Microsoft a averti des attaques ClickFix utilisant des contrats intelligents de la chaîne BNB pour infecter des milliers d'appareils chaque jour.
Résumé
- Microsoft a déclaré que les attaques ClickFix utilisent des contrats intelligents de la chaîne BNB pour fournir des instructions de malware.
- Des pages CAPTCHA factices incitent les utilisateurs à exécuter des commandes fournies par les attaquants sur des appareils Windows.
- La campagne cible des milliers d'appareils d'entreprise et grand public dans le monde chaque jour.
- Microsoft a averti que des attaques réussies peuvent exposer des identifiants et conduire à un déploiement de ransomware.
Selon Microsoft Threat Intelligence, un groupe de sites Web compromis a utilisé des leurres ClickFix avec la technique EtherHiding pour distribuer des malwares, avec des campagnes ciblant des milliers d'appareils d'entreprise et grand public dans le monde chaque jour.
L'équipe de sécurité a déclaré que les attaquants injectent du JavaScript encodé en Base64 dans des sites Web compromis. Au lieu de récupérer les instructions de charge utile à partir d'un serveur traditionnel, le script se connecte à une passerelle RPC de la chaîne intelligente BNB et interroge un contrat intelligent précédemment lié à la campagne ClearFake.
Étant donné que seul le propriétaire du portefeuille de crypto-monnaie qui a déployé le contrat peut modifier son contenu, les instructions restent difficiles à supprimer à l'aide de méthodes conventionnelles de retrait ou de sinkholing.
Microsoft a déclaré que les victimes voient un CAPTCHA factice leur demandant de vérifier qu'elles sont humaines. Au lieu de terminer une étape de vérification normale, les utilisateurs sont invités à ouvrir la boîte de dialogue Exécuter de Windows, à coller le contenu du presse-papiers et à appuyer sur Entrée, exécutant ainsi une commande contrôlée par l'attaquant sur leurs propres systèmes.
La campagne ClickFix a utilisé la blockchain pour fournir des instructions d'attaque
Bien que le CAPTCHA factice serve de leurre, le rapport indique que les attaquants s'appuient sur plusieurs méthodes d'obfuscation de commandes pour éviter la détection après l'exécution. Microsoft a observé l'abus d'outils Windows, notamment conhost, cmd, PowerShell, pcalua, mshta, rundll32, msiexec, curl, WMI, WebDAV et les tâches planifiées.
Les chercheurs ont également identifié plusieurs techniques conçues pour masquer les commandes malveillantes. Les caractères caret divisent les mots-clés, les variables d'environnement dissimulent les interpréteurs, et les processus Windows s'exécutent en mode réduit ou sans tête pour réduire la visibilité pendant l'exécution.
Parallèlement à ClickFix, Microsoft a déclaré que les attaquants déploient également des leurres TerminalFix. Plutôt que de diriger les victimes vers la boîte de dialogue Exécuter de Windows, TerminalFix demande aux utilisateurs de coller des commandes dans Windows Terminal ou PowerShell, en utilisant la même méthode d'ingénierie sociale pour déclencher l'attaque.
Le rapport a décrit ClickFix et TerminalFix comme des techniques d'accès initial à volume élevé. Microsoft a déclaré qu'il suit des campagnes ciblant des milliers d'appareils d'entreprise et grand public dans le monde chaque jour, tandis que certaines chaînes de malvertising redirigent également les utilisateurs vers des pages d'arnaque avant que les instructions malveillantes ne soient livrées.
Les malwares peuvent conduire à un vol d'identifiants et à des attaques de ransomware
Selon le rapport, de nombreux acteurs de la menace ont adopté la technique pour distribuer plusieurs familles de malwares après avoir obtenu un accès initial. Microsoft a identifié Lumma Stealer et d'autres voleurs d'informations, les chevaux de Troie d'accès à distance Xworm et AsyncRAT, MintsLoader et des outils de gestion à distance parmi les charges utiles distribuées via les campagnes ClickFix.
