Microsoft alerte sur une campagne VBS avec bypass UAC

La veille cybersécurité permanente s'impose désormais comme une nécessité opérationnelle pour les équipes de sécurité : elle permet d'anticiper les menaces émergentes, de prioriser les actions de remédiation et d'ajuster les stratégies de défense en temps réel. L'actualité récente illustre cette accélération sans précédent des attaques, des vulnérabilités et des incidents qui affectent organisations publiques et privées. Microsoft alerte ainsi sur une campagne de type WhatsApp malware VBS UAC bypass, qui exploite la messagerie pour diffuser des scripts VBS et contourner le contrôle de compte d'utilisateur afin d'obtenir des privilèges élevés sur les postes compromis. Ce mode opératoire, à la fois simple et redoutablement efficace, rappelle que les vecteurs d'infection les plus courants restent les plus rentables pour les attaquants. Décryptage de cette campagne, de ses mécanismes techniques et des mesures de protection à déployer sans délai.

Les faits

Microsoft Defender Security Research Team a publié début avril 2026 une alerte concernant une campagne sophistiquée utilisant WhatsApp comme vecteur de distribution initial. Les attaquants envoient des fichiers Visual Basic Script (VBS) via des messages directs, en s'appuyant sur de l'ingénierie sociale pour inciter les victimes à les exécuter. La campagne, active depuis fin février 2026, combine des techniques de social engineering avec des méthodes living-off-the-land pour échapper à la détection.

Une fois le script VBS initial exécuté, la chaîne d'infection télécharge des payloads secondaires depuis des services cloud légitimes — AWS S3, Tencent Cloud et Backblaze B2 — en utilisant des binaires Windows légitimes renommés pour masquer le trafic réseau. L'objectif final est l'installation de packages MSI malveillants assurant la persistance et l'accès distant. Microsoft qualifie cette chaîne d'infection de « sophistiquée », combinant ingénierie sociale, techniques furtives et hébergement cloud.

Impact et exposition

Tout utilisateur Windows recevant des fichiers via WhatsApp Desktop est potentiellement ciblé. La particularité de cette campagne réside dans le contournement de l'User Account Control (UAC), ce qui permet aux attaquants d'escalader les privilèges sans déclencher la fenêtre de confirmation habituelle. Une fois les paramètres UAC affaiblis, le malware dispose d'un accès quasi-administrateur pour modifier le système, désactiver des protections et installer des composants supplémentaires. L'utilisation de services cloud légitimes comme infrastructure de staging complique la détection réseau.

Recommandations

• Ne jamais exécuter de fichiers VBS, JS ou scripts reçus via WhatsApp ou toute messagerie instantanée
• Activer la politique de groupe « Toujours notifier » pour l'UAC et surveiller les modifications du registre HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem
• Bloquer l'exécution de scripts VBS/WSH via AppLocker ou Windows Defender Application Control (WDAC)
• Mettre à jour les signatures Microsoft Defender et vérifier la détection des IoC publiés par Microsoft