie numérique pour dissimuler du code malveillant dans des images PNG. À bien des égards, ce vecteur était plus intéressant qu’efficace, car il obligeait les utilisateurs ciblés à télécharger une telle image depuis un site web légitime. Comme le nombre de personnes téléchargeant des fichiers PNG était relativement faible et les responsables de site prenaient des mesures pour sécuriser le contenu publié, Stegoloader ne s’est pas beaucoup fait remarquer parmi les logiciels malveillants.

Par contre, son apparition a apporté la preuve incontestable de la réalité du mode opératoire employé. Non seulement des éléments logiciels malveillants pouvaient être transmis par le biais d’images, mais le vecteur employé était inattendu. Les utilisateurs étaient occupés à surveiller les canaux de distribution plus courants pour les logiciels malveillants, comme les pièces infectées jointes aux e-mails et les liens d’hameçonnage. Ils ne pensaient pas aux images, ce qui en faisait un moyen d’attaque astucieux.

Les fichiers JPG malveillants : quand les apparences sont trompeuses

Pour les internautes, les images semblent en général sûres. La raison en est que la plupart des entreprises proposent aujourd’hui des formations régulières sur la sécurité à leur personnel en mettant l’accent sur les e-mails, les fichiers et (depuis plus récemment) l’ingénierie sociale appuyée par l’IA. Le sujet des images hypertruquées est aussi abordé dans ces formations, mais l’attention est concentrée sur les risques posés par les images elles-mêmes et non par ce qu’elles peuvent dissimuler.

Ceci étant, les fichiers JPG contiennent le même type d’éléments que tous les autres : des données. Lorsqu’elles sont structurées correctement et lues par l’application appropriée, ces données forment une image. Par contre, rien n’empêche qu’elles soient modifiées, comme tout autre type de données. Pour les pirates, cette possibilité offre une occasion de tromper leurs cibles en envoyant des fichiers trompeurs.

L'image MSI malicieuse

Au cours des deux derniers mois, les professionnels de la sécurité ont suivi les mouvements d’une image MSI malveillante. Découverte pour la première fois au début du mois de février 2026, cette image faisait partie d’une pièce jointe à des e-mails. À première vue, le contenu transmis avait l’apparence d’un script destiné à la création d’un injecteur pour Chrome, mais Xavier Mertens, expert en sécurité informatique, y a remarqué un fichier BAT qui semblait être un référentiel dupliqué de GitHub.

Voici comment l’attaque s’est déroulée :

1. Après l’exécution du script de base, le fichier passait à :EndScript, puis à un appel à :show_msgbox.
2. Ensuite, PowerShell entrait en action pour exécuter un ensemble de données codées en Base 64, qui étaient camouflées par des caractères sans effet.
3. Le script PowerShell récupérait alors une charge utile dans l’image, qui était un fichier MSI légitime modifié.
4. Cette modification pointait vers une autre charge utile, à savoir un programme .Net qui mettait en œuvre la persistance par le biais d'une tâche programmée et utilisait Telegram comme centre de commande et de contrôle. 

En fin de compte, M. Mertens a déterminé que l’élément malveillant contenu dans l’image disséminait le cheval de Troie XWorm. Quelques semaines plus tard, un autre expert s’est trouvé face à la même technique, utilisée cette fois avec JScript et non un téléchargeur par lots.

Les réductions de taille qui dérapent

Sans surprise, l’IA est à l’origine d’un autre risque croissant lié aux images : les réductions de taille.

Lorsque des images sont utilisées dans le cadre d’une requête d’IA, leur taille est souvent réduite au cours de l’opération. Dans ces cas, comme Tech Radar l’a noté, les acteurs malveillants peuvent recourir à certaines techniques d’interpolation — comme l’interpolation au plus proche voisin, la méthode bilinéaire ou la méthode bicubique — pour faire générer dans ces images des artefacts qui n’apparaissent qu’après la réduction de taille.

Certains outils d’IA lisent ces artefacts comme des éléments saisis par les utilisateurs et tentent d’exécuter les instructions qui y sont dissimulées. Lorsque des entreprises utilisent des logiciels d’IA publics ou des outils internes peu sécurisés, ces images manipulées peuvent devenir des portes d’entrée permettant à des pirates d’exfiltrer des données ou de déployer des menaces persistantes avancées (APT).

Comment prévenir les problèmes liés aux images

Pour limiter les risques posés par les fichiers JPG malveillants, rappelons d’abord un conseil familier : n’ouvrez jamais de pièces jointes ou d’images inconnues. Les pare-feux de nouvelle génération excellent dans la détection des menaces potentielles, mais ils ne sont pas infaillibles. En choisissant de supprimer et de signaler les e-mails douteux plutôt que de prendre le risque d’ouvrir des images suspectes envoyées en pièce jointe, les travailleurs peuvent éliminer presque tous les problèmes liés aux images.

Il convient de noter qu’il s’agit d’un travail d’équipe. Les entreprises doivent créer une culture de la cybersécurité axée sur le signalement, qui encourage le personnel à partager ses préoccupations. Si les employés sont invités à ignorer simplement les menaces éventuelles ou sont réprimandés pour avoir perdu du temps, cela supprime une couche essentielle de sécurité et augmente le risque d’attaques inattendues. 

En ce qui concerne les fichiers JPG dont la taille est réduite par l’IA, trois types de mesures sont susceptibles de contrecarrer les efforts des acteurs malveillants. Premièrement, les entreprises peuvent limiter les dimensions des entrées d’IA, ce qui amoindrit le besoin de réduire la taille des images. Deuxièmement, les utilisateurs peuvent prévisualiser tous les résultats de requête dont la taille a été réduite, afin d’y détecter les artefacts visibles. Il s’agit d’un autre élément de la culture donnant la priorité au signalement, mentionnée plus haut : quand le personnel d’une organisation a des doutes sur une image, un processus clair doit être en place pour la signaler et l’évaluer.

Pour finir, les équipes de sécurité informatique peuvent veiller à ce qu’une confirmation explicite d’autorisation soit obtenue avant tout usage d’un outil de modèle d’IA interne pour une action sensible. Par exemple, lorsqu’un utilisateur demande à l’IA de modifier une image compromise, il arrive que cette image demande à l’IA de faire appel à des outils financiers ou de ressources humaines pour accéder à des données sensibles. Si les règles exigent une confirmation explicite d’autorisation, le modèle en usage ne procédera pas à ce type d’action sans l’approbation directe de certaines personnes, par exemple des professionnels de l’informatique.

La protection liée aux images : ne faites pas de choix aveugles !

Les images JPG malveillantes ne sont pas courantes, mais elles sont préoccupantes. Les employés ne considèrent généralement pas ces images comme des menaces quand elles sont jointes à des messages, et elles ne sont habituellement pas signalées comme potentiellement nocives quand elles sont utilisés dans des instructions d’IA.

Ce n’est pas en agissant aveuglément au cas par cas que l’on peut assurer une protection adéquate en rapport avec les images. Les risques sur les systèmes ne seront pas réduits de cette manière. Il incombe aux entreprises de mettre en place des stratégies globales appropriées, avec des formations à la sécurité constamment mises à jour, et d’appliquer des politiques cohérentes englobant le signalement des problèmes, la réduction de la taille des images et le recours aux outils d’IA.