🔍 Contexte

Publié le 3 juin 2026 par Check Point Research (auteur : Alexey Bukhteyev), cet article présente une analyse technique approfondie d’un écosystème de distribution de malwares à grande échelle, actif depuis au moins décembre 2025 et documenté avec des livraisons malveillantes confirmées dès janvier 2026.

🎭 Mécanisme d’usurpation et de détournement de clics

L’opération repose sur des sites web imitant des projets open-source et freeware populaires (Ghidra, dnSpy, ILSpy, grpcurl, MQTTExplorer, CrystalDiskMark, etc.), bien positionnés dans les résultats Google. Ces sites chargent un script JavaScript hébergé sur Amazon CloudFront qui intercepte le premier clic sur le bouton « Download » et le redirige vers un Traffic Distribution System (TDS).

Le script utilise des techniques d’interception d’événements (mousedown sur Chrome, click sur Firefox) avec preventDefault() et stopImmediatePropagation(), tout en conservant l’URL légitime visible dans la barre de statut du navigateur. Un système de frequency capping via localStorage rend la chaîne non reproductible après le premier clic.

🔀 Infrastructure TDS et chaînes de redirection

La configuration TDS est délivrée dynamiquement depuis CloudFront et contient :

  • Un domaine redirecteur (oundhertobeconsist.org)
  • Un domaine pixel (ukentaspectsofc.org)
  • Des paramètres de capping et d’intervalle

Les branches observées incluent :

  • Redirection vers des offer walls / content lockers (PUA)
  • Chaînes multi-gates via trkscope[.]xyz et file-enter-web[.]com menant à des archives malveillantes
  • Livraison via des buckets S3 AWS ou Mega.nz

Plus de 100 sites actifs ont été identifiés, avec plus de 5 000 soumissions VirusTotal pour les échantillons associés.

🦠 Famille 1 : SessionGate (loader multi-étapes)

SessionGate est un framework loader inédit, livré depuis originaldownloads[.]info et getfluxfile[.]com. Caractéristiques :

  • Stage 1 : Exécutable ~20 MB contenant une archive 7-Zip SFX avec un installeur leurre et ~5 MB de code obfusqué. Vérifie des services (ESET, Sysmon) via hashes Adler-32, des processus via SHA1, et des paramètres Windows Defender/Enterprise.
  • C2 Stage 1 : appfreshstart[.]com, appgetonline[.]com, webinnosetup[.]com, appmakingcenter[.]com. URL structurée avec signature SHA1 et salt 118107B05C590076239FF759CD9E5. User-Agent : NSIS_InetLoad (Mozilla).
  • Stage 2 : Second SFX (~10 MB), PDB path D:\code\cpp-downloader-scb-reg-other\Plugins\7ZipDownloader\Output\SFXWin.pdb. Déchiffre deux DLL en mémoire via AES-CBC.
  • DLL #1 (Key Broker) : Contacte des domaines CRC (yourfastcrc[.]com, etc.) via check_version?version=<SHA256_hash> pour obtenir un token de déchiffrement unique par session.
  • DLL #2 : Framework installeur/bundler réseau-contrôlé, récupère une config chiffrée depuis appmakingcenter[.]com et exécute silencieusement des payloads (PUA : PDF Spark, NibblrAI, PCPooch, etc.).

Le design one-time key rend l’analyse extrêmement difficile : la clé de déchiffrement de DLL #2 n’est fournie qu’une seule fois par session/IP.

🕵️ Famille 2 : RemusStealer (infostealer MaaS)

RemusStealer est un infostealer apparu sur un forum underground russophone le 12 février 2026 (vendeur : RemusStealer), proposé en abonnement à $250/$500. Livré via une archive ZIP protégée par mot de passe (~14 MB compressé, ~850 MB décompressé par padding de zéros).

Capacités :

  • Vol de données Chromium (History, Login Data, Cookies, Web Data, clé DPAPI)
  • Vol de profils Firefox/NSS (key4.db, cert9.db, logins.json, etc.)
  • 332 extensions de navigateur ciblées : 220 wallets crypto (MetaMask, Phantom, Trust Wallet, Coinbase, Rabby, OKX, Binance, Keplr, Ronin, Yoroi, UniSat…), 77 gestionnaires de mots de passe (1Password, Bitwarden, LastPass, Dashlane, KeePassXC…), 18 extensions 2FA (Authy, 2FAS…)
  • Recherche fichiers, reconnaissance registre, vol presse-papiers, capture d’écran
  • C2 via HTTP POST avec access_token et step, User-Agent Firefox
  • C2 primaire : buccstanor[.]pics:28313, fallback : baxe[.]pics:48261

