Porte dérobée.MSIL.AgentTesla.RS

Backdoor.MSIL.AgentTesla.RS est un programme malveillant Windows classé comme porte dérobée, un type de menace permettant à des attaquants de contrôler à distance et secrètement un ordinateur infecté. Écrit en .NET (MSIL), il appartient à la famille de logiciels malveillants AgentTesla, bien connue et utilisée depuis des années pour espionner et accéder à distance aux systèmes des victimes. Cette variante particulière a été observée entre 2023 et 2025 et présente un niveau de dangerosité modéré à élevé en raison de sa capacité à contourner l'authentification standard et à offrir aux attaquants un accès caché à une machine compromise.

Que fait Backdoor.MSIL.AgentTesla.RS ?

Une fois actif sur un système, Backdoor.MSIL.AgentTesla.RS établit un canal de communication clandestin entre l'ordinateur infecté et un attaquant distant. Conçu pour exploiter les failles des logiciels installés et contourner les contrôles de sécurité et d'authentification habituels, il ouvre ainsi une porte dérobée dans le système. L'échantillon analysé comporte des noms internes faisant référence à « Apollo », un terme fréquemment associé aux outils basés sur AgentTesla, et n'est pas signé numériquement, caractéristique des menaces cherchant à échapper à une identification facile.

Techniquement, ce malware est un exécutable .NET 32 bits non compressé, mais qui utilise des techniques d'obfuscation (comme la protection basée sur Fody) pour en compliquer l'analyse. Sur le plan comportemental, il a été observé qu'il utilise des appels système de bas niveau pour écrire des fichiers, gérer la mémoire et interagir avec le registre Windows, ainsi que des fonctions qui interrogent le nom d'utilisateur et les informations de localisation de l'utilisateur connecté. Il utilise également des composants réseau (Winsock) pour établir des connexions sortantes et collecter des informations de configuration réseau telles que les informations sur la carte réseau et l'hôte. De plus, il fait appel aux API cryptographiques de Windows, couramment utilisées par les portes dérobées pour chiffrer les données volées ou sécuriser la communication avec un serveur distant, et il utilise des fonctions d'ajustement des privilèges qui lui permettent d'obtenir des droits élevés sur le système. L'ensemble de ces fonctionnalités indique qu'il s'agit d'un outil conçu pour l'accès distant furtif, la collecte de données et la communication avec un serveur contrôlé par un attaquant.

Comment il se propage habituellement

Comme la plupart des portes dérobées et des variantes d'AgentTesla, cette menace ne se présente généralement pas sous la forme d'un programme clairement identifié. Elle est plutôt véhiculée par des courriels trompeurs contenant des pièces jointes ou des liens infectés, intégrée à des logiciels piratés ou crackés, dissimulée dans de faux installateurs, ou encore déposée par d'autres logiciels malveillants déjà présents sur le système. Elle peut également se faire passer pour un logiciel d'apparence légitime afin d'inciter les utilisateurs à l'exécuter volontairement.

Risques pour l’utilisateur

Les portes dérobées étant conçues pour fonctionner discrètement, une infection par Backdoor.MSIL.AgentTesla.RS peut avoir de graves conséquences : les attaquants peuvent dérober les mots de passe enregistrés, les fichiers personnels et les informations système ; surveiller l’activité des utilisateurs ; installer d’autres logiciels malveillants ; ou utiliser l’ordinateur compromis comme tremplin pour d’autres attaques sur le réseau. L’association de l’accès à distance et des capacités de chiffrement fait du vol de données et d’une surveillance prolongée et indétectable un risque bien réel.

Signes d’infection

Les portes dérobées sont conçues pour échapper à la détection ; leurs symptômes sont donc souvent discrets. Les utilisateurs doivent être attentifs à toute activité réseau inhabituelle, à des processus inconnus s’exécutant en arrière-plan, à des ralentissements anormaux, à la désactivation d’outils de sécurité, à des modifications inexpliquées des paramètres système ou au lancement automatique de programmes inconnus au démarrage du système.

Rester protégé

Pour réduire le risque d'infection, évitez d'ouvrir les pièces jointes ou les liens provenant de courriels inattendus ou suspects, téléchargez les logiciels uniquement depuis des sources officielles et maintenez votre système d'exploitation et vos applications installées à jour afin de corriger les vulnérabilités connues. L'utilisation d'une solution de sécurité fiable et à jour pour analyser régulièrement votre système, l'activation d'un pare-feu et la prudence face aux téléchargements de logiciels inconnus ou piratés sont autant de mesures pratiques qui contribuent à empêcher les portes dérobées telles que Backdoor.MSIL.AgentTesla.RS de s'installer.