Des cybercriminels ont détourné des torrents de films pour distribuer un exécutable déguisé en « The Odyssey », le film de Christopher Nolan. Les chercheurs de Kaspersky ont recensé plusieurs centaines de victimes dans au moins quatorze pays, administrations comprises.
On vous avait ranconté en août comment Bitdefender a détecté Lumma Stealer dans de fausses copies de L'Odyssée. Les attaquants pouvaient récupérer les mots de passe enregistrés et les portefeuilles de cryptomonnaies de leurs victimes.
Cette fois, Konstantin Isakov et Pavel Cheremushkin, chercheurs de l'équipe GReAT de Kaspersky, ont analysé la campagne MovieReaper, dont l'appât est aussi le film de Christopher Nolan. En lançant le fichier téléchargé, la victime donne aux attaquants un accès à ses documents.
Des torrents piégés à la source
Le fichier est intitulé « the odyssey (2026) [1080p] [webrip] [5.1].exe ». Ce nom est celui d'une release ordinaire, à l'extension .exe près, alors qu'un film est le plus souvent un fichier MKV ou MP4. Dans Windows, les extensions de fichiers sont masquées par défaut. Bitdefender l'a rappelé en août, en conseillant d'activer leur affichage.
D'après le rapport de Kaspersky, la campagne a débuté à la mi-août, mais des activités des auteurs de MovieReaper remontent à octobre 2025, sans lien établi avec un groupe connu. Ces cybercriminels ont compromis le dépôt public itorrents.org. Les attaquants n'ont donc pas eu à infiltrer chaque tracker, puisque ceux qui utilisent ce dépôt ont distribué sans le savoir des fichiers torrent malveillants. Le rapport n'indique pas comment le dépôt a été compromis.
Les victimes n'ont pas de profil type, au contraire, elles viennent de l'administration et de plusieurs secteurs, dont l'informatique, le conseil, le commerce, le transport et l'agriculture. Idem pour leur localisation. Le rapport cite la Russie, la Turquie, le Japon, la Colombie, le Népal et plusieurs pays d'Afrique, ainsi que l'Espagne, les Pays-Bas, la Belgique, l'Allemagne et la Finlande. Notre confrère Phonandroid ajoute La France à la liste des pays les plus touchés.
Les fichiers de la victimes atteints en quatre étapes
La première étape est le lancement de l'exécutable, qui est un chargeur. Les attaquants livrent le code de l'étape suivante depuis le domaine deadhub.org, avec l'adresse IP 193.23.118.155 en secours, sur des URL aux chemins aléatoires, tels que /cloud/v192.4/ui/sync-status-icons.png. Pour les chercheurs, cette première étape est la meilleure occasion de perturber la campagne, puisque les attaquants n'utilisent, à ce stade, qu'un domaine et qu'une adresse IP.
La deuxième étape est une requête HTTPS envoyée à la blockchain Solana, sur le point d'accès getAccountInfo. Ce réseau public est légitime, et ses comptes sont lisibles par n'importe qui. Le compte interrogé contient l'adresse d'un second serveur de commande et de contrôle, encodée en base64 et chiffrée avec une clé XOR statique. Les attaquants utilisent ainsi Solana pour publier cette adresse et améliorent la stabilité de leur campagne, selon les chercheurs.
Dans la troisième étape, les attaquants contournent le contrôle de compte d'utilisateur de Windows, puis déposent un fichier déguisé en msedge.exe dans le dossier ProgramData\Microsoft\Windows\Telemetry et relancent le programme pour maintenir l'infection.
La quatrième et dernière étape est un module de gestion de fichiers, avec une communication en HTTPS et un certificat TLS épinglé. L'opérateur dispose alors de 21 commandes pour parcourir les répertoires de la victime et manipuler ses fichiers à distance. Il peut aussi consulter un aperçu des images avant de les récupérer. PhonAndroid évoque en outre un risque de vol de données ou d'installation d'autres logiciels malveillants.
Kaspersky détecte l'exécutable avec la signature HEUR:Trojan.Win64.Agent.gen et estime que ce framework modulaire, exécuté en mémoire, peut être réutilisé dans d'autres campagnes avec un travail minimal. Au 17 septembre, jour de la publication du rapport, l'archive itorrents.org était encore compromise.
Avertissement sur le téléchargement illégal
Télécharger un film sans l'accord de ses ayants droit est un délit de contrefaçon, puni de trois ans d'emprisonnement et de 300 000 euros d'amende pour une personne physique, selon le code de la propriété intellectuelle. Dans le cadre de la réponse graduée, l'Arcom envoie deux avertissements aux abonnés concernés, puis notifie l'abonné, lequel dispose de 15 jours pour présenter ses observations, avant une éventuelle transmission du dossier au procureur. La contravention de négligence caractérisée est punie d'une amende maximale de 1 500 euros pour une personne physique.
Depuis que le Conseil d'État a déclaré illégale une partie du dispositif de l'Arcom le 30 avril 2026, un juge doit valider l'identification d'un abonné pour la troisième fois, tandis que les deux premiers avertissements continuent d'être envoyés. Un fichier téléchargé par torrent peut aussi contenir un programme malveillant, comme on vient de le voir. Pour regarder un film, vous pouvez passer par une plateforme légale de location ou d'achat.
