Comment supprimer le RAT TELEPUZ du système d'exploitation

Quel type de malware est TELEPUZ ?

TELEPUZ est une plateforme modulaire de Malware-as-a-Service (MaaS) qui combine des fonctions de cheval de Troie d'accès à distance (RAT) avec des capacités de vol d'informations. Écrit en C et déployé sous forme de DLL Windows 64 bits, il s'exécute silencieusement en arrière-plan tout en donnant aux attaquants un contrôle total à distance des systèmes infectés.

Selon des recherches publiées par Elastic Security Labs, TELEPUZ est diffusé via ClickFix - une technique d'ingénierie sociale par laquelle un site web malveillant incite le visiteur à coller une commande PowerShell dans la boîte de dialogue Exécuter, récupérant et installant silencieusement le malware.

Une fois actif, TELEPUZ peut voler les identifiants et les cookies du navigateur, enregistrer les frappes au clavier, injecter du code dans les sites web bancaires, capturer des captures d'écran et permettre aux opérateurs d'envoyer des commandes à distance. Il prend en charge 36 commandes distinctes, donnant aux attaquants un contrôle quasi total d'un appareil compromis.

Présentation de TELEPUZ

Elastic Security Labs a identifié TELEPUZ pour la première fois fin avril 2026, le volume de compilations augmentant régulièrement à partir du début juin. De nouveaux échantillons apparaissent sur VirusTotal presque quotidiennement, ce qui témoigne d'un développement actif. Le projet semble être géré par une petite équipe ou un développeur solitaire.

TELEPUZ est structuré autour d'un noyau léger et de modules optionnels que les opérateurs peuvent déployer sur les appareils infectés à la demande. Les modules confirmés comprennent un keylogger, un voleur d'identifiants de navigateur et un injecteur web. Chaque module est un binaire distinct récupéré depuis le serveur de l'opérateur lorsque nécessaire.

La chaîne de diffusion ClickFix commence sur une page web compromise ou contrôlée par l'attaquant. Lorsque la victime exécute la commande PowerShell collée, une variante du stealer VIDAR basée sur Go est téléchargée comme chargeur initial. Ce chargeur récupère puis lance ensuite le stager de TELEPUZ et sa charge utile principale depuis des domaines contrôlés par l'attaquant.

Les capacités de TELEPUZ

TELEPUZ prend en charge 36 commandes à distance couvrant un large éventail d'actions malveillantes. Les opérateurs peuvent effectuer une injection de processus, lister et terminer des processus, téléverser ou télécharger des fichiers, capturer des captures d'écran, exécuter des commandes shell et élever les privilèges au niveau Administrateur ou SYSTEM.

Le module d'injecteur web utilise le Chrome DevTools Protocol et l'interface Firefox WebDriver BiDi pour intercepter et modifier les pages à l'intérieur du navigateur de la victime en temps réel. Cela permet à l'attaquant d'altérer silencieusement les pages de sites bancaires et financiers - par exemple, en remplaçant les champs de saisie pour capturer les identifiants tapés sans que l'utilisateur ne remarque quoi que ce soit d'anormal.

Le module de stealer extrait les cookies enregistrés des navigateurs basés sur Chromium et de Firefox. Le module keylogger enregistre tout ce que l'utilisateur tape. Toutes les données capturées sont renvoyées à l'opérateur via le canal command-and-control du malware.

Communication de command and control

TELEPUZ communique avec ses opérateurs via WebSocket, avec chiffrement TLS optionnel. Les commandes et les réponses suivent une structure JSON. Chaque appareil infecté se voit attribuer un ID de session unique dérivé des numéros de série matériels, du nom de l'ordinateur et de la date d'installation du système d'exploitation.

Si le serveur principal devient inaccessible, TELEPUZ se rabat sur la récupération d'adresses de serveur mises à jour depuis un canal Telegram, des pages de profil Steam ou des enregistrements DNS. Il peut également interroger un contrat intelligent sur la blockchain Polygon en dernier recours. Ces multiples chemins de secours le rendent résilient face aux démantèlements d'infrastructure.

Persistance et évasion des défenses

TELEPUZ s'installe comme service Windows nommé CipherAllocator pour survivre aux redémarrages. Il modifie également le registre Windows comme mécanisme de persistance secondaire, rendant une simple suppression au niveau du processus insuffisante pour nettoyer complètement le système.

