Cette fenêtre bizarre qui s’ouvre juste après avoir cliqué sur « Exécuter quand même », ce n’est pas un bug d’affichage. C’est très probablement un installateur piégé qui a fait exactement ce pour quoi il a été conçu : te faire baisser la garde avec une icône familière, pendant qu’en coulisses un tout autre programme prend ses aises sur ta machine. Et vu la vague de campagnes repérées ces derniers mois, ce scénario est devenu un classique du genre.
À retenir
- Une icône ne garantit absolument rien sur ce qu’un fichier fait réellement
- Les malwares se font passer pour Windows Update, ChatGPT ou d’autres outils populaires avec des interfaces trompeuses
- Les attaquants ciblent les francophones en exploitant les données volées dans des fuites précédentes
- Les protections Windows natives passent à côté quand le malware utilise un packaging considéré comme légitime
L’icône, ce mensonge qui marche à tous les coups
Techniquement, rien de sorcier. Une icône, c’est juste une ressource graphique collée sur un exécutable, elle ne garantit absolument rien sur ce que fait réellement le fichier. Les attaquants l’ont bien compris et en abusent à grande échelle. Chez Trend Micro, une campagne baptisée EvilAI a été documentée avec un mode opératoire limpide : le malware se fait passer pour des outils de productivité ou boostés à l’IA, avec des interfaces professionnelles et de vraies signatures numériques qui rendent la distinction avec un logiciel légitime très difficile. Le comble, c’est que certains de ces faux programmes n’ont même pas d’équivalent réel : les opérateurs créent parfois des applications entièrement inventées, qui ne correspondent à aucun produit légitime existant.
Autre exemple qui a fait du bruit fin 2025 : un faux client bureau ChatGPT distribué en installateur MSI. La campagne, observée en décembre 2025, distribue un installateur malveillant déguisé en application ChatGPT légitime, poussant les victimes à croire qu’elles installent un client open-source de confiance alors qu’elles déploient une porte dérobée persistante fonctionnant avec des privilèges SYSTEM. Et pour ne rien arranger, l’installateur lance une véritable interface ChatGPT dans le navigateur, renforçant l’illusion de légitimité, pendant qu’il installe silencieusement sa persistance et injecte du code dans un processus Windows de confiance. C’est exactement le mécanisme derrière une fenêtre qui ne correspond pas à ce que promettait l’icône : le vrai logiciel s’affiche bien, en façade, pendant que l’essentiel se joue ailleurs.
Quand le faux mimique Windows lui-même
Le niveau au-dessus, c’est carrément se faire passer pour Windows Update. Une campagne ciblant spécifiquement les francophones a été analysée début avril 2026 par Malwarebytes. Le fichier livré n’a rien d’un exécutable louche au premier regard : une fois exécuté, le MSI installe une application Electron (un navigateur Chromium allégé embarquant du JavaScript personnalisé) dans un dossier nommé WindowsUpdate, le binaire principal étant une copie renommée du shell Electron standard. Résultat, sur VirusTotal, le fichier passe comme une lettre à la poste : sur 69 moteurs antivirus, il n’a récolté aucune détection car l’exécutable lui-même est propre. Le vrai poison arrive ensuite, planqué dans un second temps : une fois lancé, le programme fait tourner un second composant, un interpréteur Python renommé pour ressembler à un processus Windows légitime, avec des métadonnées trafiquées jusque dans les propriétés du fichier, le champ Auteur indiquant « Microsoft » et le champ Titre « Installation Database ».
Ce genre de ciblage franco-français n’a rien d’un hasard. Une étude KELA de 2025 place déjà la France en bonne place parmi les pays les plus touchés par le vol de données personnelles, et les campagnes s’appuient dessus : la France figure parmi les principaux pays de victimes selon la recherche KELA sur les infostealers en 2025, et quand les attaquants disposent déjà du nom, de l’adresse et du fournisseur internet d’une victime issus d’une fuite précédente, une page « mise à jour Windows » en français devient un leurre bien plus convaincant qu’une version générique en anglais. Une autre attaque du printemps 2026, cette fois calquée sur une fausse mise à jour Windows 11 24H2, allait jusqu’à se déguiser en application Spotify une fois installée, avec un code capable de passer sous le radar de 69 moteurs antivirus du marché.
Ce qui protège vraiment (et ce qui ne suffit plus)
Bonne nouvelle, Windows n’est pas complètement démuni face à ça. Microsoft a d’ailleurs confirmé que la protection native suffit désormais pour la plupart des usages : Windows Security fait tourner Microsoft Defender Antivirus, SmartScreen, Smart App Control, une mitigation ransomware et une protection cloud, tous réunis dans une seule pile de sécurité. Concrètement, Smart App Control peut bloquer les exécutables non signés ou non reconnus, y compris des installateurs téléchargés depuis un faux site, et SmartScreen vérifie la réputation des fichiers et des URL au moment du téléchargement.
Le hic, c’est que ces filets ratent régulièrement leur cible quand le fichier passe par un packaging jugé propre (comme un installateur Electron ou un MSI signé via un outil open-source légitime). Une enquête publiée fin juillet 2026 par WindowsLatest a même recensé plus de 70 faux sites web imitant des logiciels populaires remontés en tête des résultats Google, une opération montée de longue date : un ensemble de ces domaines construisait discrètement son référencement depuis au moins septembre 2025, la distribution de malware ayant démarré en janvier 2026. Le conseil qui revient sans cesse chez les chercheurs en sécurité reste d’une bêtise désarmante mais redoutablement efficace : vérifier d’abord le Microsoft Store avant de télécharger une application Windows, et si un développeur ne distribue que via son propre site, contrôler l’URL avant de cliquer.
Le réflexe le plus utile reste pourtant le plus simple à appliquer après coup : si la fenêtre qui s’ouvre ne colle pas à l’icône cliquée, couper immédiatement le réseau (Wi-Fi ou câble Ethernet) avant même de fermer la fenêtre. La plupart des chaînes d’infection décrites plus haut, qu’il s’agisse du faux client ChatGPT ou du faux Windows Update, ont besoin d’une connexion internet active pour télécharger leur second composant et exfiltrer les données. Couper le réseau en premier, avant de paniquer sur le clavier, limite souvent les dégâts bien plus efficacement qu’un antivirus lancé après coup.
Sources : learn.microsoft.com | windowslatest.com | malwarebytes.com