Google served me Malware

Google served me Malware

par John Hammond

Sciences appliquées & ingénierie Informatique & Cybersécurité URSécurité informatiqueURJVirus informatiques, chevaux de Troie et vers
🎙 John Hammond 👥 2.2M 📅 27 mai 2026 ⏱ 25 min 👁 224K 📄 étude originale 🧭 2026-08-16
Disponible en : Français (actuel) English

Mots-clés

malvertisingGoogle Adsmalwarephishinganalyse de malware

Résumé

Dans cette vidéo, John Hammond analyse une campagne de malvertising (publicité malveillante) sur Google Ads. Un internaute a signalé avoir trouvé un résultat sponsorisé pour Bing Webmaster Tools qui, après inspection, contenait une URL suspecte (markov-chains.com). En suivant cette piste, Hammond découvre une chaîne d’attaques complexe : un site WordPress compromis injecte un script JavaScript obfusqué qui redirige vers une fausse page de connexion Bing. Cette page incite l’utilisateur à télécharger un fichier batch (microsoft.bat) qui exécute PowerShell pour télécharger et exécuter des payloads successifs. Le payload final est un installateur Inno Setup contenant une version backdoorée de TortoiseSVN. En analysant les fichiers, Hammond identifie une DLL malveillante (crshhndl.dll) qui est chargée par l’application légitime, permettant l’exécution d’un client de commande et contrôle (C2) basé sur WebSocket. Il relie cette infrastructure à un kit de phishing nommé ‘Kratos’. La vidéo détaille les techniques d’analyse statique et dynamique, l’utilisation d’outils comme REMnux, Procmon, et .NET Peak, et met en lumière les dangers des publicités sponsorisées sur les moteurs de recherche.

169 mots

Évaluation critique

Valeur des informations & solidité de l’argumentation

La vidéo offre une valeur pédagogique élevée en montrant pas à pas la méthodologie d’analyse d’une campagne de malvertising. L’argumentation est solide, basée sur des preuves concrètes (captures d’écran, extraits de code, résultats d’analyse). L’auteur explique clairement chaque étape, de la détection initiale à l’identification du payload final, en passant par la désobfuscation de scripts et l’analyse de binaires. Il utilise des outils spécialisés et justifie ses choix. Cependant, certaines hypothèses (comme le rôle exact de la DLL) sont émises sans validation complète, mais il le reconnaît et propose des pistes pour approfondir.

Rigueur scientifique, qualité des sources, adéquation du titre

La rigueur scientifique est bonne : l’auteur cite des outils et des techniques reconnus, et il montre les limites de son analyse (par exemple, l’impossibilité de reproduire la publicité). Les sources mentionnées dans la description sont principalement des liens vers ses propres services et des sponsors, mais il ne cite pas de sources externes pour étayer ses affirmations. Le titre est accrocheur et correspond au contenu, bien qu’il soit un peu sensationnaliste. L’adéquation titre/contenu est bonne, mais le titre pourrait laisser penser à une critique de Google, alors que la vidéo est plutôt une analyse technique.

204 mots

Adéquation titre / contenu

Le titre est accrocheur et reflète bien le contenu : l'auteur montre comment une publicité Google a mené à un malware.

Qualité & fiabilité

8/10

Analyse technique approfondie et méthodique, avec utilisation d'outils reconnus (REMnux, Procmon, .NET Peak) et vérification des artefacts. Quelques spéculations non confirmées, mais l'ensemble est rigoureux et transparent.

Moments clés

Repères établis par PSI à partir de la transcription : le créateur n'a pas défini de chapitres.

Sources citées

  • CodeCrafters — Ressource sponsorisée pour apprendre à coder, mentionnée dans la description.
  • CyberDefenders — Plateforme de formation Blue Team et certifications SOC, mentionnée dans la description.
  • Infosec Map — Carte des événements de cybersécurité, mentionnée dans la description.
  • Newsletter de John Hammond — Inscription à la newsletter, mentionnée dans la description.
  • OpenVPN — Service VPN, mentionné dans la description.
  • Just Hacking Training — Formation en cybersécurité, mentionnée dans la description.
  • Vanta — Sponsor de la vidéo, plateforme de conformité et de sécurité.

Sources concordantes

  • Rapport sur le malvertising de Google — Article de BleepingComputer sur une campagne similaire, corroborant les faits.

Sources discordantes

  • Aucune source discordante trouvée — Aucune source contredisant les affirmations de la vidéo n'a été identifiée.

Apport & nouveautés

Cette vidéo apporte une analyse détaillée et actualisée d’une campagne de malvertising sur Google Ads, montrant la chaîne d’infection complète, de la publicité malveillante à l’exécution d’un RAT. Elle met en lumière des techniques récentes comme l’utilisation de WebSocket pour le C2 et le détournement de DLL dans un logiciel légitime. L’analyse est pédagogique et reproductible, avec l’utilisation d’outils open source.

Pour aller plus loin :

  • Malvertising — Article Wikipédia sur le malvertising, pour comprendre le contexte.
  • DLL hijacking — Article Wikipédia sur le détournement de DLL, technique clé utilisée ici.
  • PowerShell — Article Wikipédia sur PowerShell, utilisé pour les payloads.
  • Inno Setup — Article Wikipédia sur Inno Setup, l’installateur utilisé.
  • ConfuserEx — Outil d’obfuscation .NET, mentionné dans la vidéo.

120 mots

Profil radar

Le profil radar montre une vidéo très riche en informations (quantité élevée) et avec une bonne qualité technique, mais la fiabilité est légèrement inférieure en raison de quelques spéculations non confirmées. Le niveau technique est élevé, ce qui peut limiter l'accessibilité pour un public débutant.

Fiabilité 8/10

💬 Sur les 30 commentaires analysés, le climat est très positif et reconnaissant, avec de nombreux témoignages d'expériences similaires et des remerciements pour l'analyse détaillée. Les commentaires soulignent l'importance des bloqueurs de publicité et critiquent Google pour sa négligence, mais sans hostilité envers le créateur.