Une fausse conférence crypto transforme Google Docs en piège à malwares

Le piège reposait sur un scénario professionnel crédible et sur des services en ligne largement utilisés. Le compte X @HartmansDoeke prétendait représenter CoinDesk et a approché des personnes associées à Black Hat et DEF CON, parfois au moyen de réponses publiques avant de poursuivre l’échange en messages privés. L’attaquant proposait ensuite une prétendue conférence sur les cryptomonnaies organisée par CoinDesk et partageait un Google Doc présenté comme un document de préparation. 1411

Le point essentiel est le suivant : le document Google lui-même pouvait sembler parfaitement normal. Le comportement malveillant venait de l’interface Google Apps Script intégrée et des instructions affichées par celle-ci. Les éléments disponibles décrivent une tentative de diffusion de malware, mais ne démontrent pas que le chercheur de Huntress ou d’autres cibles ont effectivement installé la charge malveillante. 468

Une invitation qui exploite le contexte des conférences

Les premiers messages s’appuyaient sur le contexte de l’événement comme raccourci de crédibilité. Dans un anglais approximatif, l’usurpateur demandait au chercheur s’il comptait participer à une prochaine conférence, avant d’évoquer un événement fictif lié à un média connu du secteur crypto. Les réponses publiques permettaient d’identifier ou d’aborder des participants potentiels, tandis que les messages privés ouvraient un canal plus discret pour la suite. 4510

Après avoir suscité l’intérêt de sa cible, l’acteur lui envoyait un fichier qui ressemblait à un document de planification. Une « clé de chiffrement » ou de déchiffrement était communiquée séparément dans la conversation sur X. Cette mise en scène faisait davantage penser à une coordination d’événement qu’à une tentative classique d’hameçonnage. 68

Le piège de la barre latérale Google Docs

Lorsqu’un utilisateur authentifié ouvrait le fichier, une barre latérale personnalisée apparaissait à côté du document. Selon Huntress, cette interface donnait l’impression que le contenu était partiellement chiffré et invitait le destinataire à saisir la clé fournie par l’attaquant. La clé semblait échouer, ce qui fournissait un prétexte pour pousser la victime à suivre les étapes de récupération proposées dans la barre latérale. 68

Les options suivantes comprenaient des instructions de type ClickFix et un parcours de téléchargement. Elles visaient toutes deux à convaincre la personne de télécharger puis d’exécuter un code malveillant. Le document n’était donc pas une simple redirection vers un site douteux : l’hébergement Google et l’interface familière de Docs servaient à rendre le processus plus rassurant. 48

C’est la principale leçon de cette campagne. Une adresse en google.com, ou un fichier qui s’ouvre dans un service connu, confirme uniquement l’endroit où le contenu est hébergé. Cela ne garantit pas que le document, le script, les consignes ou les téléchargements associés sont sûrs.

Les malwares visés selon le système utilisé

Les chemins de diffusion variaient selon le système d’exploitation :

• macOS : la campagne cherchait à installer Atomic macOS Stealer, ou AMOS, un voleur d’informations. Le parcours macOS était également associé à un faux partage Dropbox DocSend et à un installateur contrefait. 2
• Windows : l’opération impliquait NetSupport RAT, un outil légitime d’assistance et de contrôle à distance détourné pour servir de cheval de Troie d’accès distant. 2
• Portefeuilles de cryptomonnaies : les chercheurs ont aussi identifié un faux installateur ou implant se faisant passer pour un portefeuille Ledger, ce qui laisse penser que les identifiants et informations liés aux cryptomonnaies figuraient parmi les objectifs apparents. 2

Les preuves disponibles portent sur les charges et les mécanismes de diffusion prévus, pas sur une compromission confirmée du chercheur ayant analysé la campagne.

Comment Huntress a documenté l’attaque

Le chercheur de Huntress visé a repéré les signaux d’alerte, mais a continué l’échange en faisant semblant de collaborer. Cette approche lui a permis d’observer les messages, de recevoir le document et de suivre le chemin qui menait de la fausse demande de clé à l’exécution potentielle du malware. Il n’a pas installé la charge utile. 1411

L’enquête a ainsi relié plusieurs étapes rarement visibles ensemble : l’identité revendiquée sur X, le prétexte de la conférence, le Google Doc, la barre latérale Apps Script, la fausse clé et les parcours malveillants adaptés à macOS ou Windows.

Les signaux d’alerte à retenir

Les équipes de sécurité devraient traiter les sollicitations liées aux conférences avec la même prudence que les campagnes d’hameçonnage par e-mail, même lorsqu’elles arrivent sur un réseau social public et utilisent un service cloud légitime.

Les principaux signaux suspects sont notamment :

• un contact non sollicité provenant d’un compte prétendant représenter un organisateur, un média ou un sponsor ;
• une demande de passer d’une réponse publique aux messages privés avant toute vérification indépendante de l’identité ;
• un document qui réclame une clé, un mot de passe ou une étape de « déchiffrement » transmis dans une autre conversation ;
• un Google Doc affichant une barre latérale personnalisée ou une invite interactive inhabituelle, puis demandant de télécharger un logiciel ou de coller des commandes ;
• un portefeuille, un outil d’assistance à distance ou une application de conférence proposé en dehors des canaux officiels vérifiés séparément.

Si les instructions ont été suivies, il est recommandé d’isoler le système concerné, de réinitialiser les identifiants potentiellement exposés, de renouveler les secrets et de contrôler les portefeuilles de cryptomonnaies ainsi que les autres comptes sensibles. 1819

Ce que les sources confirment — et ce qu’elles ne disent pas

Les informations disponibles étayent les mécanismes centraux : usurpation d’identité sur X, réponses publiques et messages privés, faux prétexte de conférence crypto, Google Doc enrichi par Apps Script, fausse clé de déchiffrement, instructions de type ClickFix et tentative de diffusion de malwares visant macOS et Windows. 1246811

En revanche, le dossier fourni ne contient aucune déclaration vérifiée de l’attaquant présumé ni de Google. Il ne permet pas non plus d’établir une comparaison précise avec des campagnes antérieures attribuées à des acteurs liés à des gouvernements. À un niveau général, l’incident reprend le schéma classique d’une ingénierie sociale ciblée contre des professionnels de la sécurité, avec une particularité notable : l’utilisation de contenus hébergés par Google et d’une interface Apps Script pour renforcer la crédibilité du piège.