Threat Spotlight : CypherLoc, un scareware avancé de verrouillage du navigateur ciblant des millions d’utilisateurs

Barracuda Research détaille un kit d’attaque web combinant charges utiles chiffrées, contrôles agressifs du navigateur et tactiques de forte pression

Ce qu’il faut retenir

• CypherLoc est un scareware sophistiqué de verrouillage du navigateur, conçu pour pousser les victimes à appeler de fausses lignes d’assistance technique.
• Il échappe aux scanners et aux bacs à sable grâce à une exécution chiffrée et conditionnelle au sein du navigateur.
• Les équipes de sécurité doivent disposer de protections robustes contre le phishing, ainsi que de protections navigateur et endpoint, et donner la priorité à la sensibilisation des utilisateurs.

Barracuda Research, la branche de renseignement sur les menaces de Barracuda, a identifié CypherLoc, un kit de scareware sophistiqué basé sur le web qui combine des techniques d’évasion avancées, des contrôles agressifs du navigateur et une manipulation psychologique : l’objectif étant de pousser les victimes à appeler de faux numéros d’assistance technique.

Depuis le début de l’année 2026, les chercheurs de Barracuda ont observé environ 2,8 millions d’attaques impliquant ce kit.

CypherLoc montre comment les scarewares ont évolué, passant de simples scams à écran figé à des cadres d’attaque furtifs résidant dans le navigateur, qui reposent sur la peur de l’utilisateur plutôt que sur l’installation de malwares. Dans le cas de CypherLoc, cela inclut l’utilisation nouvelle et innovante de chargeurs chiffrés, d’une exécution déclenchée par hash et du remplacement de page pendant l’exécution opérationnelle.

Le déroulement d’une attaque

L’attaque commence généralement par un e-mail de phishing qui dirige la victime vers une page web malveillante au moyen d’un lien intégré soit dans le corps du message, soit dans une pièce jointe.

La page web semble initialement inoffensive, mais se transforme progressivement en un environnement de scareware entièrement contrôlé. Le déclencheur de cette transformation est caché dans la page web et ne se déchiffre que si certaines conditions sont remplies (comme expliqué ci-dessous). Si ces conditions sont réunies, la page se transforme en une interface de scareware en plein écran qui verrouille le navigateur, affiche des messages de sécurité alarmants et exhorte l’utilisateur à contacter immédiatement l’assistance.

Si quelqu’un tente d’inspecter ou d’examiner la page pendant son exécution, celle-ci provoque délibérément un ralentissement, des dysfonctionnements ou une instabilité du navigateur. Pour la victime, cela renforce l’illusion d’un problème système grave.  

Le flux ci-dessous illustre la transformation allant de l’accès initial jusqu’au verrouillage complet du navigateur.

Légende : Flux d’exécution de CypherLoc. Illustration générée par IA à des fins pédagogiques.

Techniques principales qui rendent CypherLoc difficile à détecter

Une charge utile chiffrée, déclenchée par hash, dissimulée dans la page web

CypherLoc dissimule sa véritable fonctionnalité dans une charge utile chiffrée intégrée directement à la page web. Le code ne se déchiffre que lorsque la page est ouverte dans les bonnes conditions : lorsque le fragment d’URL requis est présent et que la page réussit une série de contrôles d’intégrité cryptographiques.

Si le fragment caché est absent ou si la page est ouverte dans un scanner, un bac à sable ou un environnement de test, la charge utile malveillante refuse de s’exécuter et la page redirige vers un écran vide. Cela permet de dissimuler l’attaque aux outils de sécurité. 

Légende : Chargeur JavaScript chiffré utilisé dans CypherLoc pour valider, déchiffrer et exécuter la charge utile cachée.

Une analyse plus technique, basée sur le code, du flux d’exécution initial est incluse dans le tableau à la fin de cet article.

Remplacement de la page d'exécution

La page qui se charge initialement n’est pas la page finale du scareware. Après un déchiffrement réussi, la page d’origine s’efface elle-même et place une page entièrement nouvelle dans le navigateur. Cette transformation soudaine réinitialise les scripts et interrompt l’inspection en direct, ce qui donne à la page une impression de danger et d’instabilité.

