CPUID piraté : CPU-Z et HWMonitor distribués avec un malware

Les faits

Entre le 9 et le 10 avril 2026, des attaquants ont compromis une API secondaire du projet CPUID, éditeur des utilitaires de diagnostic CPU-Z et HWMonitor, employés quotidiennement par des millions de techniciens, d'administrateurs système et de passionnés de hardware. En manipulant cette interface, ils ont réécrit les liens de téléchargement affichés sur le site officiel cpuid.com : une partie des visiteurs, sélectionnés de façon aléatoire, étaient redirigés vers des exécutables malveillants habilement maquillés aux couleurs de l'éditeur. Cet incident, désormais référencé comme le CPUID supply chain malware, illustre la fragilité des chaînes de distribution logicielle : aucune faille n'était nécessaire dans le code de CPU-Z lui-même, il suffisait de détourner le canal de téléchargement. Pendant près de vingt-quatre heures, chaque installation depuis la source officielle a donc pu introduire un logiciel malveillant sur des postes d'administration privilégiés.

Les utilisateurs ayant téléchargé l'un des deux outils durant cette fenêtre ont reçu un fichier nommé HWiNFO_Monitor_Setup, un installeur Inno Setup en langue russe déployant un toolkit d'accès distant complet. Ce choix de nom, emprunté à un outil tiers légitime (HWiNFO), visait à semer la confusion et retarder la détection. CPUID a confirmé avoir corrigé le problème et rétabli les versions officielles propres pour les deux logiciels. Cette attaque s'inscrit dans une série d'attaques supply chain récentes ciblant les canaux de distribution logicielle plutôt que le code source lui-même.

Impact et exposition

CPU-Z et HWMonitor sont des outils standards dans les environnements de maintenance informatique, souvent utilisés par les administrateurs système, les équipes support et les techniciens en atelier. Tout poste ayant exécuté l'installeur malveillant est potentiellement compromis avec un accès distant complet pour les attaquants. La fenêtre d'exposition de 6 heures limite le nombre de victimes, mais le profil des utilisateurs de ces outils — souvent des postes techniques avec des privilèges élevés — amplifie considérablement le risque. Les environnements d'entreprise utilisant des déploiements automatisés depuis le site officiel sont particulièrement exposés. Le vecteur d'attaque rappelle les techniques de compromission de la supply chain logicielle de plus en plus fréquentes en 2026.

Recommandations

• Vérifier immédiatement si CPU-Z ou HWMonitor ont été téléchargés entre le 9 et le 10 avril 2026 — contrôler les hash SHA-256 des installeurs contre les signatures officielles CPUID
• Scanner en profondeur tout poste ayant exécuté un fichier nommé HWiNFO_Monitor_Setup provenant de cpuid.com — rechercher les indicateurs de RAT (connexions sortantes inhabituelles, services inconnus)
• Mettre en place une vérification systématique des signatures numériques avant déploiement d'outils téléchargés, même depuis des sources officielles
• Considérer l'hébergement local des outils de diagnostic approuvés plutôt que le téléchargement direct depuis les sites éditeurs, comme recommandé dans les bonnes pratiques anti-supply chain

Une tendance qui s'inscrit dans une vague d'attaques sur la distribution logicielle

L'incident CPUID illustre un glissement stratégique observé depuis 2023-2024 chez les groupes d'attaquants : plutôt que de compromettre le code source d'un logiciel — une opération complexe nécessitant un accès prolongé aux dépôts de développement, comme dans l'affaire XZ Utils — il devient plus rentable de cibler l'infrastructure de distribution elle-même. Sites web, CDN, API de téléchargement ou services tiers hébergeant les binaires constituent des maillons souvent moins surveillés que le pipeline de build. Cette approche avait déjà été employée contre PuTTY, Notepad++ et CCleaner, ce dernier cas ayant touché plus de 2,27 millions d'utilisateurs en 2017 via un serveur de mise à jour compromis. Pour CPU-Z, revendiqué à plus de 300 millions de téléchargements cumulés depuis sa création, même une fenêtre de six heures représente un bassin de victimes potentiellement significatif compte tenu du trafic quotidien du site cpuid.com.

Le choix du nom de fichier HWiNFO_Monitor_Setup — usurpant un outil concurrent légitime plutôt que CPU-Z lui-même — traduit une sophistication opérationnelle destinée à retarder la corrélation entre le téléchargement et l'infection, notamment lors d'analyses forensiques a posteriori où les équipes IT chercheraient naturellement des traces liées à « CPU-Z » ou « HWMonitor ». L'usage d'un installeur Inno Setup en langue russe et le déploiement d'un toolkit d'accès distant complet, plutôt qu'un simple infostealer, suggère un objectif de persistance à long terme plutôt qu'un vol de données ponctuel — un profil cohérent avec des opérations de pré-positionnement sur des postes à privilèges élevés, souvent revendues ensuite sur des marketplaces d'accès initial. Les éditeurs d'outils de diagnostic système, en raison de leur adoption massive par les équipes techniques et de la confiance implicite accordée à leurs binaires signés, restent des cibles de choix pour ce type de compromission de chaîne d'approvisionnement, aux côtés des gestionnaires de mots de passe et des extensions de navigateur largement déployées en entreprise.