ClickFix industrialisé : des serveurs API livrent des malwares polymorphes à la demande
CLICKFIX INDUSTRIALISÉ : DES SERVEURS API LIVRENT DES MALWARES POLYMORPHES À LA DEMANDE
Une analyse portant sur 3 000 charges malveillantes actives révèle que la technique ClickFix, qui pousse les utilisateurs à exécuter eux-mêmes des scripts malveillants via de fausses pages de vérification humaine, repose désormais sur une infrastructure API sophistiquée. Ces serveurs génèrent des variantes uniques du même malware pour chaque visiteur, rendant la détection par signature quasi inefficace. Les chercheurs ont également identifié une nouvelle méthode de livraison conçue pour contourner l'analyse des scripts Windows.
IMPACTS POUR LES ORGANISATIONS
- ▸Contournement des solutions antivirus basées sur la détection par signature
- ▸Ciblage de masse facilité par une infrastructure automatisée et scalable
- ▸Risque accru pour les utilisateurs non sensibilisés aux techniques d'ingénierie sociale
- ▸Difficulté accrue pour les équipes SOC à corréler les incidents liés à cette menace
Analyse
ClickFix est une technique d'ingénierie sociale qui incite les utilisateurs à copier-coller et exécuter manuellement des commandes malveillantes, généralement sous couvert d'une fausse vérification de type CAPTCHA. Une récente étude approfondie portant sur 3 000 charges actives révèle que cette méthode s'est considérablement industrialisée.
Les infrastructures derrière ces campagnes exploitent désormais des API pour générer dynamiquement des variantes polymorphes du même malware, attribuant à chaque visiteur une version légèrement différente afin de déjouer les systèmes de détection basés sur les signatures. Cette approche transforme ClickFix en une plateforme de distribution de malwares à grande échelle, difficile à contrer avec des méthodes de sécurité traditionnelles.
Par ailleurs, les chercheurs ont mis en évidence une nouvelle méthode de livraison spécifiquement conçue pour échapper à l'analyse des scripts par Windows, renforçant la capacité d'évasion de cette menace. Les organisations sont invitées à renforcer la sensibilisation de leurs utilisateurs et à adapter leurs règles de détection comportementale.
Source : The Hacker News
Source
Synthèse SecuriTrust de l'article publié par The Hacker News : Researcher Analyzes 3,000 Live ClickFix Payloads, Exposing API-Driven Malware Delivery