Les chercheurs en cybers\u00e9curit\u00e9 attirent l’attention sur une nouvelle campagne de phishing qui utilise la technique ClickFix pour livrer un cadre de commande et de contr\u00f4le (C2) open-source (C2) appel\u00e9 Havoc.<\/p>\n
“L’acteur de menace cache chaque \u00e9tape de logiciels malveillants derri\u00e8re un site SharePoint et utilise une version modifi\u00e9e de Havoc Demon en collaboration avec l’API Microsoft Graph pour obscurcir les communications C2 dans des services de confiance et bien connus”, Fortinet FoGuard Labs dit<\/a> Dans un rapport technique partag\u00e9 avec le Hacker News.<\/p>\n Le point de d\u00e9part de l’attaque est un e-mail de phishing contenant une pi\u00e8ce jointe HTML (“Documents.html”) qui, lorsqu’il est ouvert, affiche un message d’erreur, qui utilise la technique ClickFix pour inciter les utilisateurs \u00e0 copier et \u00e0 ex\u00e9cuter une commande PowerShell malveillante dans leur terminal ou leur powershell, ainsi en d\u00e9clenchant la prochaine \u00e9tape.<\/p>\n La commande est con\u00e7ue pour t\u00e9l\u00e9charger et ex\u00e9cuter un script PowerShell h\u00e9berg\u00e9 sur un serveur SharePoint contr\u00f4l\u00e9 par adversaire. Le PowerShell nouvellement t\u00e9l\u00e9charg\u00e9 v\u00e9rifie s’il est ex\u00e9cut\u00e9 dans un environnement de sable avant de t\u00e9l\u00e9charger l’interpr\u00e8te Python (“pythonw.exe”), s’il n’est pas d\u00e9j\u00e0 pr\u00e9sent dans le syst\u00e8me.<\/p>\n L’\u00e9tape suivante consiste \u00e0 r\u00e9cup\u00e9rer et \u00e0 ex\u00e9cuter un script Python \u00e0 partir du m\u00eame emplacement SharePoint qui sert de chargeur Shellcode pour Kaynldr<\/a>un chargeur r\u00e9fl\u00e9chissant \u00e9crit en C et ASM capable de lancer une DLL int\u00e9gr\u00e9e, dans ce Havoc Demon Agent<\/a> sur l’h\u00f4te infect\u00e9.<\/p>\n “L’acteur de menace utilise des ravages en conjonction avec l’API Graph Microsoq pour cacher la communication C2 au sein de services bien connus”, a d\u00e9clar\u00e9 Fortinet, ajoutant que le cadre prend en charge les fonctionnalit\u00e9s pour recueillir des informations, effectuer des op\u00e9rations de fichiers, ainsi que pour effectuer des attaques de commande et de charge utile, de manipulation de jetons et d’attaques Kerberos.<\/p>\n Le d\u00e9veloppement intervient alors que MalwareBytes a r\u00e9v\u00e9l\u00e9 que les acteurs de la menace continuent d’exploiter une \u00e9chappatoire connue dans les politiques Google ADS pour cibler les clients PayPal avec de faux annonces diffus\u00e9es via des comptes d’annonceurs qui peuvent avoir \u00e9t\u00e9 compromis.<\/p>\n Les publicit\u00e9s cherchent \u00e0 tromper les victimes \u00e0 la recherche d’assistance li\u00e9es aux probl\u00e8mes de compte ou aux probl\u00e8mes de paiement pour appeler un nombre frauduleux qui se termine probablement par la remise de leurs informations personnelles et financi\u00e8res.<\/p>\n “Une faiblesse au sein des politiques de Google pour pages de destination<\/a> (\u00e9galement connu sous le nom URL finales<\/a>), permet \u00e0 quiconque d’identiter les sites Web populaires tant que la page de destination et l’URL d’affichage (la page Web montr\u00e9e dans une annonce) partagent le m\u00eame domaine, “J\u00e9r\u00f4me Segura, directeur principal de la recherche sur MalwareBytes, dit<\/a>.<\/p>\n “Les escrocs de support technologique sont comme des vautours qui tournent au-dessus des termes de recherche Google les plus populaires, en particulier en ce qui concerne tout type d’assistance en ligne ou de service client.”<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/Les-pirates-utilisent-Clickfix-Trick-pour-deployer-Havoc-C2-base.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n