MENU
  1. Accueil
  2. Python
  3. Faux captcha Win + R : comment un script PowerShell installe Lumma Stealer et comment s’en protéger

Faux captcha Win + R : comment un script PowerShell installe Lumma Stealer et comment s’en protéger

Python

Un faux « captcha » peut pousser l’internaute à taper la combinaison Win + R puis Ctrl + V et Entrée. À cet instant, un script PowerShell se lance en arrière‑plan, télécharge le voleur d’informations Lumma Stealer, siphonne les identifiants, efface ses traces et quitte. Voici comment comprendre, éradiquer et prévenir ce piège furtif.

Sommaire

Nature du problème

Le scénario exploite trois ressorts psychologiques :

  • Urgence : l’utilisateur croit devoir « prouver qu’il n’est pas un robot » pour accéder au site.
  • Autorité visuelle : l’interface imite un vrai reCAPTCHA et affiche des raccourcis clavier en surbrillance.
  • Opacité technique : le presse‑papiers contient déjà la ligne de commande malveillante, mais rien n’apparaît à l’écran quand elle s’exécute.

La charge utile est une ligne PowerShell de plusieurs centaines de caractères, souvent compressée en B64, qui :

  1. Appelle Invoke‑WebRequest ou curl.exe vers un domaine éphémère.
  2. Dépose un exécutable dans %TEMP% ou directement en mémoire (fileless).
  3. Exfiltre : mots de passe, cookies, tokens d’authentification (Discord, Chrome, Edge, Brave…), portefeuille crypto, fichiers d’authentification SSH.
  4. S’auto‑supprime pour échapper aux analyses différées.

Le résultat : aucune entrée de démarrage, pas de service, pas de planificateur de tâches persistant. Sans enquête proactive, l’incident reste invisible.

Pourquoi cette méthode est-elle efficace ?

Le raccourci Win + R invoque la boîte « Exécuter » de Windows, qui accepte tout code valide. En collant powershell -NoLogo -NonI ..., l’attaquant bénéficie :

  • d’une élévation implicite si l’utilisateur possède des droits administrateur ;
  • d’une télémétrie limitée : aucun exécutable nouvellement signé n’apparaît ;
  • d’un temps de vie court (processus PowerShell se termine après l’exfiltration).

Lumma Stealer (ex‑Mars Stealer) s’est popularisé en 2024 grâce à son modèle « Malware‑as‑a‑Service ». Il se met à jour chaque semaine, ajoutant de nouvelles cibles (Navigateurs Chromium, FFmpeg, VPN, clients RDP) et brouille sa signature via packers (UPX, Themida). Une détection 100 % fiable est donc illusoire : la prévention passe par la cyber‑hygiène.

Mesures de remédiation immédiates

ObjectifActions recommandées
Vérifier et nettoyerLancer une analyse complète puis hors‑ligne de Windows Defender. Exécuter Malwarebytes puis ESET Online Scanner en mode avancé (analyse des rootkits). Ne pas redémarrer tant que les rapports ne sont pas épluchés ; certains malwares se réinjectent au boot.
Confirmer l’absence de programmes suspectsOuvrir Applications → Programmes et fonctionnalités. Trier par Date d’installation ; désinstaller tout logiciel inconnu ou arrivé le jour de l’incident (p. ex. une fausse suite « Microsoft 365 setup »). Contrôler aussi %ProgramFiles%, %AppData% et le Microsoft Store (Library).
Contrôler l’activité systèmeOuvrir l’Observateur d’événements : eventvwr.msc. Filtrer les journaux Application et Système vers l’heure exacte de la frappe Win + R. Repérer les PID de PowerShell, erreurs de Politique d’exécution, alertes SmartScreen.
Reprendre le contrôle des comptesChanger tous les mots de passe immédiatement depuis un autre appareil sain. Vider le coffre‑fort des navigateurs (chrome://settings/passwords, edge://profile/passwords). Révoquer les jetons via les tableaux de bord de sécurité (Google, Microsoft, GitHub, Discord…).
Solution radicale (optionnelle)Sauvegarder les données personnelles sur un disque externe déconnecté. Effectuer une réinitialisation d’usine (Reset this PC) ou réinstaller Windows via l’ISO officielle. Si incertitude : confier la machine à un professionnel disposant d’outils forensic.

Étapes pas à pas pour Windows Defender hors‑ligne

  1. Menu Démarrer → Sécurité Windows → Protection contre les virus et menaces.
  2. Choisir Options d’analyse → Analyse hors ligne Windows Defender (environ 15 min, redémarrage inclus).
  3. À la fin, exporter le rapport : C:\ProgramData\Microsoft\Windows Defender\Scans\History\Results\Quick.

Résultats obtenus lors d’un cas réel

  • Les quatre analyses antivirus n’ont rien détecté – seul un fond d’écran PUA a été mis en quarantaine par ESET.
  • Aucun exécutable suspect, service clandestin ou tâche planifiée non documentée n’a été repéré.
  • Tous les mots de passe ainsi que l’auto‑complétion ont été nettoyés, les comptes reliés ont été réauthentifiés.

