ClockTail : un kit ClickFix avec fausse vérification Cloudflare déployé sur 245 hôtes
🔍 Contexte : Analyse publiée le 3 novembre 2026 par Kirk (Ohey) sur le kit ClickFix baptisé ClockTail, actif du 28 juillet au 3 novembre 2026 sur 245 hôtes (176 noms de domaine et 69 adresses IP). ⚙️ Fonctionnement : ClockTail est une page HTML sauvegardée de Google Merchant Center (“Promote Your Business with Merchant Center”), enregistrée depuis le compte Gmail jovevkystaxsilverv@gmail.com. Une fausse vérification Cloudflare est injectée en fin de page. Lorsqu’un visiteur clique, la page demande au serveur un fichier de commande via un placeholder JavaScript {{WINR}} jamais remplacé. Le serveur retourne la page HTML elle-même (317 256 octets), qui est copiée dans le presse-papiers à la place d’une commande malveillante. ...