Comme l'indiquent les chercheurs de CrowdStrike , dont les recherches ont été décortiquées par le site spécialisé Bleeping Computer , l'attaque s'appuie en premier lieu sur l'application d'accessibilité « utilman . exe » . Cette dernière est dans le cas présent reconfigurée , de manière à lancer un fichier SFX protégé par un mot de passe ayant été placé en amont sur le système cible . Le fichier SFX déclenché par le biais d'utilman . exe contient pour sa part un fichier texte vide qui sert de leurre . Ce procédé permet en sous-main d'abuser des options de configuration de WinRAR pour exécuter PowerShell , qui est une invite de commande Windows ( cmd . exe ) , mais aussi le gestionnaire de tâches avec des privilèges système , note Bleeping Computer . En soi , aucun logiciel malveillant n'est présent dans l'archive RAR en elle-même , mais cette méthode d'attaque permet d'exécuter des commandes pouvant in fine ouvrir une porte dérobée dans le système cible , et ce , de manière très discrète . « Ce type d'attaque est susceptible de ne pas être détecté par les logiciels antivirus traditionnels , qui recherchent des logiciels malveillants à l'intérieur d'une archive ( souvent protégée par un mot de passe ) , plutôt que le comportement d'un décompresseur d'archives SFX » , notent les chercheurs de CrowdStrike . Cela dit , d'après Bleeping Computer , Windows Defender parvient parfois à réagir convenablement lorsqu'une archive SFX personnalisée est créée pour exécuter PowerShell après extraction . Testé sur ce terrain par le site spécialisé , l'utilitaire de Microsoft a dans certains cas identifié l'exécutable en tant que script malveillant et l'a mis en quarantaine . Cette réaction appropriée n'a toutefois pas été observée de manière systématique à chaque tentative . Une fois de plus , la prudence est donc requise : ne téléchargez pas de fichiers SFX si vous n'en connaissez pas la provenance . Bleeping Computer .