ClickFix en action : de nouveaux RAT, un serveur C2 basé sur Stripe et un outil Google signé retournés contre Defender

Par Assaf Morag, chercheur en cybersécurité 

Un ami m'a envoyé un seul mot : « Au secours ! » Son virus avait infecté son appareil après avoir cliqué sur ce qui semblait être une simple vérification Cloudflare. Pour l'aider, j'ai dû analyser le site web en détail et identifier des indices fiables de leurres.

Ce projet s'est transformé en un projet plus ambitieux : un script qui repère les pages ClickFix actives afin de les signaler et de les faire fermer. Il a également révélé un élément inattendu. Derrière le même faux CAPTCHA, nous avons découvert trois charges utiles inédites, dont un nouveau RAT que nous avons baptisé CrashHandler, un logiciel malveillant qui utilise l'API Stripe pour exécuter ses commandes, et un autre qui dissimule ses instructions dans les réponses DNS.

Ce blog est un bref résumé expliquant certaines de mes conclusions.

Principales conclusions de l'étude de ClickFix en conditions réelles

• Un faux CAPTCHA, trois charges utiles différentes non documentées. Dans le cadre de campagnes réelles, ClickFix a déployé CrashHandler RAT, un RAT usurpant l'identité de Microsoft en tchèque, et un logiciel malveillant utilisant l'API Stripe comme canal de commande caché ; aucun de ces logiciels n'avait été documenté auparavant. Une quatrième chaîne a déployé CrocoRat, qui dissimulait ses instructions dans les réponses DNS (élément de cette analyse). une analyse plus approfondie iciBien que l'appât soit identique, le logiciel malveillant qui le dissimulait était différent.
• Les outils et services de confiance ne garantissent pas un comportement sûr. Des attaquants ont exploité un utilitaire Google légitime et signé pour affaiblir Microsoft Defender et ont détourné le trafic Stripe et DNS afin de dissimuler des communications malveillantes dans l'activité commerciale normale.
• Un seul appareil infecté peut compromettre toute une entreprise. Les logiciels espions diffusés par ClickFix peuvent dérober les jetons d'authentification unique de l'entreprise, les sessions d'applications métier actives, les documents internes et les secrets du cloud, transformant ainsi une infection personnelle en une violation de données à l'échelle de l'organisation.
• Supprimer le logiciel malveillant ne signifie pas fermer définitivement le dispositif. Si les identifiants, sessions ou jetons volés restent valides, l'attaquant conserve l'accès même après le nettoyage de l'appareil infecté.

L'utilisateur devient partie intégrante de la chaîne d'attaque

ClickFix incite les utilisateurs à exécuter une commande malveillante sous prétexte de corriger une erreur ou de prouver leur humanité. Un faux CAPTCHA intégré au navigateur copie furtivement une commande dans le presse-papiers, puis demande à la victime d'ouvrir la fenêtre Exécuter de Windows ou un terminal, de coller la commande et d'appuyer sur Entrée.

Cela représente un véritable défi pour les solutions de sécurité. L'interaction initiale peut ne contenir ni pièce jointe malveillante évidente ni formulaire classique de vol d'identifiants. Une identité visuelle familière et des instructions de dépannage habituelles permettent à la victime de passer d'une page web à l'exécution.

Ce que la recherche apporte

La technique ClickFix est bien documentée. Notre contribution réside dans la mise en évidence des mécanismes sous-jacents à ces attaques : comment les opérateurs modifient les commandes de livraison, affaiblissent la protection des terminaux, dissimulent les charges utiles et détournent des services légitimes à des fins de contrôle à distance. 

Notre enquête a débuté par l'analyse de pages web en production, puis s'est étendue à l'infrastructure, aux relations entre certificats et à l'historique du site. Nous avons validé les flux de vérification des candidats, collecté les artefacts disponibles et combiné l'analyse statique à des tests en environnement isolé.

