MtoM Mag - Le journal de l'MtoM.

SentinelLabs, la division de recherche de SentinelOne, a identifié une nouvelle campagne malveillante, baptisée ClickFix. Elle exploite des CAPTCHA frauduleux pour diffuser des malwares. Profitant de la lassitude des utilisateurs face aux vérifications anti-spam répétitives, les cybercriminels réussissent à déjouer les dispositifs de sécurité traditionnels et à inciter leurs cibles à télécharger des malwares. Les chercheurs de SentinelOne alertent sur une forte augmentation de cette technique d’attaque au cours des derniers mois et appellent à la vigilance.

Une menace efficace basée sur l’interaction humaine

ClickFix se propage via des sites web légitimes compromis, des faux sites clonés, des emails frauduleux et des messages sur les réseaux sociaux. Contrairement aux attaques sophistiquées qui privilégient la discrétion, ClickFix mise sur l’implication active de l’utilisateur. Les victimes, pressées de poursuivre leur navigation, suivent sans méfiance les instructions affichées, croyant résoudre un CAPTCHA légitime. En réalité, elles déclenchent elles-mêmes l’exécution d’un code PowerShell, qui télécharge des malwares tels que LummaStealer, NetSupport RAT, ou encore SectopRAT.

Concrètement, ClickFix utilise des outils Windows légitimes (connus sous le nom de LOLBINS) pour contourner les mesures de sécurité traditionnelles. Les scripts sont injectés dans des CAPTCHA HTML ou envoyés par pièces jointes. Une fois exécutés, ils prennent le contrôle à distance de l’ordinateur infecté ou procèdent à des vols d’informations sensibles.

Selon SentinelLabs, cette approche, simple mais redoutablement efficace, joue sur des réflexes acquis par les utilisateurs, rendant l’attaque difficile à identifier de prime abord.

Une menace émergente, mais contrôlable

Une vigilance renforcée associée à des outils de cybersécurité adaptés, il est possible de neutraliser ClickFix avant qu’il ne cause tout dommage. SentinelLabs recommande de :

 Informer les utilisateurs : aucun site web légitime ne demande de coller du code dans la boîte de dialogue « Exécuter ».

 Former à la vigilance : toute demande inhabituelle liée à un processus de vérification doit être considérée comme suspecte.

 Restreindre l’accès à PowerShell via des stratégies de groupe.

 Mettre en place une protection EDR moderne pour détecter et bloquer ces comportements suspects.

https://www.sentinelone.com