Faux logiciel NVIDIA, vrai cheval de Troie. LabubaRAT emprunte le nom d’un composant NVIDIA pour se glisser sur les machines Windows, inspecter les lieux, puis ouvrir une porte dérobée persistante. Selon l’alerte relayée ce 14 juillet 2026, le programme repère d’abord les outils de sécurité installés, avant de jongler entre plusieurs canaux de communication (HTTPS, WebView2 et tunneling DNS) pour garder la main sur l’hôte compromis.
Points clés
- LabubaRAT usurpe le nom d’un composant NVIDIA pour s’installer discrètement sur des postes Windows.
- Le malware profile les outils de sécurité présents avant d’ouvrir un accès distant persistant.
- Il alterne HTTPS, WebView2 et tunneling DNS pour rendre la coupure de son canal difficile.
- Les signaux à surveiller : faux utilitaire NVIDIA, HTTPS vers domaines inconnus, DNS anormal, WebView2 injustifié.
Un leurre taillé pour Windows et l’écosystème NVIDIA
Le nom du malware calque celui d’un produit légitime pour se fondre dans le décor d’un poste Windows. La famille mise moins sur l’exploit technique spectaculaire que sur l’installation discrète et la persistance. D’après la description disponible, le logiciel profile les outils de sécurité présents avant de verrouiller son accès distant.
La recette n’a rien d’inédit. Les attaquants recyclent depuis longtemps noms connus, icônes familières et installateurs crédibles pour endormir la méfiance. Ici, l’appât s’appelle NVIDIA, marque omniprésente sur les stations de travail, les PC de jeu et toute configuration qui carbure au GPU.
HTTPS, WebView2 et DNS tunneling : le canal qui refuse de mourir
Le vrai point notable, c’est la panoplie de communication. LabubaRAT utilise HTTPS, WebView2 ou le DNS tunneling pour maintenir son lien. Cette redondance complique la coupure entre l’attaquant et la machine infectée : bloquez un mode, la communication bascule sur un autre selon le filtrage rencontré.
WebView2 désigne le composant d’affichage web de Microsoft basé sur Edge, présent en standard sur les Windows modernes. Le tunneling DNS, lui, fait passer les échanges dans des requêtes DNS. Bien camouflé, ce trafic se confond avec les résolutions de noms parfaitement banales d’un poste ordinaire.
Ce que les défenseurs peuvent en tirer
La source ne cite ni victime identifiée ni région ciblée, mais les indices suffisent à cadrer la menace : un implant Windows, un déguisement NVIDIA et des canaux modulables. Pour un SOC, quelques signaux méritent une vérification rapide dès qu’ils se cumulent :
- un binaire se faisant passer pour un utilitaire NVIDIA ;
- une connexion sortante HTTPS vers des domaines inhabituels ;
- une activité DNS anormale, notamment des requêtes longues ou trop fréquentes ;
- un usage de WebView2 par un processus qui n’a aucune raison métier de l’ouvrir.
Sous Windows, ce genre de RAT reste avant tout une affaire de visibilité et de contrôle des sorties réseau. Une fois le faux logiciel exécuté, son nom compte moins que les processus qu’il lance, les domaines qu’il contacte et la persistance qu’il installe. Le déguisement fait toujours illusion jusqu’au moment où on regarde ce qui se passe vraiment sur le fil.