Une capture d'écran convaincante ne permet pas de déterminer les capacités d'une attaque. Un CAPTCHA classique peut dissimuler des fonctionnalités très différentes, et une étape inactive soulève des questions auxquelles l'analyse doit répondre.

Des incitations familières, des conséquences différentes

La découverte la plus importante a été la variation sous-jacente à une même technique de manipulation sociale. (Vous pouvez lire une analyse plus approfondie de tous ces cas ici). 

Une fausse plateforme de jeux vidéo a diffusé un logiciel malveillant d'accès à distance que nous avons nommé CrashHandler RAT. Après avoir incité les visiteurs à exécuter une commande, les attaquants ont exploité un outil Google légitime et signé numériquement pour affaiblir la protection de Microsoft Defender et installer un logiciel malveillant conçu pour maintenir l'accès à l'ordinateur de la victime. Pour les responsables de la sécurité, la leçon est claire : une signature logicielle de confiance ne garantit pas un comportement sûr. Les contrôles de sécurité doivent également détecter l'utilisation qui est faite des outils légitimes.

A fausse page de vérification Microsoft en tchèque logiciel malveillant d'accès à distance distribué. Une fois les instructions suivies, les victimes se voyaient permettre aux attaquants de collecter des informations sur leurs ordinateurs et de les contrôler à distance, individuellement ou en groupe. Le logiciel malveillant se dissimulait sous l'apparence d'un logiciel Windows familier et conservait l'accès après l'infection initiale. Pour les responsables de la sécurité, cet exemple illustre comment une simple demande de vérification d'apparence anodine peut devenir une porte d'entrée durable pour les attaquants.

Un site web se faisant passer pour Howdens (détaillant britannique de cuisines) a diffusé un logiciel malveillant utilisant Stripe pour communiquer avec les attaquants. Le logiciel malveillant a exploité la plateforme de paiement légitime pour recevoir des instructions et renvoyer des informations volées, rendant ainsi son trafic difficilement identifiable comme faisant partie de l'activité commerciale normale. Pour les responsables de la sécurité, la leçon est claire : une connexion à un service de confiance peut néanmoins véhiculer des activités malveillantes. La détection doit prendre en compte l'activité du terminal et la raison de son utilisation de ce service.

Un faux site web de vérification a livré CrocoRat en utilisant des instructions cachées dans les réponses DNS. L'attaque a exploité le DNS pour récupérer des instructions déclenchant le téléchargement de logiciels malveillants, masquant ainsi l'étape suivante dans la commande saisie par la victime. Pour les responsables de la sécurité, la leçon est claire : les services réseau courants peuvent également véhiculer des instructions d'attaque. La détection doit aussi prendre en compte l'activité du terminal et établir un lien entre les activités DNS suspectes et les téléchargements et exécutions ultérieurs.

Deux autres cas ont illustré les limites d'une observation isolée. Une chaîne a lancé Calculator, sans que son objectif ne soit déterminé. Une autre utilisait une page Telegram comme pointeur modifiable vers un hôte hébergeant une charge utile, mais cette page était inaccessible lors de l'analyse. Aucune de ces observations n'a permis d'établir une infection malveillante complète. Elles ont toutes deux démontré pourquoi les enquêteurs doivent suivre la chaîne de distribution et distinguer clairement le comportement avéré de l'intention non résolue.

Un seul appareil peut exposer l'accès à l'entreprise

Les rapports publics identifient les voleurs d'informations comme une catégorie dominante de charges utiles ClickFix : Microsoft décrit LummaStealer comme sa charge utile finale la plus prolifique observée, tandis que Push Security identifie Les logiciels espions constituent la catégorie dominante. ClickFix diffuse également des RAT et d'autres logiciels malveillants, leur distribution variant selon les campagnes.

Les identités d'entreprise, les jetons d'authentification unique, les sessions actives pour les applications métier, les documents internes et les secrets de développement ou de cloud peuvent être volés et mis en vente, exposant potentiellement les systèmes et les données de l'organisation.

