17,000 URLs Reveal How ClickFix Turns Trusted Websites Into Malware Traps: Report by CTM360
Mis à jour :
ClickFix : L’évolution de l’ingénierie sociale vers le « copier-coller » malveillant
La technique ClickFix est devenue le vecteur d’accès initial dominant dans les entreprises. Contrairement aux malwares traditionnels, elle ne repose ni sur des fichiers joints, ni sur des exploits, mais manipule l’utilisateur pour qu’il exécute lui-même des commandes malveillantes en les copiant-collant dans des interfaces système légitimes (PowerShell, Terminal, Exécuter).
Points clés :
- Infrastructure résiliente : Utilisation de contrats intelligents sur la blockchain Polygon (EtherHiding) pour mettre à jour dynamiquement les domaines malveillants, rendant les listes de blocage (blocklists) obsolètes.
- Ciblage adaptatif : Le serveur détecte le système d’exploitation de la victime pour servir un scénario spécifique (Windows, macOS ou Linux) et utilise une empreinte matérielle pour éviter les sandboxes de sécurité.
- Persistance sur WordPress : Les attaquants infectent les sites WordPress via des plugins invisibles qui injectent du code malveillant dans chaque réponse serveur, rendant le nettoyage manuel des fichiers de thème inefficace.
- Charges utiles : Les chaînes d’attaque aboutissent souvent au déploiement de logiciels espions comme Vidar Stealer via le détournement de DLL (DLL side-loading) dans des processus Microsoft signés.
Vulnérabilité associée :
- MITRE ATT&CK T1204.004 : User Execution: Malicious Copy and Paste.
Recommandations de sécurité :
- Restrictions techniques : Bloquer l’écriture dans le presse-papiers par défaut dans les navigateurs managés.
- Contrôle réseau : Forcer les interpréteurs de scripts (PowerShell, Terminal) et les utilitaires de téléchargement (curl, wget) à passer par un proxy authentifié pour empêcher toute exécution malveillante directe.
- Hygiène WordPress : Réaliser des audits de sécurité approfondis recherchant des plugins malveillants « must-use » et des comptes administrateurs créés illicitement.
- Sensibilisation : Éduquer les utilisateurs sur le fait qu’aucun site web légitime ne demande jamais de copier-coller une commande dans une invite système ou un terminal.