Pour échapper aux logiciels de sécurité, TELEPUZ modifie l'Antimalware Scan Interface (AMSI) et l'ETW (Event Tracing for Windows) en mémoire, et remplace la bibliothèque NTDLL par une copie propre depuis le disque pour supprimer les hooks placés par les outils de sécurité. Ces étapes empêchent les logiciels antivirus de surveiller l'activité du malware.

Avant d'exécuter son code principal, TELEPUZ effectue une série de vérifications anti-analyse. Il lit le nombre de cœurs du CPU, la taille de la RAM et l'espace disque pour détecter les machines virtuelles couramment utilisées par les chercheurs en sécurité. Il recherche également les noms d'utilisateur, noms d'ordinateur et identifiants d'hyperviseur de sandbox connus, et détecte les points d'arrêt matériels.

Le filtrage géographique empêche TELEPUZ de s'exécuter sur les systèmes ayant une locale de pays de la CEI. Un contournement du User Account Control (UAC) via l'élévation COM et l'interface AppInfo ALPC permet une élévation de privilèges sans déclencher d'invite Windows. Les appels système indirects, l'obfuscation par instructions parasites et un chiffrement de chaînes RC4 personnalisé complètent sa panoplie d'évasion.

Conclusion

TELEPUZ donne aux attaquants un accès approfondi aux appareils infectés. Sa combinaison de contrôle RAT, de vol d'identifiants et d'injection web signifie que les opérateurs peuvent surveiller les victimes, récolter les identifiants de comptes, intercepter l'activité bancaire et déployer des charges utiles supplémentaires à tout moment.

L'infrastructure command-and-control résiliente du malware, ses vastes capacités d'évasion et son développement actif en font une menace sérieuse. Les victimes risquent l'usurpation d'identité, la fraude financière, le piratage de comptes et d'autres infections par des malwares. TELEPUZ doit être supprimé de tout système infecté immédiatement.

D'autres exemples de malwares classés comme RAT sont Starland, DenoRAT et MODBEACON.

Comment TELEPUZ a-t-il infiltré mon ordinateur ?

D'après les recherches d'Elastic Security Labs, TELEPUZ est distribué via une chaîne ClickFix en plusieurs étapes. Les victimes visitent un site web compromis ou créé par l'attaquant affichant une fausse page d'erreur ou de vérification. Cette page demande à l'utilisateur d'ouvrir la boîte de dialogue Exécuter, de coller une commande PowerShell préchargée dans le presse-papiers et de l'exécuter.

L'exécution de la commande contacte un serveur contrôlé par l'attaquant et télécharge une variante du stealer VIDAR basée sur Go comme chargeur de première étape. Ce chargeur récupère puis exécute ensuite le stager de TELEPUZ et sa DLL de charge utile principale depuis des domaines compromis, entièrement en mémoire. La victime ne voit aucun installateur ni avertissement à aucun moment du processus.

Au-delà de ClickFix, les menaces de ce type se propagent également via des e-mails de phishing, de fausses pages de téléchargement de logiciels, du contenu piraté et des cracks de logiciels. Rester à l'écart des sources de téléchargement non officielles et être vigilant face aux invites inattendues réduit considérablement le risque d'infection.

Comment éviter l'installation de malwares ?

Méfiez-vous de toute page web ou de tout message qui vous demande d'ouvrir PowerShell, la boîte de dialogue Exécuter ou une invite de commande et d'y coller une commande. Les services et installateurs de logiciels légitimes ne vous demanderont jamais de faire cela. Téléchargez des programmes uniquement depuis les sites web officiels des développeurs et les boutiques d'applications de confiance, et évitez le contenu piraté, les générateurs de clés et les outils d'activation non officiels.

Maintenez votre système d'exploitation et tous les programmes installés à jour pour corriger les vulnérabilités de sécurité connues. Évitez de cliquer sur les publicités et fenêtres pop-up sur les sites inconnus, et refusez les demandes de notification du navigateur provenant de pages que vous ne reconnaissez pas. Utilisez une solution de sécurité réputée et effectuez des analyses régulières. Si vous pensez que votre ordinateur est déjà infecté, nous vous recommandons d'effectuer une analyse avec Combo Cleaner Antivirus pour Windows pour éliminer automatiquement les malwares infiltrés.

