Fausse facture FedEx : la page blanche qui installe la porte dérobée Sirius
Un courriel de « FedEx » annonce qu’une facture de taxes a été émise. Une pièce jointe compressée, un PDF à l’intérieur, une page blanche à l’ouverture. Rien de grave en apparence. Pourtant, selon l’équipe de recherche de Trellix, cette page blanche suffit à installer en mémoire une nouvelle porte dérobée, baptisée Sirius, capable de prendre le contrôle de l’ordinateur, d’écouter le micro et de survivre à une réinitialisation de Windows.
La campagne décrite par Trellix le 26 octobre 2026 visait des utilisateurs en Corée du Sud, en coréen. Mais le maliciel accepte de fonctionner dans environ 88 pays, dont le Canada et les États-Unis, et le scénario de la fausse facture FedEx se traduit très bien en français. Voici comment la reconnaître et quoi régler sur vos postes.
La fausse facture FedEx, annotée
Les signaux à reconnaître
- 1Une facture d’un fournisseur avec qui vous n’avez pas de compte, ou un montant inhabituel.
- 2Un message générique, sans votre numéro de client ni le nom de votre contact.
- 3Une archive avec mot de passe pour une simple facture : un vrai transporteur vous dirige plutôt vers son portail.
- 4Un PDF qui demande d’« autoriser » ou d’« ouvrir » un programme : refusez toujours.
Le contenu reproduit les caractéristiques décrites par Trellix, traduites. Les vrais avis FedEx ne sont pas en cause : les pirates exploitent simplement la réputation de la marque.
Ce qui se passe derrière la page blanche
Le PDF ne contient pas de facture. Il ne contient qu’un espace, et une instruction qui demande au lecteur PDF de lancer PowerShell dès l’ouverture. La suite se déroule en mémoire, sans fichier visible :
Ce que voit l’employé
Une page vide. On croit à un fichier corrompu, on ferme, on passe à autre chose.
Ce qui roule en arrière-plan (selon Trellix)
Ouverture
Le PDF utilise les actions /OpenAction et /Launch pour démarrer powershell.exe en fenêtre cachée, une fois l’avertissement accepté.
Déchiffrement
Le script déchiffre et décompresse un chargeur .NET directement en mémoire.
Camouflage
Un deuxième module désactive la journalisation ETW de Windows pour aveugler les outils de sécurité.
Téléchargement
Il récupère la charge finale, zeus.dat, sur un serveur des pirates.
Déguisement
Sirius s’installe dans un processus Windows légitime, comme msbuild.exe ou svchost.exe.
Contrôle
Bureau caché à distance, webcam, micro, frappes au clavier, presse-papiers, mots de passe et témoins des navigateurs Chromium.
Deux capacités visent directement l’argent : Sirius vole les témoins de session des navigateurs, ce qui permet d’entrer dans des comptes sans mot de passe, et il remplace les adresses de portefeuilles de cryptomonnaies copiées dans le presse-papiers par celles des pirates. Il ajoute aussi des exclusions dans Microsoft Defender et supprime les clichés instantanés de volume, ce qui nuit à la récupération.
Où Sirius se cache pour revenir
Trellix décrit une persistance inhabituellement tenace. Certains emplacements sont classiques; d’autres visent précisément à survivre au nettoyage :
Emplacements de persistance relevés par Trellix
HKCU…CurrentVersionRun
Relance au démarrage de session.
Classique
Tâche planifiée
Lancée à chaque ouverture de session, avec les droits les plus élevés disponibles.
Classique
Dossier Démarrage : WindowsUpdate.lnk
Un raccourci au nom rassurant.
Classique
HKCUEnvironmentUserInitMgrLogonScriptName
Un script logon.cmd exécuté à chaque connexion.
Peu connu
C:UsersDefaultNTUSER.DAT
Chaque nouveau compte créé sur le poste hérite de l’infection.
Contamine les nouveaux comptes
C:RecoveryCustomizations*.ppkg
Un package de provisionnement restauré par la réinitialisation de Windows.
Survit à la réinitialisation
C:WindowsSetupScriptsSetupComplete.cmd
Exécuté avec les droits SYSTEM à la fin d’une installation ou d’une mise à niveau de Windows.
Se relance après une mise à niveau
❌ Mythe 1
« Si le poste est infecté, on fait Réinitialiser ce PC et c’est réglé. »
✅ Fait 1
La réinitialisation de Windows restaure les packages placés dans C:RecoveryCustomizations. Sirius en profite pour se réinstaller. Un poste touché doit être réinstallé à partir d’un média propre, après sauvegarde des seules données.
