ClickFix

🔍 Contexte Publié le 18 septembre 2026 par le groupe Adversary Pursuit Group (APG) de Blackpoint Cyber, cet article présente l’analyse technique complète d’un RAT Node.js jusqu’alors non documenté, désormais suivi sous le nom ChainScript. La découverte a eu lieu lors d’une investigation sur une campagne ClickFix. 🎯 Vecteur d’infection et chaîne d’exécution L’infection débute par une activité ClickFix conduisant l’utilisateur à exécuter msiexec.exe, qui contacte api-configuard[.]com via l’endpoint capher.php pour télécharger un MSI malveillant se présentant comme Spotify (ComponentTask33-4d14e6ac.msi). Le MSI : ...

📰 Source : FrenchBreaches — publié le 18 septembre 2026. L’article rapporte deux incidents de sécurité distincts ayant touché Brevo (anciennement Sendinblue), entreprise française de marketing et CRM basée à Paris. 🔓 Incident principal — 14 septembre 2026 : attaque via clé API Cloudflare Des attaquants ont obtenu une clé API Cloudflare disposant de permissions importantes appartenant à Brevo. Cette clé a été utilisée pour créer un Cloudflare Worker malveillant, permettant de modifier du contenu distribué via le CDN sans toucher directement les serveurs d’origine. L’activité malveillante a duré environ cinq heures et demie. ...

🔍 Contexte L’analyse est publiée le 16 septembre 2026 par la Sansec Forensics Team sur la base d’investigations forensiques menées après un incident de sécurité initialement divulgué par Brevo (anciennement Sendinblue) le 10 septembre 2026. Brevo avait alors signalé la compromission de 6 comptes clients ; Sansec révèle une attaque d’ampleur bien supérieure. 🎯 Nature de l’attaque Le 14 septembre 2026 entre 16:05:18 et 20:12:53 UTC, des attaquants ont injecté un script malveillant dans les assets JavaScript servis par Brevo, transformant la chaîne d’approvisionnement de l’éditeur en vecteur d’attaque massif. Les fichiers compromis incluent : ...

🔍 Contexte Publié le 8 septembre 2026 par Cisco Talos (blog.talosintelligence.com), cet article présente une analyse technique approfondie de deux chaînes d’infection parallèles découvertes après l’observation en avril 2026 d’une exécution de DLL via WebDAV dans la télémétrie d’une organisation gouvernementale ukrainienne. 🎯 Vecteur initial et mécanisme de livraison Les deux chaînes reposent sur un Cloudflare Worker malveillant injectant du JavaScript dans des sites compromis. Ce code interroge des contrats BNB Smart Chain (technique EtherHiding) pour récupérer du code JavaScript encodé, puis affiche une fausse vérification Google CAPTCHA (ClickFix) incitant la victime à exécuter une commande via la boîte de dialogue Windows Run. La commande ouvre un chemin WebDAV et exécute une DLL déguisée via rundll32.exe par ordinal #1. ...

🔍 Contexte Source : ITrust (https://www.itrust.fr), publiée le 2 septembre 2026. L’analyse fait suite à une alerte EDR déclenchée mi-juillet 2026 chez un client, bloquant une communication réseau issue d’une exécution PowerShell. Le CERT ITrust a rétro-ingénié la chaîne complète malgré le blocage de l’attaque. 🎯 Vecteur initial : ClickFix + PowerShell La compromission débute par un mail de phishing exploitant la technique ClickFix (social engineering simulant un crash technique). Une commande PowerShell est exécutée entièrement en mémoire (fileless), téléchargeant et exécutant du code arbitraire depuis une URL distante. Le paramètre ?sid=1785227193742-lf6op6dy dans l’URL constitue un mécanisme de tracking par victime. Une polymorphie anti-signature est assurée par des commentaires aléatoires rendant chaque instance unique. ...

