🔍 Contexte : Analyse publiée le 3 novembre 2026 par Kirk (Ohey) sur le kit ClickFix baptisé ClockTail, actif du 28 juillet au 3 novembre 2026 sur 245 hôtes (176 noms de domaine et 69 adresses IP).

⚙️ Fonctionnement : ClockTail est une page HTML sauvegardée de Google Merchant Center (“Promote Your Business with Merchant Center”), enregistrée depuis le compte Gmail jovevkystaxsilverv@gmail.com. Une fausse vérification Cloudflare est injectée en fin de page. Lorsqu’un visiteur clique, la page demande au serveur un fichier de commande via un placeholder JavaScript {{WINR}} jamais remplacé. Le serveur retourne la page HTML elle-même (317 256 octets), qui est copiée dans le presse-papiers à la place d’une commande malveillante.

🪜 Étapes de l’attaque :

  • Étape 1 : Tout clic ouvre la fausse vérification Cloudflare (sans bouton de fermeture)
  • Étape 2 : La case à cocher affiche les instructions : Windows+R, CTRL+V, Entrée
  • Étape 3 : La page verification-failed.html reporte la visite à trois pixels Meta
  • Étape 4 : Un seul build fonctionnel identifié sur oneai[.]icu (octobre 2026), avec le fichier de commande /cmd_8f92b_secret.txt et des commentaires de code en russe

🏗️ Infrastructure : 132 domaines enregistrés via Hostinger entre mars et octobre 2026 (93 en septembre-octobre), principalement thématiques cuisine/grill. Trois plages IP principales : 38.146.28.0/24, 38.146.25.0/24, 38.110.228.0/24. Le domaine grillcrafts[.]com hébergeait simultanément ClockTail et FortCheck (faux vérificateur de compte Fortnite), avec la commande finger ZzyhacfeHx@grillcrafts[.]com.

📊 Impact : 245 hôtes exposés, 103 encore actifs au 3 novembre 2026. Sur 243 hôtes, le leurre est non fonctionnel (copie HTML au lieu d’une commande). Impact confirmé inconnu faute de copie du fichier de commande.

📄 Type d’article : Publication de recherche technique CTI visant à documenter l’infrastructure, le fonctionnement et les IOCs d’un kit ClickFix défectueux.

🧠 TTPs et IOCs détectés

TTP

  • T1204.002 — User Execution: Malicious File (Execution)
  • T1566.002 — Phishing: Spearphishing Link (Initial Access)
  • T1059.003 — Command and Scripting Interpreter: Windows Command Shell (Execution)
  • T1583.001 — Acquire Infrastructure: Domains (Resource Development)
  • T1608.004 — Stage Capabilities: Drive-by Target (Resource Development)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 5 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • ClockTail (other)
  • FortCheck (other)

🟢 Indice de vérification factuelle : 70/100 (haute)

  • ⬜ ohey.ca — source non référencée (0pts)
  • ✅ 12780 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 253 IOCs dont des hashes (15pts)
  • ✅ 5/9 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 6 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 104.145.210.33 (ip) → VT (9/92 détections)
  • 147.45.60.147 (ip) → VT (4/92 détections)
  • 15b8e53b2da521cb… (sha256) → VT (6/75 détections)
  • ampantarhoki1.xyz (domain) → VT (18/92 détections)
  • angkasabetb.online (domain) → VT (18/92 détections)

🔗 Source originale : https://ohey.ca/research/clocktail-clickfix-unfilled-command/