Un fichier offert à ceux qui veulent débloquer 100 % d’un jeu sans y jouer. 67 antivirus l’ont passé au crible. Aucun n’a rien trouvé. Il vide pourtant les comptes Steam de ceux qui le lancent.
La chaîne The PC Security Channel a reçu l’échantillon d’un de ses spectateurs, qui a failli l’installer. Ce malware Steam circule sur les forums officiels de la plateforme, sous les traits d’un mod parfaitement banal. Voici par où il passe, et surtout pourquoi personne n’arrive à le confondre.
Zéro détection sur 67 antivirus
Le fichier s’appelle FHUOR 2 SAVE LOADER.exe et pèse 88,31 Mo. Soumis à VirusTotal, le service qui fait analyser un même fichier par des dizaines d’antivirus d’un coup, il ressort avec 0 détection sur 67 moteurs. Il vient d’un message posté sur le forum officiel de Steam, présenté comme un mod pour un jeu récemment sorti. Sa promesse tient en une phrase : débloquer toute la progression et les 69 succès du jeu, en un clic.
Récupérer une sauvegarde complète n’a rien de choquant en soi. Sur un gros jeu solo comme Skyrim, un joueur qui a déjà terminé l’aventure cherche parfois un fichier tout fait pour rouvrir toutes les zones sans tout refaire. C’est ce créneau banal que le message exploite.
Ce silence des antivirus est justement la signature d’un infostealer, un programme conçu pour voler identifiants et données sensibles sans se faire remarquer. Pas d’explosion d’alertes, pas de comportement bruyant. Quelques connexions discrètes, et des mots de passe qui partent vers un serveur distant sans que rien ne bronche.
L’échantillon n’a rien d’une nouveauté. La dernière analyse VirusTotal remonte à 22 jours, et l’auteur de la vidéo précise avoir reçu un signalement bien avant cela. Ce type de malware Steam circule depuis longtemps sur les forums de la plateforme.
Les commentaires du forum disent tout, mais plus bas
En haut du message posté sur Steam Community, les premiers retours sont enthousiastes. « Merci beaucoup, ça m’a bien aidé. » « Super utile. » Rien ne laisse deviner un problème. C’est justement le piège : un fil de commentaires qui commence bien ne prouve rien du tout.
Il faut descendre pour que le ton change. Un commentaire prévient que l’application contient un code malveillant, un voleur d’identifiants conçu pour dérober le compte Steam, le mot de passe et les cookies, ces jetons qui gardent votre session ouverte sans redemander vos identifiants. La consigne est claire : ne pas télécharger.
Un second témoignage va plus loin. Dès que le fichier infecté est lancé, l’attaquant prend la main sur le compte. La langue de l’interface bascule en russe, et les objets partent vers un compte fantôme. La question de ce que vous possédez sur un compte de jeu se pose alors dans les termes les plus brutaux : vous ne possédez plus rien, et il n’y a personne à appeler.
Les avis positifs du haut de page ressemblent à de l’appât, ou à des victimes qui n’ont pas encore compris ce qu’elles venaient d’installer. Les alertes, elles, viennent de joueurs déjà dépouillés. Rien dans les trois premiers commentaires ne l’aurait laissé deviner.
Le mot de passe qui aveugle les analyses automatiques
Le mode de diffusion du fichier donne un premier indice. Le lien posté sur le forum renvoie vers Google Drive, où se trouve une archive ZIP protégée par mot de passe. À côté, un fichier texte nommé « password.txt » contient ce mot de passe. La justification affichée est simple : « pour votre sécurité ». C’est l’inverse qui se produit.
Tant que le mot de passe n’est pas saisi, le contenu de l’archive reste chiffré. Aucun bac à sable, ces machines jetables et isolées où l’on exécute un fichier suspect pour observer ce qu’il fait sans risque, ne peut l’ouvrir tout seul. Aucun service d’analyse automatique de Google Drive ne peut le lire non plus. Le fichier n’est donc inspecté par personne, pas parce qu’il serait invisible, mais parce qu’il est verrouillé. Voilà ce qui explique la fiche VirusTotal à zéro détection.
La technique porte un nom précis : l’évasion de détection, l’art de rendre un fichier illisible pour les analyses automatiques. Elle n’a rien d’exotique. Les cybercriminels qui monétisent leurs coups l’emploient en routine, parce qu’elle ne coûte rien et fonctionne presque à tous les coups. Il ne s’agit pas d’un malware Steam sophistiqué au sens technique. C’est une serrure posée devant la porte, qui empêche les machines de regarder à l’intérieur avant que la victime ne l’ouvre elle-même.
