Un malware WhatsApp prend le contrôle de PC Windows à partir d’un simple fichier reçu dans la messagerie. Microsoft a décrit cette campagne le 31 mars 2026 sur son blog de sécurité. Ses équipes Microsoft Defender Experts l’observent depuis fin février 2026.
Le point de départ n’a rien de technique : un message WhatsApp, un fichier joint, un clic sur un poste de travail. La suite, en revanche, est soignée.
Le mode opératoire de la campagne WhatsApp
Des scripts VBScript en guise de pièce jointe
La victime reçoit sur WhatsApp un fichier d’apparence anodine. Il s’agit en fait d’un script Visual Basic (VBScript, extension .vbs). Une fois ouvert sur un PC Windows, il lance une chaîne d’infection en plusieurs étapes.
Des outils Windows légitimes, renommés
Les attaquants détournent ensuite des utilitaires présents dans Windows. Microsoft cite curl.exe, renommé en netapi.dll, et bitsadmin.exe, renommé en sc.exe. Les spécialistes parlent de technique « living-off-the-land » : l’attaque se fond dans l’activité normale du système.
Des charges hébergées sur des clouds réputés
Les fichiers malveillants arrivent depuis des services cloud connus : AWS S3, Tencent Cloud et Backblaze B2. Un filtrage fondé sur la réputation des domaines laisse donc passer ces téléchargements.
Un accès à distance durable
Le malware installe des paquets Microsoft Installer (MSI) non signés, dont un installateur AnyDesk. Il garde ainsi un accès à distance permanent au poste.
Il modifie aussi la valeur de registre ConsentPromptBehaviorAdmin, qui règle le Contrôle de compte d’utilisateur (UAC). Les invites UAC disparaissent alors, et le programme obtient les droits d’administrateur sans alerter l’utilisateur.
Malware WhatsApp et RGPD : un poste compromis devient une violation de données
Un PC sous le contrôle d’un attaquant donne accès aux fichiers locaux, à la messagerie, aux identifiants enregistrés et aux documents synchronisés dans le cloud. Pour une entreprise, la compromission constitue donc une violation de données personnelles au sens de l’article 4, point 12, du RGPD. Il suffit que l’attaquant puisse accéder à ces données.
L’article 32 du RGPD impose des mesures techniques et organisationnelles adaptées au risque. Or une messagerie personnelle utilisée pour échanger des fichiers professionnels échappe le plus souvent aux filtres de l’entreprise.
En cas de compromission, l’article 33 impose de notifier la Commission nationale de l’informatique et des libertés (CNIL) dans les 72 heures. Seule exception : une violation sans risque pour les personnes. L’article 34 ajoute l’information des personnes concernées lorsque le risque pour leurs droits et libertés est élevé. Notre tutoriel sur la notification d’une violation détaille la démarche.
La directive NIS 2, dont la transposition en droit français reste en cours d’examen au Parlement, renforce enfin la gestion des risques cyber des entités essentielles et importantes. Les échanges de fichiers par messagerie font partie des risques à évaluer.
Les mesures qui bloquent ce malware WhatsApp
D’abord, bloquez ou restreignez les moteurs de scripts sur les postes de travail : wscript, cscript et mshta. Microsoft recommande cette mesure, et la plupart des utilisateurs n’en ont aucun besoin.
Ensuite, vérifiez que l’antivirus est à jour et que la détection comportementale est active. Une détection fondée sur les signatures voit mal un curl.exe renommé.
Surveillez aussi les connexions sortantes vers des services de stockage cloud que l’entreprise n’utilise pas. Un poste comptable qui télécharge depuis Backblaze B2 mérite une alerte.
Fixez enfin une règle simple : aucun fichier reçu sur WhatsApp ne s’ouvre sur un poste professionnel sans expéditeur identifié. Une règle ne vaut que si les équipes la connaissent. Intégrez donc ce scénario dans votre formation, qui relève de l’article 32. La plateforme Focus RGPD propose par exemple des vidéos de sensibilisation à l’ingénierie sociale.
Sources
Microsoft décrit la campagne dans WhatsApp malware campaign delivers VBScript and MSI backdoors.
Le Monde Informatique fait le point sur NIS 2 dans FIC 2026 : L’Anssi réclame moins de dépendance numérique.
