Les chercheurs en cybersécurité attirent l’attention sur une nouvelle campagne de phishing qui utilise la technique ClickFix pour livrer un cadre de commande et de contrôle (C2) open-source (C2) appelé Havoc.
“L’acteur de menace cache chaque étape de logiciels malveillants derrière un site SharePoint et utilise une version modifiée de Havoc Demon en collaboration avec l’API Microsoft Graph pour obscurcir les communications C2 dans des services de confiance et bien connus”, Fortinet FoGuard Labs dit Dans un rapport technique partagé avec le Hacker News.
Le point de départ de l’attaque est un e-mail de phishing contenant une pièce jointe HTML (“Documents.html”) qui, lorsqu’il est ouvert, affiche un message d’erreur, qui utilise la technique ClickFix pour inciter les utilisateurs à copier et à exécuter une commande PowerShell malveillante dans leur terminal ou leur powershell, ainsi en déclenchant la prochaine étape.
La commande est conçue pour télécharger et exécuter un script PowerShell hébergé sur un serveur SharePoint contrôlé par adversaire. Le PowerShell nouvellement téléchargé vérifie s’il est exécuté dans un environnement de sable avant de télécharger l’interprète Python (“pythonw.exe”), s’il n’est pas déjà présent dans le système.
L’étape suivante consiste à récupérer et à exécuter un script Python à partir du même emplacement SharePoint qui sert de chargeur Shellcode pour Kaynldrun chargeur réfléchissant écrit en C et ASM capable de lancer une DLL intégrée, dans ce Havoc Demon Agent sur l’hôte infecté.
“L’acteur de menace utilise des ravages en conjonction avec l’API Graph Microsoq pour cacher la communication C2 au sein de services bien connus”, a déclaré Fortinet, ajoutant que le cadre prend en charge les fonctionnalités pour recueillir des informations, effectuer des opérations de fichiers, ainsi que pour effectuer des attaques de commande et de charge utile, de manipulation de jetons et d’attaques Kerberos.
Le développement intervient alors que MalwareBytes a révélé que les acteurs de la menace continuent d’exploiter une échappatoire connue dans les politiques Google ADS pour cibler les clients PayPal avec de faux annonces diffusées via des comptes d’annonceurs qui peuvent avoir été compromis.
Les publicités cherchent à tromper les victimes à la recherche d’assistance liées aux problèmes de compte ou aux problèmes de paiement pour appeler un nombre frauduleux qui se termine probablement par la remise de leurs informations personnelles et financières.
“Une faiblesse au sein des politiques de Google pour pages de destination (également connu sous le nom URL finales), permet à quiconque d’identiter les sites Web populaires tant que la page de destination et l’URL d’affichage (la page Web montrée dans une annonce) partagent le même domaine, “Jérôme Segura, directeur principal de la recherche sur MalwareBytes, dit.
“Les escrocs de support technologique sont comme des vautours qui tournent au-dessus des termes de recherche Google les plus populaires, en particulier en ce qui concerne tout type d’assistance en ligne ou de service client.”