ClickFix

🔍 Contexte : Analyse publiée le 3 novembre 2026 par Kirk (Ohey) sur le kit ClickFix baptisé ClockTail, actif du 28 juillet au 3 novembre 2026 sur 245 hôtes (176 noms de domaine et 69 adresses IP). ⚙️ Fonctionnement : ClockTail est une page HTML sauvegardée de Google Merchant Center (“Promote Your Business with Merchant Center”), enregistrée depuis le compte Gmail jovevkystaxsilverv@gmail.com. Une fausse vérification Cloudflare est injectée en fin de page. Lorsqu’un visiteur clique, la page demande au serveur un fichier de commande via un placeholder JavaScript {{WINR}} jamais remplacé. Le serveur retourne la page HTML elle-même (317 256 octets), qui est copiée dans le presse-papiers à la place d’une commande malveillante. ...

📰 Source : BleepingComputer — Article publié le 21 octobre 2026 par Mayank Parmar. 🔍 Contexte Google annonce une évolution significative de la fonctionnalité Enhanced Protection de Safe Browsing dans Google Chrome, avec l’intégration d’un modèle Gemini côté serveur pour la détection des arnaques en ligne, en remplacement du modèle on-device précédemment utilisé. 🤖 Détection des scams via Gemini (server-side) Le modèle analyse des signaux tels que : La marque représentée sur la page L’intention de la page La probabilité qu’il s’agisse d’une arnaque Ces signaux sont combinés avec la réputation du domaine et d’autres indicateurs de sécurité via Safe Browsing. Chrome ne transmet le contenu textuel de la page que lorsque des indicateurs de scam à haute confiance sont détectés. Les données envoyées sont traitées de manière éphémère (non journalisées, non conservées, non utilisées pour l’entraînement). ...

📅 Source : Stoïk Labs (https://labs.stoik.io), publié le 14 octobre 2026. Rapport d’incident post-mortem d’une intrusion attribuée au groupe Akira, investigué par le Stoïk CERT chez un cabinet d’ingénierie européen de taille intermédiaire. 🎯 Vecteur initial L’intrusion débute sur le poste de travail Windows d’un ingénieur après la visite d’un site de camp sportif compromis. Un prompt ClickFix incite l’utilisateur à coller une commande dans la boîte de dialogue Exécuter (Windows Run), déclenchant l’infection initiale. ...

🔍 Contexte Publié le 9 octobre 2026 par Luke Jennings (VP R&D, Push Security), cet article décrit la découverte et l’analyse technique d’une campagne de malvertising baptisée « Adception », détectée dans l’environnement d’un client de Push Security. 🎯 Description de l’attaque La chaîne d’attaque commence par une publicité Google sponsorisée ciblant la requête claude mac, dont le domaine affiché est bing.com. La chaîne de redirection complète est la suivante : ...

🔍 Contexte Publié le 14 octobre 2026 par ANY.RUN sur leur blog de cybersécurité, cet article présente une analyse détaillée de campagnes de faux outils IA observées entre le 15 avril et le 5 octobre 2026, couvrant 1 258 analyses publiques en sandbox liées à ces activités. 🎯 Nature des campagnes Ces campagnes usurpent les marques d’IA les plus connues pour tromper les employés : Claude (48%, 601 analyses) et ChatGPT/Codex (33%, 418 analyses) représentent 81% des cas Autres marques ciblées : GitHub Copilot, Gemini, Ollama, OpenClaw, Perplexity, Manus Les États-Unis se classent 2e source mondiale de soumissions (16%, 69/422 enregistrements) et 1er dans les campagnes « Download Claude » et ChatGPT. ...

🌐 Contexte Publié le 07 août 2026 par l’Office fédéral de la cybersécurité suisse (OFCS), cet avis signale une augmentation significative d’une technique d’attaque connue sous le nom de ClickFix, observée à l’échelle mondiale et en Suisse. 🎯 Nature de la menace Des sites web compromis affichent de faux CAPTCHA destinés à tromper les internautes. Ces faux CAPTCHA incitent les victimes à exécuter manuellement des commandes informatiques dommageables sur leur propre machine, conduisant à l’infection par des maliciels. ...

📅 Source et contexte : Article publié le 23 septembre 2026 par Varonis Threat Labs (blog.varonis.com). Les chercheurs ont découvert AvisLoader sur un serveur de staging exposé, accompagné d’un leurre ClickFix, d’outils annexes et de son panneau de commande. 🎯 Vecteur d’infection : L’attaque débute par un leurre ClickFix hébergé sur Cloudflare Workers, se faisant passer pour une demande de signature DocuSign. Une fausse boîte de dialogue « Manual verification » invite l’utilisateur à coller une commande dans un terminal. Cette commande récupère et exécute du code depuis une adresse trycloudflare.com (Cloudflare Quick Tunnel), contournant le flux de téléchargement normal du navigateur. ...

🔍 Contexte Arctic Wolf Labs a publié le 24 septembre 2026 une analyse technique détaillée d’une campagne en cours ciblant principalement des utilisateurs ukrainiens via des sites web légitimes compromis. 🎯 Vecteur d’infection Les attaquants ont injecté des iframes malveillants dans plusieurs sites d’entreprises ukrainiennes légitimes (clinique capillaire, fabricant de maquettes, libraire, établissement psychologique, revendeur d’outils, revendeur automobile). L’iframe charge une fausse page de vérification Cloudflare en langue ukrainienne, imitant un CAPTCHA authentique. ...

🔍 Contexte Publié le 21 septembre 2026 par l’équipe TDR de Sekoia, cet article détaille la découverte et l’analyse technique d’Exvicy, un nouveau framework de distribution de malware de type ClickFix vendu en Malware-as-a-Service (MaaS) sur le forum cybercriminel russophone Exploit.IN. 🧵 Origine de la découverte L’équipe TDR a identifié Exvicy à partir d’une capture d’écran du panneau d’administration partagée sur Exploit.IN par le threat actor @Exvicy. En pivotant sur une paire de nameservers Cloudflare visible dans cette capture (randy.ns.cloudflare.com / stevie.ns.cloudflare.com), les analystes ont identifié 5 domaines enregistrés depuis mi-mai 2026, puis localisé l’infrastructure active de l’opérateur. ...

🗞️ Contexte Source : Ars Technica, publié le 22 septembre 2026, par Dan Goodin. L’article rapporte la découverte et la divulgation publique d’une vulnérabilité zero-day dans Muse, le nouvel assistant IA de Meta, par le chercheur en sécurité macOS Patrick Wardle (fondateur de l’Objective-See Foundation). 🔍 Description de la vulnérabilité Muse est un assistant IA macOS disposant d’accès extraordinairement privilégiés : WhatsApp, email, calendrier, réseaux sociaux, microphone, caméra, localisation, écriture sur disque. Le zero-day repose sur deux décisions de conception défaillantes : ...