Verrouillage agressif du navigateur

CypherLoc restreint activement l’activité de l’utilisateur en prenant le contrôle en mode plein écran, en désactivant les menus contextuels, en masquant le curseur et en recouvrant l’écran de superpositions. Toute tentative de reprendre le contrôle déclenche immédiatement un comportement de « reverrouillage », créant une forte impression d’enfermement.

La pression sonore

La fausse page de sécurité joue automatiquement des sons d’avertissement chaque fois que l’utilisateur clique, que la page passe en plein écran ou qu’elle se recharge. Ce bruit et cette activité supplémentaires peuvent ralentir le navigateur, le rendre instable, voire le faire planter, ce qui complique l’analyse.

Affichage de l’adresse IP pour donner une impression de personnalisation

CypherLoc récupère l’adresse IP publique de la victime au chargement de la page et l’affiche sur la page d’accueil. L’affichage de cette adresse IP est une tactique psychologique conçue pour donner l’impression que l’avertissement est personnalisé et renforcer le sentiment de peur et d’urgence. Même si aucune exploitation technique n’est impliquée, la présence de l’adresse IP de la victime renforce l’illusion que le système est activement suivi.

Faux formulaires de connexion comme appât de légitimité

Dans CypherLoc, des formulaires de connexion sont présentés aux victimes et leur demandent de saisir des noms d’utilisateur et des mots de passe. Ces informations ne sont jamais traitées. Leur objectif est, là encore, purement psychologique : ils donnent à la menace une apparence légitime, maintiennent la victime plus longtemps sur la page et renforcent le sentiment de panique lorsque la saisie des identifiants ne résout pas le problème.

Légende : Exemple de formulaire de connexion usurpé dans une attaque CypherLoc.

Rediriger les victimes vers de fausses lignes d’assistance technique

Un faux numéro d’assistance est affiché de manière bien visible à l’écran tout au long de l’attaque et présenté comme le seul moyen de résoudre le problème. Lorsque les victimes appellent ce numéro, des opérateurs humains se faisant passer pour le support de Microsoft prennent le relais et poursuivent le scam dans le cadre d’une conversation en direct.

Analyse et perturbation du navigateur

Une forte activité est déclenchée si quelqu’un ouvre les outils de développement, en particulier l’onglet Réseau. Les ressources se rechargent, les pipelines multimédias redémarrent et les recalculs de mise en page se produisent à répétition. Le bruit ainsi généré submerge les outils d’analyse et entraîne une instabilité du navigateur ainsi que des boîtes de dialogue d’erreur système.

Légende : Boîte de dialogue d’erreur système dans une attaque CypherLoc.

Ce que CypherLoc révèle sur l'évolution du scareware

CypherLoc montre comment les scarewares modernes s’éloignent des malwares évidents pour se tourner vers des attaques basées sur le navigateur et la manipulation des utilisateurs, difficiles à détecter et très efficaces.

CypherLoc s’appuie sur la furtivité et l’inquiétude des utilisateurs, en utilisant le navigateur pour pousser les victimes à se faire piéger elles-mêmes. En combinant chiffrement, exécution conditionnelle, abus agressif de l’interface utilisateur et perturbation de l’analyse, il crée une illusion convaincante de compromission du système tout en conservant une empreinte technique propre et un profil réseau discret.

Que peuvent faire les organisations pour rester en sécurité

Les équipes de sécurité doivent s’assurer qu’elles disposent de protections robustes contre le phishing, ainsi que de protections navigateur et endpoint capables de détecter et de bloquer tout comportement de script suspect. La sensibilisation des utilisateurs est tout aussi importante, car les alertes de sécurité légitimes n’affichent pas de numéros de téléphone, ne verrouillent pas les navigateurs et n’exigent pas d’action immédiate via des pop-ups.

Alors que les pirates délaissent les malwares traditionnels au profit d’attaques basées sur le navigateur et pilotées par l’utilisateur, les organisations ont besoin de contrôles qui protègent les utilisateurs, et pas seulement les appareils. Le scareware CypherLoc est un exemple clair de menace située à l’intersection du phishing, du social engineering et de l’évasion technique.

Une analyse plus technique, basée sur le code, du flux d'exécution initial