ANALYSES
eScan, la mise à jour antivirus qui apporte le logiciel malveillant : le canal de confiance comme risque
Le 20 janvier 2026, un serveur de mise à jour de l'antivirus eScan a distribué pendant deux heures un programme malveillant qui bloquait les mises à jour et téléchargeait d'autre code, touchant des centaines d'ordinateurs en Asie du Sud. L'analyse : le canal de confiance, le cumul sur un fournisseur de sécurité, qui paie et questions pour les renouvellements.
Archives : reconstitution rédigée en novembre 2026
Thème du mois de janvier 2026 · par cybercoverinsurance
Le 20 janvier 2026, un serveur de mise à jour régional d'eScan, l'antivirus de la société indienne MicroWorld Technologies, a distribué pendant environ deux heures un fichier malveillant aux ordinateurs des clients. Le fichier bloquait les mises à jour suivantes de l'antivirus, s'installait de façon persistante et téléchargeait d'autres programmes. La société de sécurité Morphisec l'a détecté le jour même, et Kaspersky a compté des centaines d'ordinateurs touchés, surtout en Inde, au Bangladesh, au Sri Lanka et aux Philippines.
Pour qui porte le risque cyber, le cas concerne le canal le plus fiable d'une entreprise : la mise à jour automatique du logiciel de sécurité. Quand ce canal est compromis, le contrôle censé protéger devient la porte d'entrée, et il le devient pour de nombreux clients au même moment.
Ce que l'on sait
L'attaque. Selon eScan, quelqu'un a obtenu un accès non autorisé à la configuration d'un serveur de mise à jour régional, et un fichier erroné a été placé dans le circuit de distribution pendant environ deux heures le 20 janvier. La société a isolé les serveurs, a maintenu son infrastructure de mise à jour hors ligne pendant plus de huit heures et a publié un avis le 22 janvier (SecurityWeek).
Ce que faisait le fichier. Le programme malveillant remplaçait un fichier légitime de l'antivirus, avec une fausse signature numérique. Il modifiait le fichier HOSTS pour empêcher de nouvelles mises à jour, créait des tâches planifiées pour rester actif et contactait un serveur externe pour télécharger d'autre code. Il vérifiait la présence d'outils d'analyse ou de sécurité sur l'ordinateur, et s'arrêtait dans ce cas. Il écrivait aussi une fausse date de mise à jour, pour que le produit paraisse à jour. Kaspersky a détecté des tentatives d'infection sur des centaines d'ordinateurs de particuliers et d'organisations (The Hacker News).
Le nettoyage. La suppression automatique n'était pas possible, car le fichier bloquait les mises à jour. Les clients touchés devaient contacter eScan pour recevoir un outil de nettoyage (SecurityWeek).
Deux versions. eScan a parlé d'une « interruption temporaire du service de mise à jour » et d'une mise à jour « corrompue », a contesté l'étiquette d'attaque de la chaîne d'approvisionnement et a déclaré n'avoir trouvé aucune preuve de vol de données. Morphisec et Kaspersky décrivent au contraire une chaîne d'infection délibérée en plusieurs étapes (The Hacker News, SecurityWeek).
Ce que l'on ne sait pas. La manière dont les attaquants sont entrés dans le serveur, leur identité, le nombre de clients touchés et l'objectif final n'ont pas été rendus publics. eScan a indiqué que l'impact concernait une petite partie des clients, sans donner de chiffres.
Le canal de confiance comme porte d'entrée
La mise à jour automatique est un privilège. Le logiciel de sécurité a les droits les plus élevés sur l'ordinateur et reçoit des mises à jour sans que personne ne les vérifie. Qui contrôle le canal de mise à jour contrôle, pendant quelques heures, tous les ordinateurs qui le reçoivent.
Le contrôle qui s'éteint tout seul. Le fichier malveillant bloquait les mises à jour de l'antivirus et simulait une mise à jour réussie (The Hacker News). Pour l'assuré, l'antivirus apparaissait actif et à jour. Une réponse positive au questionnaire ne dit pas si le contrôle fonctionne vraiment.
Deux heures suffisent. La fenêtre de distribution a été d'environ deux heures (SecurityWeek). Aucun processus de vérification interne chez l'assuré n'aurait pu arrêter en si peu de temps une mise à jour signée par le fournisseur. La défense réside dans la détection d'un comportement anormal après l'installation.
Le cumul sur un fournisseur de sécurité
Un fournisseur, de nombreux assurés. Un antivirus répandu parmi les petites et moyennes entreprises d'un pays crée une dépendance commune. Le cas eScan est resté limité, mais le même mécanisme appliqué à un fournisseur ayant plus de clients produirait de nombreux sinistres en même temps.
La géographie du portefeuille. Les ordinateurs touchés étaient concentrés en Asie du Sud (The Hacker News). Pour qui assure des entreprises d'une région, le fournisseur de sécurité dominant sur le marché local est une donnée de cumul à collecter, comme le fournisseur de cloud ou de logiciel de gestion.
Le précédent CrowdStrike, à l'envers. En juillet 2024, une mise à jour défectueuse de CrowdStrike avait arrêté des millions d'ordinateurs sans aucune attaque. eScan montre la version malveillante du même risque : le canal de mise à jour comme point unique capable de toucher tous les clients.
Qui paie
Le client touché a un sinistre. Pour le client, l'infection est une cyberattaque à part entière : coûts de réponse, de nettoyage et de vérification. La police cyber de l'assuré répond en général sans distinguer si l'attaque est arrivée par courriel ou par le fournisseur.
Le recours contre le fournisseur est incertain. eScan conteste la nature de l'attaque et ses conditions contractuelles limitent en général sa responsabilité envers les clients. Pour l'assureur qui paie le sinistre, se retourner contre le fournisseur de sécurité est difficile, surtout si celui-ci est établi dans un autre pays.
La communication du fournisseur compte. L'écart entre la version d'eScan et celle des chercheurs rend plus difficile pour les clients l'évaluation de ce qui s'est passé sur leurs ordinateurs. Un fournisseur qui minimise peut retarder la réponse des clients et allonger le sinistre.
Ce qu'il faut apporter aux renouvellements
Impact pour les assureursMoyen
Un serveur de mise à jour d'un antivirus a distribué pendant deux heures un programme malveillant qui bloquait les mises à jour et téléchargeait d'autre code, touchant des centaines d'ordinateurs en Asie du Sud.
Côté portefeuille, le cas eScan invite à collecter le nom du principal fournisseur de sécurité des assurés, surtout parmi les petites entreprises et sur les marchés où quelques produits locaux dominent. Un scénario de mise à jour malveillante distribuée par un fournisseur répandu est un test utile pour le cumul, avec une fenêtre de distribution courte mais un nombre de sinistres potentiellement élevé.