Ces journaux peuvent se retrouver sur les marchés clandestins, où les acheteurs recherchent des comptes à forte valeur ajoutée et des accès aux entreprises. Une infection contractée lors d'une activité d'achat ou de jeu en ligne peut donc exposer les systèmes d'information d'une entreprise accessibles depuis cet appareil.

La direction doit évaluer quelles identités, sessions et données sensibles étaient accessibles, ainsi que les capacités du logiciel malveillant. La suppression de la charge utile ne résout qu'une partie du problème si l'accès volé reste exploitable.

Cinq priorités pour les responsables de la sécurité

1. Enseigner aux employés les comportements qu'ils doivent reconnaître. Démontrez la séquence réelle : fausse vérification, commande copiée, exécution dans le terminal. Donnez aux employés des instructions claires pour qu’ils cessent et signalent les messages du site web leur demandant d’exécuter des commandes, en mettant en place une procédure de signalement simple.

2. Réduire les chemins d'exécution inutiles. Demandez aux équipes en charge des terminaux de vérifier le contrôle des applications, les autorisations de script et l'accès aux outils tels que mshta.exe. Limitez l'exécution lorsque les exigences métier le permettent, tout en sachant que les attaquants peuvent utiliser d'autres méthodes de lancement. Validez les restrictions par rapport aux flux de travail légitimes.

3. Détecter la chaîne à travers les contrôles. Priorisez les exécutions de commandes inhabituelles suite à une activité de navigation, des téléchargements inattendus, une persistance et des modifications non autorisées des exclusions Defender. Assurez-vous que les équipes en charge de la sécurité des terminaux puissent intégrer ces événements dans une enquête plutôt que de traiter chaque alerte séparément.

4. Examiner les services légitimes dans leur contexte. L'affaire Stripe confirme l'importance d'examiner l'activité API inattendue en parallèle avec les artefacts liés au processus et à l'hôte. Bloquer une plateforme de paiement sans discernement engendrerait des perturbations ; identifier les systèmes autorisés à l'utiliser facilite la détection des activités suspectes.

5. Répétez ensemble la réponse du point de terminaison et de l'identité. Élaborez un plan d'action couvrant l'isolement, la préservation des preuves, la rotation des identifiants depuis un appareil sain, la révocation des sessions et l'examen des données sensibles exposées. Définissez les responsabilités au sein des équipes en charge des terminaux, de l'identité et de la réponse aux incidents avant toute infection.

Pour les dirigeants, le test utile est concret : votre organisation peut-elle reconnaître cette ruse de vérification, interrompre la chaîne d’exécution et contenir l’accès qu’elle peut révéler ?

S’adapter aux attaques ClickFix

Les campagnes que nous avons examinées utilisaient différents leurres, différents logiciels malveillants et différentes techniques, allant d'un outil Google signé détourné contre Defender à Stripe et au trafic DNS contenant des instructions. Pourtant, toutes reposaient sur le même moment : le collage d'une ligne de texte dans une boîte de dialogue. En fin de compte, les attaques ClickFix relèvent de l'ingénierie sociale. C'est également là que les systèmes de défense ont le plus d'influence. 

Les employés qui reconnaissent la séquence, les contrôles des terminaux qui limitent les actions possibles de la boîte de dialogue Exécuter et des outils de script, ainsi que la détection qui relie l'activité du navigateur à l'exécution qui suit, peuvent interrompre la chaîne avant même qu'elle ne commence. Étant donné qu'un seul appareil infecté peut compromettre les sessions, les jetons et les secrets de l'entreprise, le nettoyage de la machine ne constitue que la moitié de la solution ; les accès volés doivent également être révoqués. Le défi pour toute organisation est de savoir si elle est capable de reconnaître la manœuvre, d'interrompre la chaîne et de contenir les données exposées.