❌ Mythe 2
« Une page blanche, c’est juste un PDF brisé. »
✅ Fait 2
Ici, la page blanche est voulue : le fichier sert uniquement à lancer PowerShell. Un PDF vide reçu d’un expéditeur inattendu mérite un signalement.
❌ Mythe 3
« Notre antivirus aurait vu un fichier malveillant. »
✅ Fait 3
La chaîne reste en mémoire et désactive la journalisation de Windows. Il faut un EDR qui surveille le comportement des processus, comme SentinelOne, et des règles qui bloquent le lancement de PowerShell par un lecteur PDF.
Les réglages à appliquer sur vos postes Windows
Trellix recommande d’abord d’activer la règle de réduction de la surface d’attaque (ASR) de Microsoft Defender qui empêche Adobe Reader de créer des processus enfants. Testez-la en mode audit, puis passez en mode bloquant :
// Règle ASR « Bloquer la création de processus enfants par Adobe Reader »
Ce que fait chaque ligne
- 1À exécuter dans une console PowerShell ouverte en administrateur, ou à déployer par Intune ou une stratégie de groupe.
- 2Ajoute la règle ASR avec son identifiant officiel (GUID) cité par Trellix.
- 3AuditMode journalise sans bloquer. Après quelques jours sans faux positifs, remplacez par Enabled.
- 4Vérifie que la règle est bien enregistrée.
Cette règle couvre Adobe Reader. Si vos employés utilisent un autre lecteur PDF, désactivez-y le lancement de programmes externes.
Les autres mesures recommandées
- ☐ Activer le mode de langage restreint de PowerShell (Constrained Language Mode) avec AppLocker ou WDAC sur les postes qui n’en ont pas besoin.
- ☐ Activer la journalisation des blocs de script PowerShell (événement 4104) et la conserver.
- ☐ Alerter quand un lecteur PDF lance PowerShell, ou quand un script lance msbuild.exe.
- ☐ Vérifier périodiquement C:RecoveryCustomizations, SetupComplete.cmd et la clé UserInitMgrLogonScriptName.
- ☐ Bloquer ou mettre en quarantaine les archives ZIP protégées par mot de passe venant de l’extérieur.
- ☐ Former l’équipe de la comptabilité : une facture inattendue se vérifie sur le portail du fournisseur, jamais par la pièce jointe.
Si quelqu’un a déjà ouvert la pièce jointe
Débranchez le poste du réseau sans l’éteindre, puis appelez votre soutien TI. Depuis un autre appareil, changez les mots de passe enregistrés dans le navigateur et révoquez les sessions ouvertes, car Sirius vole les témoins de connexion : notre article sur le vol de session Microsoft 365 explique pourquoi un simple changement de mot de passe ne suffit pas. Revérifiez toute adresse de paiement copiée récemment. Enfin, réinstallez le poste à partir d’un média propre plutôt que de le réinitialiser.
Pour reconnaître les autres formes de courriels piégés, voyez aussi notre guide sur les courriels frauduleux dans Microsoft 365 et Google Workspace.
Comment NeoTech peut vous aider
Nos services de cybersécurité déploient les règles ASR et les restrictions PowerShell sur vos postes sans bloquer le travail, l’EDR SentinelOne surveille le comportement des processus, et notre surveillance automatisée 24/7 avec intervention du technicien de garde signale un lecteur PDF qui lance PowerShell ou une nouvelle persistance sur les postes surveillés.
Réservez votre Bilan cyber gratuit
En 30 minutes, nous vérifions si un PDF piégé comme celui-ci pourrait lancer PowerShell sur vos postes, et quels réglages appliquer en priorité.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Nos bureaux : 2572, boul. Daniel-Johnson, bureau 237, Laval.
Sources
- Trellix, Shashikala Piddannavar, Raymond Joseph Alfonso et Sagar Bade, « Unveiling Sirius Backdoor: A Multistage Fileless Campaign Disguised as FedEx Invoices » (26 octobre 2026) (en anglais)
- Broadcom, bulletin de protection « Sirius Backdoor distributed under the FedEx disguise » (en anglais)
- Cyber Security News, « Hackers Use Fake FedEx Invoices to Deploy Sirius Backdoor and Evade Windows Security » (en anglais)
Photo : Gustavo Fring, Pexels (licence Pexels).