Vous cherchiez OBS Studio, vous repartez avec un cheval de Troie qui tient les rênes de votre PC. Kaspersky a repéré une campagne qui exploite le référencement et l’outil d’administration ScreenConnect pour pousser AsyncRAT vers des machines Windows. Plus de 90 domaines frauduleux, traduits en 10 langues, imitent les pages officielles de logiciels connus. Les archives proposées cachent un installateur malveillant qui déploie d’abord ScreenConnect, puis AsyncRAT, un trojan d’accès à distance open source.
La campagne ne fait pas dans le tri : particuliers comme organisations sont visés. Les pages piégées reprennent des noms de logiciels populaires dont OBS Studio, DNS Jumper, DS4Windows, Glary Utilities et Bandicam. Pour grimper dans les résultats de recherche, les opérateurs ont soigné leur SEO afin de cueillir les internautes en quête d’un téléchargement légitime.
Points clés
- Plus de 90 domaines frauduleux en 10 langues imitent des pages officielles de logiciels comme OBS Studio, Bandicam ou DS4Windows
- Les faux installateurs déploient ScreenConnect, puis le trojan d’accès à distance AsyncRAT
- Les enregistrements de domaines ont atteint leur pic en février 2026, avec des appâts passés des jeux aux utilitaires de bureau
Des domaines copiés, des installateurs piégés
Dans son alerte publiée le 1 juillet 2026, Kaspersky raconte que l’enquête est partie d’un incident détecté via son service de Managed Detection and Response. Les sites servaient des archives déguisées en installateurs de logiciels courants, mais qui embarquaient en réalité un accès ScreenConnect. Une fois en place, cet outil offrait aux attaquants une présence durable sur la machine et ouvrait la voie à AsyncRAT.
Les chercheurs ont recensé plus de 90 domaines liés à l’opération, dans 10 langues : anglais, arabe, espagnol, chinois, allemand, portugais et russe, notamment. Un ratissage linguistique qui vise clairement bien au-delà d’un seul marché national.
« Au total, les chercheurs ont identifié plus de 90 domaines couvrant 10 langues […], permettant aux attaquants d’atteindre un large éventail de victimes dans le monde », indique Kaspersky dans sa note de recherche.
ScreenConnect en relais vers AsyncRAT
ScreenConnect est un outil d’administration à distance parfaitement légitime, bien connu dans l’écosystème ConnectWise. Ici, il sert de passerelle entre le faux installateur et la charge finale. AsyncRAT, cheval de Troie d’accès à distance, permet ensuite à un opérateur de prendre le contrôle d’un système Windows compromis.
Kaspersky précise que les enregistrements de domaines liés à l’opération ont culminé en février 2026. En 2025, les auteurs de la campagne utilisaient déjà de faux sites, mais pour faire passer leurs installateurs pour des jeux. Le glissement des jeux vers les utilitaires de bureau trahit une adaptation rapide des appâts pour capter du trafic organique.
Un schéma connu, mais à plus grande échelle
Le procédé n’a rien d’inédit dans le paysage des intrusions Windows. Depuis des mois, des groupes détournent des outils d’administration légitimes pour installer leurs charges après une première exécution réussie. La spécificité ici tient à la combinaison entre faux sites, référencement manipulé et diffusion de masse en plusieurs langues.
Pour les équipes de défense, le signal d’alerte tient moins au nom d’AsyncRAT qu’au chemin d’infection : un téléchargement censé être banal, un exécutable qui n’a rien à voir avec le logiciel attendu, puis un outil de prise en main à distance qui s’installe en douce. La morale n’a pas changé d’un pouce : le premier résultat Google n’est pas un gage de confiance, surtout quand il promet un logiciel gratuit.
