Tu cherches VLC sur Google, tu cliques sur le premier résultat — le lien sponsorisé, celui tout en haut avec la petite mention « Annonce » — et tu télécharges un malware. Pas parce que tu as fait quelque chose de stupide. Parce que quelqu’un a payé Google pour mettre ça là.
C’est le principe du malvertising : utiliser la régie publicitaire la plus légitime du monde comme canal de distribution pour des logiciels malveillants. Un article publié récemment sur xlii.space, qui a généré 400 points et 242 commentaires sur Hacker News, détaille précisément comment ça fonctionne — étape par étape, avec des captures d’écran. La lecture est à la fois fascinante et déprimante.
Ce qui frappe dans le mécanisme décrit, c’est sa banalité. Pas besoin d’exploiter une faille zero-day, pas besoin de compromettre un serveur tiers. Tu achètes des mots-clés, tu montes une landing page convaincante, tu rediriges vers un fichier empoisonné, et tu attends. Google fait le reste du boulot de distribution à ta place.
TL;DR — Les attaquants achètent des annonces Google Ads sur des mots-clés comme « vlc download » ou « 7zip windows » pour pousser des malwares déguisés en logiciels légitimes. Ils contournent les contrôles de Google via une technique appelée cloaking. La solution la plus simple reste l’adblocker et l’habitude de toujours aller directement sur le site officiel.
Le scénario qui se répète : des logiciels populaires dans le collimateur
Les logiciels les plus ciblés sont ceux que tout le monde cherche directement sur Google plutôt que via un gestionnaire de paquets ou une boutique officielle : VLC, 7-Zip, OBS Studio, Notepad++, GIMP, PuTTY, KeePass. Des outils libres et gratuits, dont les éditeurs n’ont généralement ni les moyens ni l’envie de racheter des mots-clés publicitaires sur leur propre nom. C’est un angle mort parfait.
L’attaquant crée une page quasi-identique à l’officielle — même design, même logo, même wording. Le domaine est subtilement différent : vlc-player.org à la place de videolan.org, une variante avec un trait d’union, ou un TLD exotique. Le fichier distribué est souvent le vrai logiciel, empaqueté avec un bonus non sollicité : un infostealer, un RAT (Remote Access Trojan), ou un cryptominer qui tourne silencieusement en arrière-plan.
Le ciblage est chirurgical. On achète les mots-clés exacts tapés par quelqu’un qui veut télécharger : « vlc download », « 7zip windows 11 », « obs studio gratuit ». Google Ads remonte l’annonce en position zéro, avant même les résultats organiques. L’utilisateur clique sans réfléchir — pourquoi le ferait-il ? Début 2023, plusieurs campagnes actives ont été documentées ciblant Notepad++, Blender et KeePass. Des dizaines de milliers de téléchargements avant retrait.
Le cloaking : l’art de montrer une chose à Google, une autre à l’utilisateur
La question qui vient immédiatement : comment Google laisse passer ça ? La réponse tient en un mot : le cloaking. Technique connue depuis l’ère du black-hat SEO, recyclée pour les annonces publicitaires avec une efficacité redoutable.
Le principe est simple. Le serveur de l’attaquant détecte si la requête provient d’un bot de revue publicitaire ou d’un vrai utilisateur. Pour un bot Google, il retourne une page propre, inoffensive, conforme aux politiques. Pour une IP résidentielle classique, il sert la vraie page malveillante avec le lien de téléchargement empoisonné. La vérification automatique de Google ne voit donc jamais ce que voit l’utilisateur final.
La détection repose sur plusieurs signaux combinés : les plages d’IP des crawlers de Google (connues et documentées), le User-Agent, les headers HTTP, et le comportement JavaScript. Certains acteurs vont jusqu’à acheter des listes d’IP de systèmes de revue publicitaire pour les blacklister proactivement. C’est un jeu du chat et de la souris — et pour l’instant, le chat perd la plupart des manches.
DÉCOUVREZ NOS RÉALISATIONS
West Data Festival
Site WordPress sur mesure pour le West Data Festival de Laval. Gestion des inscriptions speakers, programme et billetterie.
Voir le projet →⚠️ La mention « Annonce » en haut d’un résultat Google n’est pas un label de confiance. Elle signifie uniquement que quelqu’un a payé pour apparaître là — pas que le contenu est légitime ou sûr.
Pourquoi Google ne règle pas le problème une bonne fois pour toutes
Google traite des milliards d’annonces par mois. La revue automatique repose sur des modèles entraînés à détecter des patterns malveillants connus — mais le cloaking contourne précisément ces systèmes en temps réel. La revue humaine existe mais ne peut pas absorber le volume. Et les acteurs malveillants réagissent vite : dès qu’un pattern est détecté, ils pivotent.
Il y a aussi un problème de délai structurel. Entre le lancement d’une campagne et son retrait après signalement, il peut s’écouler plusieurs jours. Sur un logiciel aussi populaire que VLC, c’est potentiellement des dizaines de milliers de téléchargements. Les rapports d’abus permettent d’éliminer une annonce, mais le même acteur peut en relancer une le lendemain avec un nouveau domaine et un nouveau compte. Les domaines coûtent moins de 10 euros. L’asymétrie est totale.
