Un faux PDF, une chaîne PowerShell et des pages Blogger recyclées en serveur de commande. Securonix décrit une campagne baptisée VEIL#DROP qui exploite des sites compromis, un fichier JavaScript déguisé en document PDF et des outils Windows parfaitement légitimes pour livrer le voleur d’informations PureLogs. Le tout reste en mémoire et laisse à peine une empreinte sur le disque.
Points clés
- Un faux PDF cache un script JavaScript qui déclenche PowerShell et récupère sa charge sur des pages Blogspot de Google
- La chaîne d’attaque s’exécute en mémoire (fileless) et détourne des binaires Microsoft signés comme MSBuild, RegSvcs et InstallUtil
- PureLogs vole mots de passe, cookies, données d’autoremplissage et portefeuilles crypto, et réutilise les sessions pour contourner la MFA
Un leurre PDF qui réveille PowerShell
Tout démarre quand la victime double-clique sur ce qu’elle prend pour un PDF. Derrière l’icône rassurante se cache un script JavaScript que Windows exécute via Windows Script Host. Ce premier étage déclenche PowerShell avec les contrôles de sécurité désactivés, histoire de récupérer la suite depuis des pages Blogspot hébergées chez Google.
L’astuce du choix de plateforme est limpide. Le trafic se fond dans des requêtes web ordinaires et esquive les défenses qui misent sur la réputation des domaines. Difficile de bloquer un blog Google sans se mettre à dos la moitié d’Internet. Les chercheurs décrivent ensuite un chiffrement par XOR puis un chargement .NET exécuté directement en mémoire, sans jamais écrire sur le disque.
Des utilitaires Microsoft retournés contre leur propriétaire
Quand la chaîne principale est bloquée, VEIL#DROP dégaine des binaires Microsoft signés et détournés de leur usage, les fameux LOLBins (pour Living Off The Land Binaries). Securonix cite RegSvcs, InstallUtil et MSBuild. L’intérêt pour l’attaquant est évident : le processus lancé ressemble à une activité système ou de développement banale, et l’antivirus n’y voit que du feu.
Le chargeur final reconstruit des assemblages .NET à partir de données encodées puis les charge par réflexion. Cette exécution fileless évite le dépôt d’un exécutable classique et prive les analyses fondées sur les fichiers de tout point d’accroche.
Une fois actif, PureLogs fait son marché : mots de passe enregistrés, cookies, données de remplissage automatique et portefeuilles de cryptomonnaies. Les sessions volées permettent aussi de contourner l’authentification multifacteur en réutilisant une session déjà ouverte. Votre double authentification ne sert plus à grand-chose quand le voleur entre par la porte déjà déverrouillée.
Une famille bien connue des chercheurs
Le rapport s’ajoute à une série de publications récentes sur PureLogs. D’autres analyses parues en juin 2026 décrivaient déjà des campagnes de livraison fileless via MSBuild.exe, avec du process hollowing et des archives RAR piégées. De son côté, Microsoft référence une détection nommée Trojan:Win64/PureLogs.DVN!MTB dans sa base de renseignement sur les menaces.
Pour les défenseurs, l’alerte ne tient pas au seul fichier initial mais à la séquence complète : un JavaScript inattendu, un appel à PowerShell, des connexions vers Blogspot, puis des utilitaires .NET lancés hors de tout contexte normal. C’est cet enchaînement qui trahit VEIL#DROP avant que les identifiants ne prennent la clé des champs.