Ces observations confirment le mode opératoire : vol rapide, auto‑suppression, pas de persistance classique. Cela ne prouve pas que les données n’ont pas fui, mais réduit considérablement le risque de nouvelle exécution locale.

Recommandations complémentaires pour verrouiller le système

  1. Activer le MFA partout : même si un cookie d’accès OIDC tombe entre de mauvaises mains, le second facteur bloque la connexion.
  2. Changer les mots de passe Wi‑Fi et administrateur routeur si ceux‑ci ont pu être stockés dans le navigateur.
  3. Auditer les extensions de navigateur : supprimer tout plugin non maintenu ou inconnu. Privilégier le store officiel et limiter les permissions.
  4. Surveiller les devices connectés : Google (Mon compte → Sécurité → Vos appareils), Microsoft (account.microsoft.com/devices), Apple ID, portails bancaires.
  5. Mettre à jour l’ensemble des logiciels (Windows Update, Microsoft Store, Java, .NET Runtime, Acrobat, 7‑Zip) pour réduire la surface d’attaque post‑exploit.
  6. Utiliser Autoruns (Sysinternals) et désactiver tout point d’exécution auto‑lancé douteux (Logon, Scheduled Tasks, Services, Drivers).
  7. Créer une image système propre via wbAdmin ou un outil tiers (Macrium Reflect, Veeam Agent) dès que la machine est jugée saine.
  8. Se former aux signaux d’alerte : aucun site légitime n’exige Win + R. En cas de doute, fermer l’onglet via Alt + F4 plutôt que d’obéir.

Comment vérifier qu’aucune porte dérobée ne subsiste ?

Les stealer modernes misent sur la vitesse, mais certains droppers laissent un second stage capable d’installer un RMM (Remote Monitoring & Management) ou un RAT (Remote Access Trojan) pour un back‑connect. Exécutez les contrôles suivants :

  • Firewall Windows : réinitialiser les règles entrantes/sortantes (netsh advfirewall reset).
  • Analyse des connexions : Get‑NetTCPConnection ou netstat -abno pour repérer une écoute sur un port atypique.
  • Journal Sysmon (si installé) : rechercher des Process Create avec ParentImage = powershell.exe et des téléchargements depuis un TLD exotique (.ru, .xyz, .top).
  • Inventory WMI : wmic /namespace:\\root\subscription PATH EventFilter pour débusquer une persistance via WMI Event Subscription.

Cas d’usage : automatiser le contrôle avec PowerShell

PowerShell est également votre allié pour auditer. Exemple d’extrait (à exécuter dans Windows Sandbox ou une session Admin) :

# Liste les tâches planifiées non Microsoft
Get-ScheduledTask | Where-Object { $_.TaskName -notmatch 'Microsoft' } |
  Select TaskName, State, Actions |
  Export-Csv "$env:USERPROFILE\Desktop\ScheduledTasksAudit.csv" -NoTypeInformation

Recense les exécutables récents du dossier Temp

Get-ChildItem "\$env\:TEMP" -Recurse -File |
Where-Object { $\_.LastWriteTime -gt (Get-Date).AddDays(-3) } |
Select FullName, Length, LastWriteTime |
Format-Table -AutoSize

Le rapport CSV offre une vue exploitable pour repérer les éléments litigieux.

Pourquoi Windows Defender ou un antivirus peut rater l’infection ?

  • Signature polymorphe : Lumma recompresse son payload à chaque build.
  • Injection mémoire : si le module reste en RAM, seule une surveillance comportementale (EDR) peut lever l’alerte.
  • Domaine de livraison just‑in‑time : le serveur C2 change d’IP après chaque vague.
  • Fenêtre temporelle brève : 5 – 10 secondes suffisent pour l’exfiltration, avant la première analyse planifiée.

D’où l’importance d’un EDR/MDM moderne, de journaux stockés hors hôte (syslog ou SIEM) et d’alertes temps réel.

Bonnes pratiques pour éviter les pièges Win + R

  • Ne jamais taper de commande suggérée par un site Web ou une fenêtre de chat sans l’avoir comprise et réécrite manuellement.
  • Désactiver temporairement le presse‑papiers via des outils comme Clipboard History Manager lors de sessions sensibles.
  • Bloquer PowerShell en mode Constrained Language sur les comptes non‑administrateur.
  • Activer la stratégie de groupe Turn on PowerShell Script Block Logging pour tracer toute exécution future.
  • Former les équipes : un module de sensibilisation Phishing/Social‑Engineering doit inclure des raccourcis clavier « dangereux ».

Conclusion

Le faux captcha Win + R est l’une des attaques les plus furtives de 2025 : aucune fenêtre suspecte, un vol éclair, puis plus aucune trace sur le disque. Cependant, en combinant analyses hors ligne, audit manuel, MFA, mises à jour régulières et éducation, vous réduisez considérablement la surface d’attaque. Souvenez‑vous : un site légitime ne vous demandera jamais d’ouvrir « Exécuter ». Face au moindre doute, quittez la page, changez vos mots de passe et consultez les journaux ; mieux vaut une fausse alerte qu’un portefeuille ou un compte bancaire vidés.

Python
Sommaire