🔍 Contexte Publié le 3 septembre 2026 par Netskope Threat Labs (auteur : John Carlo Marquez), cet article présente l’analyse technique d’une campagne malveillante en cours exploitant la technique EtherHiding — l’utilisation de smart contracts blockchain comme stockage de payload résistant aux takedowns. 🌐 Périmètre de la campagne Plus de 5 400 sites compromis identifiés dans la fenêtre d’observation Plus de 2 200 organisations touchées dans le monde Plusieurs centaines de sites actifs chaque jour, avec une tendance à la hausse depuis le printemps Plus de 300 sites actifs chaque jour ouvrable Victimes : petites entreprises (cliniques, plombiers, boutiques e-commerce), sans lien géographique, sectoriel ou de propriété commun CMS principalement : WordPress, parfois PrestaShop ⛓️ Mécanisme de livraison (chaîne d’attaque) Script injecté (inline obfusqué ou faux package) sur le site compromis Appel JSON-RPC eth_call vers un smart contract sur le BSC testnet (BNB Smart Chain testnet) Récupération d’un second script stocké on-chain et exécuté dans le navigateur Affichage d’un overlay ClickFix (faux CAPTCHA) invitant la victime à ouvrir une boîte Run et coller une commande La commande collée est un downloader PowerShell qui télécharge et exécute le payload final Le payload final est variable : l’opérateur peut modifier le contenu du contrat pour servir différents payloads à différentes victimes. ...

🔍 Contexte Publié le 28 août 2026 sur le blog Microsoft Security par l’équipe Microsoft Threat Intelligence (Sagar Patil, Suriyaraj Natarajan, Parasharan Raghavan), cet article présente une analyse technique détaillée de la campagne TerminalFix, une variante avancée de ClickFix ciblant des organisations multi-sectorielles. 🎯 Vecteur d’accès initial La campagne débute par la compromission de sites web légitimes affichant une fausse page de vérification Cloudflare Turnstile CAPTCHA. Contrairement aux campagnes ClickFix classiques dirigeant vers la boîte de dialogue Exécuter (Win+R), TerminalFix oriente les victimes vers Windows Terminal ou PowerShell, favorisant l’exécution de scripts multi-lignes complexes. Une commande PowerShell malveillante est copiée silencieusement dans le presse-papiers de l’utilisateur. ...

🗓️ Contexte Source : Cyber Press, publié le 1er septembre 2026. L’article décrit une campagne active de distribution de NetSupport RAT exploitant des mécanismes de confiance basés sur des plateformes légitimes. 🎯 Mécanisme d’attaque Les attaquants utilisent des pages de conversation partagées ChatGPT légitimes (chatgpt.com) comme premier vecteur de confiance. Ces pages affichent un message indiquant que ChatGPT subit un trafic élevé et redirigent les victimes vers un site externe malveillant : openai-backup.one. ...

🗓️ Contexte Article publié le 1er septembre 2026 sur Cyber Press, décrivant une campagne active de distribution de NetSupport RAT exploitant la confiance accordée aux pages partagées de ChatGPT. 🎯 Mécanisme d’attaque La chaîne d’infection repose sur plusieurs étapes : Une page partagée ChatGPT légitime affiche un message indiquant un trafic élevé et redirige vers le site malveillant openai-backup.one Ce site usurpe les identités d’OpenAI, Cloudflare et Google via une fausse page de vérification humaine (CAPTCHA) La fausse vérification place une commande PowerShell malveillante dans le presse-papiers (technique ClickFix), que la victime exécute manuellement La commande PowerShell contacte brmconfig.com pour récupérer et exécuter un script distant ⚙️ Détail technique des étapes Étape 1 – Loader PowerShell : ...

🔍 Contexte Publié le 25 août 2026 par l’équipe de recherche OX Security, cet article documente une campagne active de phishing distribuée via le registre npm, exploitant les miroirs publics comme infrastructure d’hébergement malveillant. 🎯 Technique d’attaque Les attaquants publient des packages npm contenant une unique page HTML simulant une fausse vérification Cloudflare CAPTCHA. L’objectif n’est pas d’infecter les développeurs qui installent le package, mais d’utiliser les miroirs npm (unpkg, yarn, npmmirror, tencent) comme hébergeurs gratuits et de confiance pour des pages de phishing rendues directement dans le navigateur. ...