https://cyberveille.ch/tags/dcrcvdrv.sys/ Recent content in DCRCVDrv.sys on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Sat, 22 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-22-errtraffic-et-cruciferra-cocktail-maas-pour-clickfix-et-kill-edr-via-byovd/ Sat, 22 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-22-errtraffic-et-cruciferra-cocktail-maas-pour-clickfix-et-kill-edr-via-byovd/ <h2 id="-contexte">🔍 Contexte</h2> <p>En <strong>août 2026</strong>, l&rsquo;équipe Threat Response Unit (TRU) d&rsquo;eSentire publie une analyse technique détaillée de campagnes observées fin juillet 2026, combinant deux services <strong>Malware-as-a-Service (MaaS)</strong> : <strong>ErrTraffic</strong> et <strong>Cruciferra</strong>.</p> <h2 id="-vecteur-daccès-initial">🎯 Vecteur d&rsquo;accès initial</h2> <p>Les victimes atterrissent sur des <strong>sites WordPress compromis</strong> contenant un inject JavaScript obfusqué généré par ErrTraffic. Ce script :</p> <ul> <li>Est encodé en <strong>base64 et chiffré par XOR à un octet</strong></li> <li>Résout son domaine C2 via un <strong>smart contract Polygon</strong> (méthode <code>getDomain</code>, RPC <code>eth_call</code>)</li> <li>Charge dynamiquement le code source JavaScript du <strong>leurre ClickFix</strong></li> </ul> <p>Le leurre ClickFix copie une commande PowerShell malveillante dans le presse-papiers et incite la victime à l&rsquo;exécuter via <code>Windows Key + X -&gt; I</code>.</p>