// CLUBIC — CYBERSECURITY
Télécharger des films illégalement est interdit, mais certains torrents cachent aussi un malware
Des cybercriminels ont détourné des torrents de films pour distribuer un exécutable déguisé en « The Odyssey », le film de Christopher Nolan. Les chercheurs de Kaspersky ont recensé plusieurs centaines de victimes dans au moins quatorze pays, administrations comprises.
On vous avait ranconté en août comment Bitdefender a détecté Lumma Stealer dans de fausses copies de L'Odyssée. Les attaquants pouvaient récupérer les mots de passe enregistrés et les portefeuilles de cryptomonnaies de leurs victimes.
Cette fois, Konstantin Isakov et Pavel Cheremushkin, chercheurs de l'équipe GReAT de Kaspersky, ont analysé la campagne MovieReaper, dont l'appât est aussi le film de Christopher Nolan. En lançant le fichier téléchargé, la victime donne aux attaquants un accès à ses documents.
Le fichier est intitulé « the odyssey (2026) [1080p] [webrip] [5.1].exe ». Ce nom est celui d'une release ordinaire, à l'extension .exe près, alors qu'un film est le plus souvent un fichier MKV ou MP4. Dans Windows, les extensions de fichiers sont masquées par défaut. Bitdefender l'a rappelé en août, en conseillant d'activer leur affichage.
D'après le rapport de Kaspersky, la campagne a débuté à la mi-août, mais des activités des auteurs de MovieReaper remontent à octobre 2025, sans lien établi avec un groupe connu. Ces cybercriminels ont compromis le dépôt public itorrents.org. Les attaquants n'ont donc pas eu à infiltrer chaque tracker, puisque ceux qui utilisent ce dépôt ont distribué sans le savoir des fichiers torrent malveillants. Le rapport n'indique pas comment le dépôt a été compromis.
Les victimes n'ont pas de profil type, au contraire, elles viennent de l'administration et de plusieurs secteurs, dont l'informatique, le conseil, le commerce, le transport et l'agriculture. Idem pour leur localisation. Le rapport cite la Russie, la Turquie, le Japon, la Colombie, le Népal et plusieurs pays d'Afrique, ainsi que l'Espagne, les Pays-Bas, la Belgique, l'Allemagne et la Finlande. Notre confrère Phonandroid ajoute La France à la liste des pays les plus touchés.
La première étape est le lancement de l'exécutable, qui est un chargeur. Les attaquants livrent le code de l'étape suivante depuis le domaine deadhub.org, avec l'adresse IP 193.23.118.155 en secours, sur des URL aux chemins aléatoires, tels que /cloud/v192.4/ui/sync-status-icons.png. Pour les chercheurs, cette première étape est la meilleure occasion de perturber la campagne, puisque les attaquants n'utilisent, à ce stade, qu'un domaine et qu'une adresse IP.
La deuxième étape est une requête HTTPS envoyée à la blockchain Solana, sur le point d'accès getAccountInfo. Ce réseau public est légitime, et ses comptes sont lisibles par n'importe qui. Le compte interrogé contient l'adresse d'un second serveur de commande et de contrôle, encodée en base64 et chiffrée avec une clé XOR statique. Les attaquants utilisent ainsi Solana pour publier cette adresse et améliorent la stabilité de leur campagne, selon les chercheurs.
Dans la troisième étape, les attaquants contournent le contrôle de compte d'utilisateur de Windows, puis déposent un fichier déguisé en msedge.exe dans le dossier ProgramData\Microsoft\Windows\Telemetry et relancent le programme pour maintenir l'infection.
La quatrième et dernière étape est un module de gestion de fichiers, avec une communication en HTTPS et un certificat TLS épinglé. L'opérateur dispose alors de 21 commandes pour parcourir les répertoires de la victime et manipuler ses fichiers à distance. Il peut aussi consulter un aperçu des images avant de les récupérer. PhonAndroid évoque en outre un risque de vol de données ou d'installation d'autres logiciels malveillants.