Les chercheurs ont averti qu'une seule exécution réussie peut exposer des identifiants, établir une persistance sur les systèmes infectés, permettre un mouvement latéral à travers les réseaux et créer une voie pour des attaques de ransomware pilotées par l'homme et un éventuel compromis du domaine.
Pour réduire le risque, Microsoft a recommandé d'activer la protection réseau, Web et cloud de Microsoft Defender, de restreindre l'accès à la boîte de dialogue Exécuter de Windows et à d'autres outils de ligne de commande là où ils ne sont pas nécessaires, d'activer la journalisation des blocs de scripts PowerShell et d'appliquer des politiques de contrôle d'applications.
La société a également conseillé aux utilisateurs de ne pas coller de commandes provenant de CAPTCHA factices, de pages d'erreur de navigateur, de publicités, de pages d'assistance non sollicitées ou d'e-mails dans Exécuter, Terminal, PowerShell ou Invite de commandes de Windows, car les attaquants s'appuient de plus en plus sur la conviction des utilisateurs à exécuter eux-mêmes des commandes malveillantes.
Les détections de Defender ciblent l'activité ClickFix
Microsoft a déclaré que Microsoft Defender XDR offre une protection en couches à différentes étapes de la chaîne d'attaque. Selon l'entreprise, Defender SmartScreen et Defender pour Office 365 peuvent aider à bloquer les sites Web malveillants, les liens de phishing, les pièces jointes infectées et les fausses pages CAPTCHA avant que les utilisateurs n'interagissent avec eux.
La plateforme de sécurité détecte également l'exécution de commandes suspectes et les connexions sortantes à l'aide d'alertes, notamment « Commande suspecte dans le registre RunMRU », « Activité ClickFix possible » et « Accès initial possible à partir d'une menace émergente ».
Pendant ce temps, Microsoft Defender Antivirus identifie l'exécution de commandes malveillantes sous des détections telles que Trojan:Win32/ClickFix.* et Trojan:Win32/TermFix.*. L'entreprise a déclaré que les organisations devraient traiter ces détections comme des indicateurs possibles d'un incident d'accès initial, isoler les appareils affectés, enquêter sur le vol potentiel d'identifiants et les mécanismes de persistance, et rechercher une activité connexe dans leurs environnements.
L'avertissement précédent de Microsoft mettait en évidence un logiciel malveillant axé sur les crypto-monnaies
Ces dernières découvertes font suite à un autre rapport de Microsoft Threat Intelligence publié en juin qui décrivait une campagne de clipper CryptoBandits basée sur Windows, active depuis février 2026.
Selon le rapport, le logiciel malveillant se propageait via des fichiers de raccourci .lnk malveillants, surveillait le presse-papiers toutes les 500 millisecondes pour les adresses de portefeuille de crypto-monnaie, les phrases de récupération et les clés privées, et remplaçait les adresses de portefeuille copiées par celles contrôlées par l'attaquant.
Les chercheurs ont également découvert que le logiciel malveillant acheminait les communications via le réseau Tor, créait des tâches planifiées pour la persistance, prenait des captures d'écran et exécutait du code fourni par l'attaquant, donnant ainsi aux opérateurs un accès backdoor léger.
Microsoft a déclaré à l'époque que les défenseurs devraient enquêter sur les combinaisons de comportements suspects plutôt que sur des événements isolés, en particulier lorsque les moteurs de script lançaient des outils tels que curl, cmd.exe ou PowerShell en plus du trafic lié à Tor.
L'avertissement précédent est survenu alors que les campagnes de logiciels malveillants liés aux crypto-monnaies continuaient d'évoluer. Comme rapporté précédemment par crypto.news, StilachiRAT ciblait les portefeuilles de crypto-monnaie basés sur navigateur et surveillait l'activité du presse-papiers, tandis que SparkCat recherchait dans les captures d'écran les phrases de récupération de portefeuille à l'aide d'un scan d'image. Binance a également averti les utilisateurs du logiciel malveillant clipper conçu pour remplacer les adresses de portefeuille de crypto-monnaie copiées par des alternatives contrôlées par l'attaquant.
