Des torrents malveillants utilisent une copie parfaitement légitime de VLC pour charger une bibliothèque infectée. Un moteur de recherche spécialisé en a repéré plusieurs dizaines en analysant près de 700 000 torrents.
Sur les sites de torrents, le nom d’un fichier ne garantit pas toujours que son contenu corresponde réellement à ce qui est annoncé. C’est précisément ce que cherche à vérifier TorrentClaw, un moteur de recherche lancé en février 2026 et dont l’index dépasse désormais les six millions de torrents.
Selon TorrentFreak, qui a interrogé ses développeurs, son outil TrueSpec rejoint temporairement les essaims BitTorrent, récupère généralement entre 10 et 20 Mo de données et utilise notamment FFprobe pour vérifier ce que contient réellement une vidéo. Les fichiers suspects peuvent ensuite être confrontés à VirusTotal.
34 malwares confirmés, dont 31 avec le même piège
Sur 687 057 torrents analysés, TrueSpec en a signalé 1 265 comme trompeurs, soit moins de 0,2 % : fausses résolutions, programmes déguisés en vidéos ou autres incohérences. Côté malwares, un premier bilan établi en juillet en recensait 6 450, mais beaucoup se sont révélés être des faux positifs, comme des scripts inoffensifs fournis par des fansubbers. TorrentClaw ne retient donc désormais que les cas confirmés par VirusTotal : il en reste 34.
Surtout, 31 de ces 34 infections suivent le même schéma. Le torrent contient un exécutable portant le nom d’un film ou d’un épisode récent, un fichier libvlc.dll et une véritable vidéo stockée dans un sous-dossier.
L’exécutable est pourtant une copie authentique de VLC, identique à celle distribuée par VideoLAN et correctement signée. Le piège se trouve dans la DLL placée à côté : lorsque VLC démarre, il peut charger cette bibliothèque et exécuter le code malveillant qu’elle contient. Cette technique est connue sous le nom de DLL side-loading. Elle consiste à profiter du fonctionnement normal d’une application légitime pour lui faire charger une bibliothèque malveillante placée au bon endroit. L’exécutable VLC lui-même n’est donc pas infecté.
The Boys, Frieren ou Dune utilisés comme appâts
Beaucoup de ces torrents reprenaient les noms de sorties populaires, notamment The Boys, Jujutsu Kaisen, Frieren, mais aussi Dune: Part Three ou Zootopia 2. Ils usurpaient également souvent les noms de groupes de distribution connus comme SubsPlease, ETHEL ou YTS afin de paraître plus crédibles. Parmi les 31 torrents utilisant le piège VLC, 15 étaient encore actifs début octobre, ce qui montre que la menace n’était pas seulement située au moment de l’analyse.
- Analyse avec plus de 70 moteurs antivirus
- Interface web simple et intuitive
- Possibilité de scanner des fichiers jusqu'à 650 Mo
Au-delà du caractère illicite du téléchargement d’œuvres protégées sans autorisation, ces torrents ajoutent ici un risque de sécurité supplémentaire. Un film ou un épisode vidéo n’a aucune raison de nécessiter un fichier .exe ou une DLL pour être lu. Si un torrent présenté comme une vidéo contient ce type de fichiers, c’est un signal d’alerte évident : mieux vaut ne rien lancer, même si l’exécutable porte le nom ou le logo de VLC.