Le modèle économique complique aussi la donne. Google se rémunère au clic. Une campagne malveillante génère des clics réels, donc du revenu réel. Ce n’est évidemment pas une raison suffisante pour ne rien faire — mais ça explique peut-être pourquoi les garde-fous restent insuffisants face à l’ampleur du problème.
Il ne suffit plus d’éviter les sites suspects. Le danger est désormais dans les annonces en haut de Google, là où l’utilisateur accorde naturellement sa confiance.
Ce que ça change pour toi au quotidien
Premier réflexe à désinstaller : « je cherche sur Google, je clique sur le premier lien ». Pour télécharger un logiciel, va directement sur le site de l’éditeur en tapant l’URL dans la barre d’adresse, ou passe par Wikipédia pour obtenir le lien officiel. Utilise les gestionnaires de paquets quand ils existent : brew sur macOS, winget ou chocolatey sur Windows, apt sur Debian/Ubuntu. Ces canaux sont autrement plus fiables qu’une page Google.
L’adblocker n’est plus une question de confort ou d’éthique vis-à-vis des créateurs de contenu — c’est devenu un outil de sécurité de base. uBlock Origin reste la référence sur Firefox et Chrome. En bloquant les annonces, tu supprimes mécaniquement ce vecteur d’attaque. C’est probablement la mesure préventive la plus efficace par rapport à son coût d’installation (zéro).
Pour les équipes qui gèrent un parc informatique, c’est une raison supplémentaire d’encadrer les sources de téléchargement autorisées, d’implémenter un proxy filtrant, et de sensibiliser les collaborateurs. Une règle simple — « on n’installe rien depuis un lien cliqué dans Google » — élimine la grande majorité de ces vecteurs. Côté infrastructure, auditer régulièrement les logiciels installés sur tes serveurs et maintenir un inventaire à jour reste une des défenses les plus concrètes contre ce type de compromission.
Si tu as un site ou une marque : surveille ce qui se passe dans les annonces
Le malvertising a une dimension souvent ignorée côté victime indirecte : ton nom peut être usurpé dans une campagne publicitaire sans que tu en saches rien. Un attaquant peut très bien acheter des annonces sur le nom de ta marque, ton logiciel, ou ton domaine pour capter ton trafic — ou pire, pour distribuer quelque chose de malveillant en ton nom. Des utilisateurs se feraient piéger en pensant télécharger ton produit.
WESTCODE BY LEB
Studio web en Mayenne — On crée des outils numériques qui transforment
Google Ads Transparency Center permet de vérifier quelles annonces tournent sur des mots-clés liés à ton identité. C’est consultable publiquement, sans compte. Si tu détectes une usurpation, le processus de signalement existe — il est lent, mais il fonctionne. Mettre en place des alertes de monitoring sur ton nom de marque dans les résultats de recherche est une bonne pratique, particulièrement si tu distribues des fichiers ou du contenu téléchargeable depuis ton site.
✅ Bonne pratique : fais une recherche Google sur ton propre nom de marque ou produit une fois par mois et vérifie les annonces qui s’affichent. Si une annonce ne vient pas de toi, signale-la immédiatement via le formulaire d’abus Google Ads.
Ce que ça dit sur notre rapport à Google
Ces attaques révèlent quelque chose de plus profond : nous avons structurellement accordé trop de confiance aux résultats sponsorisés. Google a bénéficié pendant des années d’une aura d’autorité sur ce qui apparaît en tête de ses résultats. Cette aura est en train de s’éroder — et c’est probablement une bonne chose, même si le chemin est douloureux.
Le web redécouvre que l’accès direct — le signet dans le navigateur, l’URL mémorisée, le lien officiel copié une bonne fois — est une pratique de sécurité, pas un archaïsme de vieux geek. Bookmarke ton gestionnaire de mots de passe. Bookmarke le site officiel de tes outils quotidiens. Passe par les canaux officiels, et si possible vérifiés par signature numérique quand c’est disponible (GPG, checksums SHA-256).
Mon opinion sur tout ça est assez tranchée : Google a largement les moyens techniques de rendre ce type d’attaque beaucoup plus difficile à mener. Vérification plus stricte des domaines, validation humaine systématique pour certaines catégories de mots-clés sensibles (noms de logiciels connus), détection comportementale plus agressive du cloaking côté revue. Si ça n’est pas fait à l’échelle nécessaire, c’est un choix — conscient ou non. Et si la confiance des utilisateurs dans les résultats de recherche continue à s’effriter à cause de ce genre de campagne, c’est tout le modèle publicitaire search qui en prendra le coût. La question n’est pas de savoir si c’est techniquement résolvable. C’est de savoir combien de milliers d’infections supplémentaires il faudra avant que l’incitation économique soit assez forte pour que ça change vraiment.