Pourquoi ce malware Steam échappe à la détection
Admettons qu’on ouvre l’archive soi-même et qu’on soumette le fichier à l’analyse. Que reste-t-il à observer ? Presque rien. La fiche du fichier ne montre qu’une poignée de connexions sortantes, classées faible risque. C’est tout ce que révèlent les règles de détection réseau, ces signatures qui repèrent un trafic suspect, ici des requêtes vers un domaine en .icu jugé douteux par Proofpoint Emerging Threats. Deux alertes de niveau bas. Aucune preuve formelle d’un vol de données.
Voilà le vrai problème. Comment prouver qu’un programme vole des identifiants quand tout se joue côté serveur ? Depuis la machine infectée, on voit des données partir, rien de plus. Le rapport se contente d’indiquer du trafic TCP et UDP. Si ces données sont chiffrées, rendues illisibles par un code que seul le destinataire détient, impossible de dire s’il s’agit de mots de passe, de cookies de session ou d’un simple signal technique.
Lire des fichiers n’a rien d’illégal en soi. Des milliers de logiciels parfaitement légitimes accèdent aux données locales sans que personne s’en inquiète. Que ce programme consulte les fichiers Steam et les cookies du navigateur ne suffit pas à le désigner. Il fait peut-être vraiment ce qu’il promet, et le débloqueur de sauvegarde peut fonctionner sans accroc tout en envoyant des données en douce.
La vidéo le dit sans détour : la preuve arrive souvent trop tard, quand le compte a déjà changé de mains ou que les données ressortent dans une fuite ailleurs. L’absence de détection ne prouve rien.
Ce que le fichier fait vraiment une fois lancé
Restait à l’exécuter sous surveillance. Le fichier est lancé dans un environnement de test, une machine virtuelle isolée, c’est-à-dire un ordinateur simulé et cloisonné du vrai système. L’idée est simple : le laisser s’exécuter sous surveillance et noter ce qu’il touche, sans exposer un poste réel.
Le journal d’activité, la liste horodatée de tout ce que le programme touche, affiche un elevate.exe. Beaucoup d’opérations se déroulent dans le dossier temporaire du système, cet espace de travail jetable où Windows laisse les fichiers de passage. L’application se lance vraiment, comme promis. Côté réseau, deux connexions sortantes apparaissent, attribuées à un smartlauncher.exe logé dans ce même dossier temporaire. C’est le détail le plus parlant de toute l’observation, et il reste maigre.
Une hypothèse est avancée : le programme pourrait se retenir d’agir s’il devine qu’il n’est pas sur une vraie machine. Reconnaître son propre bac à sable est un classique, et pas seulement chez les logiciels malveillants, puisque trois laboratoires ont montré des agents IA capables d’en sortir. Les fichiers ouverts et créés recoupent en tout cas ce que montrait déjà la fiche VirusTotal. À noter : la vidéo est sponsorisée par ThreatLocker, dont la console sert précisément à ce type d’observation.
Même en le regardant tourner, personne ne tient de preuve accablante. Deux connexions sortantes, un journal interminable, et rien qui ressemble à un aveu.
La règle à retenir avant de cliquer
L’auteur de la vidéo de The PC Security Channel résume tout en une phrase. Un téléchargement caché derrière un mot de passe d’archive n’a rien d’anodin. Il avance même un chiffre : autour de 99 % de ces fichiers sont des logiciels malveillants. Si quelqu’un vous annonce que le fichier est compressé et qu’il vous faut un mot de passe pour l’extraire, la réponse est non, sans exception.
La méfiance ne s’arrête pas à ce malware Steam précis. Elle vaut pour l’ensemble des publications sur les forums Steam Community, quel que soit le jeu concerné ou la promesse affichée. Ce genre de piège se propage aussi tout seul. Une fois un compte compromis, les amis de la victime reçoivent des messages signés de son nom, du genre « regarde ce jeu que je viens de télécharger ». La victime n’y est pour rien. Un automate parle à sa place.
Un mot de passe pour ouvrir une archive téléchargée sur un forum de jeu n’a aucune raison légitime d’exister.
0 Commentaires
Aucun commentaire pour le moment. Soyez le premier à commenter !