Fausse page CAPTCHA utilisée pour diffuser TELEPUZ (source : elastic.co) :

Chaîne d'infection de TELEPUZ (source : elastic.co) :

Suppression automatique et instantanée des maliciels :

La suppression manuelle des menaces peut être un processus long et compliqué qui nécessite des compétences informatiques avancées. Combo Cleaner est un outil professionnel de suppression automatique des maliciels qui est recommandé pour se débarrasser de ces derniers. Téléchargez-le en cliquant sur le bouton ci-dessous :

En téléchargeant n'importe quel logiciel listé sur ce site web vous acceptez notre Politique de Confidentialité et nos Conditions d’Utilisation. Pour utiliser le produit complet, vous devez acheter une licence pour Combo Cleaner. 7 jours d’essai limité gratuit disponible. Combo Cleaner est détenu et exploité par RCS LT, la société mère de PCRisk.

Menu rapide :

• Qu'est-ce que TELEPUZ ?
• ÉTAPE 1. Suppression manuelle du malware TELEPUZ.
• ÉTAPE 2. Vérifiez si votre ordinateur est propre.

Comment supprimer un malware manuellement ?

La suppression manuelle de malwares est une tâche compliquée - il est généralement préférable de laisser les programmes antivirus ou anti-malware le faire automatiquement. Pour supprimer ce malware, nous recommandons d'utiliser Combo Cleaner Antivirus pour Windows.

Si vous souhaitez supprimer un malware manuellement, la première étape consiste à identifier le nom du malware que vous essayez de supprimer. Voici un exemple de programme suspect s'exécutant sur l'ordinateur d'un utilisateur :

Si vous avez vérifié la liste des programmes en cours d'exécution sur votre ordinateur, par exemple à l'aide du gestionnaire des tâches, et identifié un programme qui semble suspect, vous devez poursuivre avec ces étapes :

Téléchargez un programme appelé Autoruns. Ce programme affiche les applications à démarrage automatique, le registre et les emplacements du système de fichiers :

Redémarrez votre ordinateur en mode sans échec :

Utilisateurs de Windows XP et Windows 7 : Démarrez votre ordinateur en mode sans échec. Cliquez sur Démarrer, cliquez sur Arrêter, cliquez sur Redémarrer, cliquez sur OK. Pendant le processus de démarrage de votre ordinateur, appuyez plusieurs fois sur la touche F8 de votre clavier jusqu'à ce que le menu Options avancées de Windows apparaisse, puis sélectionnez Mode sans échec avec prise en charge réseau dans la liste.

Vidéo montrant comment démarrer Windows 7 en « Mode sans échec avec prise en charge réseau » :

Utilisateurs de Windows 8 : Démarrer Windows 8 en mode sans échec avec prise en charge réseau - Allez sur l'écran de démarrage de Windows 8, tapez Avancé, dans les résultats de recherche sélectionnez Paramètres. Cliquez sur Options de démarrage avancées, dans la fenêtre « Paramètres généraux du PC » qui s'ouvre, sélectionnez Démarrage avancé.

Cliquez sur le bouton « Redémarrer maintenant ». Votre ordinateur va maintenant redémarrer dans le « menu Options de démarrage avancées ». Cliquez sur le bouton « Dépannage », puis cliquez sur le bouton « Options avancées ». Dans l'écran des options avancées, cliquez sur « Paramètres de démarrage ».

Cliquez sur le bouton « Redémarrer ». Votre PC va redémarrer dans l'écran Paramètres de démarrage. Appuyez sur F5 pour démarrer en mode sans échec avec prise en charge réseau.

Vidéo montrant comment démarrer Windows 8 en « Mode sans échec avec prise en charge réseau » :

Utilisateurs de Windows 10 : Cliquez sur le logo Windows et sélectionnez l'icône Alimentation. Dans le menu qui s'ouvre, cliquez sur « Redémarrer » tout en maintenant la touche « Maj » de votre clavier enfoncée. Dans la fenêtre « choisir une option », cliquez sur « Dépannage », puis sélectionnez « Options avancées ».

