SOMMAIRE
PipeMagic : Une menace persistante dans le paysage Windows
Depuis 2022, PipeMagic s’est infiltré dans le monde numérique, ciblant les entreprises avec une précision inquiétante. Ce malware, initialement découvert via une version compromise de l’outil Rufus, a évolué pour devenir une menace modulaire et persistante. Sa dernière incarnation exploite une faille Windows critique, la CVE-2025-29824, récemment corrigée par Microsoft. Mais la correction de cette faille ne signifie pas la fin de la menace.
Un parcours d’infection sophistiqué
PipeMagic a d’abord émergé en 2022, utilisant une version trojanisée de Rufus pour s’introduire dans les systèmes. En 2024, il a ressurgi via une fausse application ChatGPT, développée en Rust, qui exécutait du code malveillant en arrière-plan. En 2025, il a profité de la faille CVE-2025-29824 pour voler des identifiants et s’implanter dans des systèmes à travers le Moyen-Orient et le Brésil. Les fichiers d’aide Windows piégés et les DLL malveillantes sont devenus ses vecteurs de choix.
Les techniques d’intrusion de PipeMagic
PipeMagic utilise un canal de communication interne pour échanger des données sur la même machine, sans passer par Internet. Une fois le malware installé, il agit comme une porte dérobée, capable de charger des modules additionnels. Ces modules peuvent manipuler ou extraire des fichiers, exécuter du code malveillant en mémoire, contourner les antivirus en désactivant les protections de Windows, ou encore voler les identifiants de connexion en accédant au processus LSASS.
Exploitation de la faille CVE-2025-29824
La faille CVE-2025-29824 a permis à PipeMagic d’extraire des identifiants de systèmes compromis. Les attaquants ont utilisé l’outil ProcDump, renommé en dllhost.exe, pour masquer son utilisation et extraire les identifiants de la mémoire vive. Cette méthode, documentée par Microsoft, permet aux attaquants de se déplacer latéralement dans le réseau et de maintenir leur accès.
Mesures de protection contre PipeMagic
Bien que la faille ait été corrigée, la vigilance reste de mise. Les opérateurs de PipeMagic exploitent divers vecteurs pour s’introduire dans les systèmes. Voici quelques mesures pour se protéger :
- Maintenir à jour tous les systèmes, y compris les composants .NET et les applications associées.
- Surveiller les processus inhabituels ou mal nommés, comme dllhost.exe utilisé pour imiter ProcDump.
- Utiliser des solutions EDR et antivirus compatibles avec l’interface AMSI pour détecter les tentatives de contournement en mémoire.
- Bloquer les communications sortantes non autorisées, notamment vers des domaines cloud génériques susceptibles d’héberger des serveurs C2.
PipeMagic continue de représenter une menace sérieuse, et la protection des systèmes nécessite une vigilance constante et des mesures de sécurité robustes. En gardant les systèmes à jour et en surveillant les activités suspectes, on peut réduire considérablement le risque d’infection par ce malware tenace.
