La Campagne Malware ClickFix Revient Avec de Nouvelles Tactiques de Livraison

Résumé

Une nouvelle campagne ClickFix a été identifiée utilisant de fausses pages de vérification Cloudflare pour cibler les utilisateurs de macOS et Windows. La campagne utilise des domaines malveillants pour héberger du contenu trompeur et diffuser des logiciels malveillants. La charge utile spécifique du logiciel malveillant n’a pas pu être récupérée lors de cette enquête en raison d’erreurs serveur et de problèmes de résolution.

Enquête

L’enquêteur a analysé le trafic généré par les fausses pages de vérification et a identifié une chaîne d’URL hébergées sur un domaine malveillant spécifique. Les tentatives de récupération du logiciel malveillant pour Windows ont abouti à une erreur 403 Interdit, tandis que la commande spécifique à macOS a conduit à un domaine qui n’a pas pu être résolu. L’enquête s’est concentrée sur les modèles d’URL et l’infrastructure d’hébergement utilisée pour les scripts trompeurs.

Atténuation

Les utilisateurs doivent être formés à reconnaître les fausses pages de vérification et éviter d’exécuter des commandes ou de télécharger des fichiers suggérés par des invites de navigateur inattendues. Les organisations devraient mettre en œuvre un filtrage Web pour bloquer les domaines malveillants connus identifiés dans cette campagne. Il est également recommandé de surveiller les executions de processus inhabituels suite aux interactions basées sur le Web.

Réponse

Lors de la détection de communications avec les domaines malveillants identifiés, isolez l’hôte affecté du réseau. Effectuez une analyse forensic du point de terminaison pour déterminer si des commandes ont été exécutées ou si un logiciel malveillant a été téléchargé avec succès. Examinez les journaux de proxy Web pour identifier d’autres hôtes internes potentiellement compromis communiquant avec l’infrastructure identifiée.

Exécution de simulation

• Narrative & Commands d’attaque : L’adversaire a réussi à manipuler socialement un utilisateur pour qu’il visite une fausse page de « Vérification Cloudflare ». À mesure que la page se charge, le navigateur effectue automatiquement plusieurs requêtes au domaine contrôlé par l’attaquant js-static.cfd pour intégrer des éléments visuels trompeurs (polices et logos) et la logique malveillante principale (embed.js). Cette simulation utilise curl pour imiter les requêtes GET du navigateur pour ces URL spécifiques afin de déclencher la règle de détection basée sur proxy.

• Script de test de régression :

  #!/bin/bash
  # Script de simulation de campagne ClickFix
  # Objectif : Générer une télémétrie correspondant aux modèles de règles Sigma
  
  echo "[*] Démarrage de la simulation ClickFix..."
  
  # Domaine cible : js-static.cfd
  # Simulation de diverses URL identifiées dans la logique de détection
  
  echo "[+] Simulation : Chargement du script d'intégration malveillant..."
  curl -s -o /dev/null "http://js-static.cfd/embed.js?v=24"
  
  echo "[+] Simulation : Frappe de télémétrie API..."
  curl -s -o /dev/null "http://js-static.cfd/api/s/hit"
  
  echo "[+] Simulation : Chargement de ressources Cloudflare factices (logo/polices)..."
  curl -s -o /dev/null "http://js-static.cfd/static/CF-Logo 1.png"
  curl -s -o /dev/null "http://js-static.cfd/static/fonts/jetbrains-mono-600.woff2"
  
  echo "[+] Simulation : Suivi d'événement API..."
  curl -s -o /dev/null "http://js-static.cfd/api/track/event"
  
  echo "[*] Simulation terminée. Vérifiez les alertes dans le SIEM."

• Commandes de nettoyage :

  # Aucune modification persistante apportée au système. 
  # Si des fichiers ont été téléchargés, supprimez-les.
  rm -f embed.js CF-Logo*.png
  echo "[*] Nettoyage terminé."