L’évolution des techniques ClickFix au-delà des attaques basées sur le presse-papiers

Résumé

ClickFix est une technique d’ingénierie sociale qui trompe les utilisateurs pour qu’ils exécutent des commandes malveillantes via de fausses invites de vérification du navigateur. Les cybercriminels continuent de faire évoluer la méthode pour livrer une large gamme de charges utiles, y compris des RAT, des chargeurs et des voleurs d’informations. Les variantes plus récentes intègrent la livraison stéganographique et des chaînes d’exécution ensemencées dans le cache du navigateur.

Enquête

Huntress a enquêté sur plusieurs variantes de ClickFix impliquant des campagnes de malvertising, typosquatting et empoisonnement SEO. Les chercheurs ont identifié des chaînes d’attaque utilisant des RAT basés sur Node.js tels que DuskDesk, le chargement de DLL avec des binaires Microsoft légitimes, et la stéganographie PNG pour dissimuler des charges exécutables. L’enquête a également révélé des activités de déplacement latéral visant les contrôleurs de domaine via les protocoles Windows natifs.

Atténuation

Les organisations devraient former les utilisateurs à ne pas coller de commandes depuis les pages web dans les terminaux ou boîtes de dialogue Exécuter. Les contrôles techniques devraient inclure la liste blanche des applications, le blocage d’exécutions à partir d’emplacements accessibles en écriture par l’utilisateur tels que Temp, et la surveillance des tâches planifiées ou clés de Run suspectes. Il est également fortement recommandé de restreindre les privilèges d’administrateur local.

Réponse

Lorsque l’activité ClickFix est détectée, les équipes de sécurité doivent se concentrer sur les séquences de comportements suspects plutôt que de se fier uniquement aux IOC statiques. Cherchez des navigateurs déclenchant cmd.exe ou PowerShell, des archives inattendues apparaissant dans les répertoires Temp, et des tâches planifiées nouvellement créées. Enquêtez sur les tunnels SSH inversés non autorisés et les connexions réseau inhabituelles provenant de node.exe.

Exécution de Simulation

• Narratif & Commandes d’Attaque: L’adversaire utilise une tactique d’ingénierie sociale (ClickFix) où un utilisateur est invité à « réparer » une erreur de navigateur en exécutant un fichier téléchargé. Dans cette simulation, nous imitons cela en faisant lancer à l’utilisateur un .bat fichier à partir d’un dossier, qui à son tour déclenche cmd.exe pour exécuter une commande PowerShell. Cela crée la télémétrie spécifique (cmd.exe déclenchant PowerShell et l’exécution d’un fichier .bat) que la règle est conçue pour détecter.

• Script de Test de Régression:

  # Script de Simulation: Comportement de type ClickFix
  # 1. Créer un fichier batch factice pour imiter une charge utile téléchargée
  $batchPath = "$env:TEMPupdate_fix.bat"
  "@echo off`npowershell.exe -NoProfile -ExecutionPolicy Bypass -Command `"Write-Host 'Simulating Payload Delivery...'`"" | Out-File -FilePath $batchPath -Encoding ascii
  
  # 2. Exécuter le fichier batch (Cela déclenche la partie 'selection_batch' de la règle)
  Write-Host "[!] Exécution du fichier batch malveillant simulé..."
  Start-Process "cmd.exe" -ArgumentList "/c $batchPath" -Wait
  
  # 3. Simulation de PowerShell déclenché depuis explorer (Cela déclenche 'selection_powershell')
  # Note: Pour simuler la parenté de explorer.exe dans un script, nous utilisons une approche de sous-shell
  Write-Host "[!] Simulation de PowerShell démargré depuis le contexte Explorer..."
  Start-Process "powershell.exe" -ArgumentList "-NoProfile -Command `"Write-Host 'Simulated PowerShell from Explorer'`""

• Commandes de Nettoyage:

  # Nettoyage: Supprimer les fichiers malveillants simulés
  Remove-Item -Path "$env:TEMPupdate_fix.bat" -ErrorAction SilentlyContinue
  Write-Host "[+] Nettoyage terminé."