Dans le menu des options avancées, sélectionnez « Paramètres de démarrage » et cliquez sur le bouton « Redémarrer ». Dans la fenêtre suivante, vous devez cliquer sur le bouton « F5 » de votre clavier. Cela redémarrera votre système d'exploitation en mode sans échec avec prise en charge réseau.

Vidéo montrant comment démarrer Windows 10 en « Mode sans échec avec prise en charge réseau » :

Extrayez l'archive téléchargée et exécutez le fichier Autoruns.exe.

Dans l'application Autoruns, cliquez sur « Options » en haut et décochez les options « Hide Empty Locations » et « Hide Windows Entries ». Après cette procédure, cliquez sur l'icône « Refresh ».

Vérifiez la liste fournie par l'application Autoruns et localisez le fichier de malware que vous souhaitez éliminer.

Vous devez noter son chemin complet et son nom. Notez que certains malwares cachent leurs noms de processus sous des noms de processus Windows légitimes. À ce stade, il est très important d'éviter de supprimer des fichiers système. Après avoir localisé le programme suspect que vous souhaitez supprimer, faites un clic droit sur son nom et choisissez « Delete ».

Après avoir supprimé le malware via l'application Autoruns (cela garantit que le malware ne s'exécutera pas automatiquement au prochain démarrage du système), vous devez rechercher le nom du malware sur votre ordinateur. Assurez-vous d'activer les fichiers et dossiers cachés avant de continuer. Si vous trouvez le nom de fichier du malware, assurez-vous de le supprimer.

Redémarrez votre ordinateur en mode normal. Suivre ces étapes devrait supprimer tout malware de votre ordinateur. Notez que la suppression manuelle de menaces nécessite des compétences informatiques avancées. Si vous ne possédez pas ces compétences, laissez la suppression des malwares aux programmes antivirus et anti-malware.

Ces étapes pourraient ne pas fonctionner avec des infections de malwares avancées. Comme toujours, il vaut mieux prévenir l'infection que d'essayer de supprimer le malware ultérieurement. Pour garder votre ordinateur en sécurité, installez les dernières mises à jour du système d'exploitation et utilisez un logiciel antivirus. Pour être sûr que votre ordinateur est exempt d'infections par des malwares, nous recommandons de l'analyser avec Combo Cleaner Antivirus pour Windows.

Foire aux questions (FAQ)

Mon ordinateur est infecté par le malware TELEPUZ, dois-je formater mon périphérique de stockage pour m'en débarrasser ?

Le formatage du périphérique de stockage supprimera TELEPUZ mais effacera également tous les fichiers du disque. Exécuter un outil de sécurité réputé comme Combo Cleaner est généralement la première étape la plus sûre et évite une perte de données permanente.

Quels sont les principaux problèmes que le malware TELEPUZ peut causer ?

TELEPUZ peut donner aux attaquants un contrôle à distance complet d'un appareil infecté, voler les identifiants de navigateur et les cookies de session, intercepter l'activité bancaire par injection web et enregistrer les frappes au clavier. Cela peut entraîner un piratage de compte, une usurpation d'identité, des transactions financières non autorisées et l'installation de malwares supplémentaires.

Quel est le but du malware TELEPUZ ?

TELEPUZ est conçu pour donner aux attaquants un accès à distance persistant aux systèmes infectés. Sa conception modulaire permet aux opérateurs de voler des identifiants, de surveiller l'activité de l'utilisateur via un keylogger, de manipuler les pages de sites web financiers pour capturer les données bancaires et de déployer des charges utiles supplémentaires au besoin.

Comment le malware TELEPUZ a-t-il infiltré mon ordinateur ?

Selon Elastic Security Labs, TELEPUZ se propage via ClickFix - une technique où des sites web malveillants incitent les utilisateurs à coller et exécuter une commande PowerShell. Cette commande télécharge et installe le malware sans qu'aucune autre action ne soit requise de la part de la victime.

Combo Cleaner me protégera-t-il des malwares ?

Oui. Combo Cleaner peut détecter et supprimer la plupart des malwares connus, y compris TELEPUZ. Comme ce malware utilise des techniques d'évasion avancées, il est recommandé d'exécuter une analyse complète du système pour s'assurer que l'infection est entièrement éliminée.