💰 Famille 3 : AnimateClipper (clipper crypto avec C2 on-chain)

AnimateClipper est distribué via une page ClickFix imitant une vérification Cloudflare (processing-in-progress-x4.t3.storage[.]dev). Chaîne d’infection :

  1. mshta.exe exécute https://185.161.251.58/navy.7z (HTA avec VBScript obfusqué)
  2. Téléchargement d’un script PowerShell depuis http://194.150.220[.]218/4SLEYpfAk57hGubo/fo0suc2ki2.rtf
  3. Téléchargement d’un ZIP Python depuis https://cdn-1415.brightcanvas[.]digital/fo0suc2ki2.rtf
  4. Exécution d’un shellcode via ntdll!LdrCallEnclave dans l’interpréteur Python
  5. Mapping PE en mémoire du clipper final

Résolution C2 on-chain : requête eth_call sur le contrat 0x6936edc505501EBB2F202C985a021a06f1c10C9E (BNB Smart Chain Testnet) → résolution vers kr.hugo-lapp[.]co.

Le clipper surveille le presse-papiers et remplace les adresses crypto par 21 adresses attaquantes couvrant Bitcoin, Ethereum, Litecoin, TRON, XRP, Cosmos, TON, Solana, et d’autres. Premières transactions entrantes détectées le 12 juillet 2025.

📊 Type d’article

Publication de recherche technique à visée CTI, documentant une campagne active avec extraction complète d’IOCs, analyse de malwares et cartographie de l’infrastructure.

🧠 TTPs et IOCs détectés

TTP

  • T1583.001 — Acquire Infrastructure: Domains (Resource Development)
  • T1608.004 — Stage Capabilities: Drive-by Target (Resource Development)
  • T1566.002 — Phishing: Spearphishing Link (Initial Access)
  • T1189 — Drive-by Compromise (Initial Access)
  • T1204.002 — User Execution: Malicious File (Execution)
  • T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
  • T1059.005 — Command and Scripting Interpreter: Visual Basic (Execution)
  • T1218.005 — System Binary Proxy Execution: Mshta (Defense Evasion)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1027.002 — Obfuscated Files or Information: Software Packing (Defense Evasion)
  • T1027.009 — Obfuscated Files or Information: Embedded Payloads (Defense Evasion)
  • T1036.005 — Masquerading: Match Legitimate Name or Location (Defense Evasion)
  • T1497 — Virtualization/Sandbox Evasion (Defense Evasion)
  • T1497.001 — Virtualization/Sandbox Evasion: System Checks (Defense Evasion)
  • T1055 — Process Injection (Defense Evasion)
  • T1620 — Reflective Code Loading (Defense Evasion)
  • T1140 — Deobfuscate/Decode Files or Information (Defense Evasion)
  • T1553 — Subvert Trust Controls (Defense Evasion)
  • T1082 — System Information Discovery (Discovery)
  • T1057 — Process Discovery (Discovery)
  • T1012 — Query Registry (Discovery)
  • T1614 — System Location Discovery (Discovery)
  • T1539 — Steal Web Session Cookie (Credential Access)
  • T1555.003 — Credentials from Password Stores: Credentials from Web Browsers (Credential Access)
  • T1115 — Clipboard Data (Collection)
  • T1113 — Screen Capture (Collection)
  • T1005 — Data from Local System (Collection)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1102 — Web Service (Command and Control)
  • T1568 — Dynamic Resolution (Command and Control)
  • T1573 — Encrypted Channel (Command and Control)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)

IOC

Malware / Outils

  • SessionGate (loader)
  • RemusStealer (stealer)
  • AnimateClipper (other)

🟢 Indice de vérification factuelle : 90/100 (haute)

  • ✅ research.checkpoint.com — source reconnue (liste interne) (20pts)
  • ✅ 54786 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 83 IOCs dont des hashes (15pts)
  • ✅ 9/12 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 32 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 217.156.122.75 (ip) → VT (19/91 détections) + ThreatFox (Stealc)
  • 194.150.220.218 (ip) → VT (11/91 détections) + ThreatFox (SectopRAT)
  • 94.231.205.229 (ip) → VT (17/91 détections) + ThreatFox (Remus)
  • 598b023e56c45b19… (sha256) → VT (13/76 détections)
  • 74091f5a8746a1c6… (sha256) → VT (23/76 détections)

🔗 Source originale : https://research.checkpoint.com/2026/impersonation-click-hijacking-and-tds-inside-a-malware-distribution-ecosystem