ClickFix

🗓️ Contexte Article publié le 1er septembre 2026 sur Cyber Press, décrivant une campagne active de distribution de NetSupport RAT exploitant la confiance accordée aux pages partagées de ChatGPT. 🎯 Mécanisme d’attaque La chaîne d’infection repose sur plusieurs étapes : Une page partagée ChatGPT légitime affiche un message indiquant un trafic élevé et redirige vers le site malveillant openai-backup.one Ce site usurpe les identités d’OpenAI, Cloudflare et Google via une fausse page de vérification humaine (CAPTCHA) La fausse vérification place une commande PowerShell malveillante dans le presse-papiers (technique ClickFix), que la victime exécute manuellement La commande PowerShell contacte brmconfig.com pour récupérer et exécuter un script distant ⚙️ Détail technique des étapes Étape 1 – Loader PowerShell : ...

🔍 Contexte Publié le 25 août 2026 par l’équipe de recherche OX Security, cet article documente une campagne active de phishing distribuée via le registre npm, exploitant les miroirs publics comme infrastructure d’hébergement malveillant. 🎯 Technique d’attaque Les attaquants publient des packages npm contenant une unique page HTML simulant une fausse vérification Cloudflare CAPTCHA. L’objectif n’est pas d’infecter les développeurs qui installent le package, mais d’utiliser les miroirs npm (unpkg, yarn, npmmirror, tencent) comme hébergeurs gratuits et de confiance pour des pages de phishing rendues directement dans le navigateur. ...

🔍 Contexte Publié le 27 août 2026 par la Ransom-ISAC Research Team (avec contributions de Rakesh Krishnan, Ellis Stannard, Eric Taylor, Nick Smart et Yashraj Solanki), cet article constitue une analyse technique approfondie de CRPx0, une opération ransomware-as-a-service (RaaS) active depuis juin 2026. 🎯 Vecteur d’infection et killchain CRPx0 utilise la technique ClickFix : des pages HTML weaponisées imitant des mises à jour Windows/macOS ou des vérifications Google reCAPTCHA copient silencieusement une commande malveillante dans le presse-papiers avant que la victime ne voie les instructions. La victime est ensuite incitée à exécuter cette commande via Win+R (Windows) ou Terminal (macOS). ...

🔍 Contexte En août 2026, l’équipe Threat Response Unit (TRU) d’eSentire publie une analyse technique détaillée de campagnes observées fin juillet 2026, combinant deux services Malware-as-a-Service (MaaS) : ErrTraffic et Cruciferra. 🎯 Vecteur d’accès initial Les victimes atterrissent sur des sites WordPress compromis contenant un inject JavaScript obfusqué généré par ErrTraffic. Ce script : Est encodé en base64 et chiffré par XOR à un octet Résout son domaine C2 via un smart contract Polygon (méthode getDomain, RPC eth_call) Charge dynamiquement le code source JavaScript du leurre ClickFix Le leurre ClickFix copie une commande PowerShell malveillante dans le presse-papiers et incite la victime à l’exécuter via Windows Key + X -> I. ...

🎯 Contexte Source : Huntress, publié le 20 août 2026. Dans les jours suivant Black Hat et DEF CON, un chercheur Huntress a été ciblé par un acteur malveillant via des messages directs sur X (Twitter), exploitant le contexte post-conférence comme prétexte social. 🕵️ Vecteur initial Le compte X @HartmansDoeke s’est fait passer pour le VP Marketing de CoinDesk, contactant des participants à DEF CON avec un prétexte de planification de conférence. L’acteur a partagé un Google Doc malveillant accompagné d’une « clé d’accès » par DM. ...

📅 Source : Microsoft Security Blog, publié le 18 août 2026. Cette publication émane de Microsoft Defender Experts et Microsoft Security Research, en complément d’un premier signalement de RST Cloud (mai 2026). 🎯 Contexte général MacSync Stealer est un infostealer ciblant exclusivement macOS, conçu pour exfiltrer des données sensibles via une infrastructure C2 à rotation rapide. L’analyse de Microsoft a permis de connecter plus de 30 domaines liés à cette activité grâce à une approche comportementale, là où RST Cloud n’en avait initialement identifié qu’un nombre limité. ...

📰 Source : CybersecurityNews.com, basé sur un rapport de Check Point Research, publié le 18 août 2026. Contexte Une campagne malveillante nommée StopAndProtect a été découverte, transformant des milliers de sites WordPress piratés en infrastructure C2 (command-and-control) distribuée. L’opération combine ransomware à double extorsion et vol de données ciblant des entreprises à l’échelle mondiale. Vecteur d’infection Le vecteur initial repose sur des leurres CAPTCHA frauduleux injectés dans des sites WordPress vulnérables. Les visiteurs sont invités à copier-coller une commande PowerShell malveillante dans leur terminal, déclenchant une chaîne d’infection multi-étapes. ...

🔍 Contexte Publié le 18 août 2026 par Check Point Research (auteur : Jaromír Hořejší), cet article présente une analyse technique approfondie de l’opération StopAndProtect, identifiée pour la première fois mi-mai 2026. L’opération combine chiffrement de fichiers (ransomware) et vol de données silencieux, en abusant de milliers de sites WordPress compromis comme infrastructure d’attaque. 🎯 Vecteur d’infection La chaîne d’infection repose sur la technique de social engineering ClickFix (fausse CAPTCHA) déployée sur des sites WordPress piratés : ...

🔍 Contexte : Le 17 août 2026, Zscaler ThreatLabz publie une analyse technique d’une nouvelle famille de malware nommée C2Looper, identifiée en juillet 2026 et probablement liée à un acteur opérant des ransomwares. 🦠 Description du malware : C2Looper est développé en Rust et fonctionne comme un backdoor offrant des capacités d’exécution de commandes arbitraires, de reconnaissance, et de déploiement de charges utiles secondaires. Il chiffre ses chaînes de caractères via XOR avec une clé de 8 octets et résout dynamiquement les API Windows via LoadLibrary et GetProcAddress. ...

🔍 Contexte Le 13 août 2026, Jamf Threat Labs publie une analyse technique détaillée d’AmnesiaStealer, un nouvel infostealer macOS multi-étapes découvert dans la nature. Le malware est nommé d’après son panneau de contrôle backend « Amnesia Panel » et la clé de déchiffrement de sa configuration embarquée (4mn3s1a_2o26!xK). 🎣 Vecteur d’infection : ClickFix via fausse page GitHub La distribution repose sur une page GitHub contrefaite (github.aoitour[.]com) reproduisant fidèlement le thème sombre de GitHub avec un badge « Verified Publisher ». La page incite la victime à coller une commande dans le Terminal (technique ClickFix), qui télécharge et exécute silencieusement le payload via curl | nohup bash. ...