Microsoft a fait la lumi\u00e8re sur une campagne de phishing en cours qui a cibl\u00e9 le secteur h\u00f4telier en usurpant l’identit\u00e9 d’agence de voyage en ligne Booking.com en utilisant une technique d’ing\u00e9nierie sociale de plus en plus populaire appel\u00e9e ClickFix pour offrir des logiciels malveillants de vol d’identification.<\/p>\n
L’activit\u00e9, a d\u00e9clar\u00e9 le g\u00e9ant de la technologie, a commenc\u00e9 en d\u00e9cembre 2024 et op\u00e8re dans l’objectif final de mener une fraude financi\u00e8re et un vol. C’est suivre la campagne sous le surnom Storm-1865<\/strong>.<\/p>\n “Cette attaque de phishing cible sp\u00e9cifiquement des individus dans des organisations h\u00f4teli\u00e8res en Am\u00e9rique du Nord, en Oc\u00e9anie, en Asie du Sud et du Sud-Est et en Europe du Nord, du Sud, de l’Est et de l’Ouest, qui sont les plus susceptibles de travailler avec Booking.com, envoyant de faux courriels pr\u00e9tendant provenir de l’agence”, a d\u00e9clar\u00e9 Microsoft dit<\/a> Dans un rapport partag\u00e9 avec le Hacker News.<\/p>\n La technique ClickFix s’est r\u00e9pandue ces derniers mois, car elle incite les utilisateurs \u00e0 ex\u00e9cuter des logiciels malveillants sous le couvert de fixer une erreur suppos\u00e9e (c’est-\u00e0-dire, inexistante) en copiant, en collant et en lan\u00e7ant des instructions trompeuses qui activent le processus d’infection. Il a \u00e9t\u00e9 d\u00e9tect\u00e9 pour la premi\u00e8re fois dans la nature en octobre 2023.<\/p>\n La s\u00e9quence d’attaque commence avec Storm-1865 en envoyant un e-mail malveillant \u00e0 une personne cibl\u00e9e sur une critique n\u00e9gative laiss\u00e9e par un pr\u00e9tendu invit\u00e9 sur booking.com et leur demandant leurs \u00abcommentaires\u00bb. Le message int\u00e8gre \u00e9galement un lien, ou une pi\u00e8ce jointe PDF en contenant une qui dirige apparemment les destinataires vers le site de r\u00e9servation.<\/p>\n Cependant, en r\u00e9alit\u00e9, cliquer dessus conduit la victime \u00e0 une fausse page de v\u00e9rification CAPTCHA superpos\u00e9e sur un “fond subtilement visible con\u00e7u pour imiter une page Booking.com l\u00e9gitime”. Ce faisant, l’id\u00e9e est de donner un faux sentiment de s\u00e9curit\u00e9 et d’augmenter la probabilit\u00e9 d’un compromis r\u00e9ussi.<\/p>\n “Le faux captcha est l’endroit o\u00f9 la page Web utilise la technique d’ing\u00e9nierie sociale ClickFix pour t\u00e9l\u00e9charger la charge utile malveillante”, a d\u00e9clar\u00e9 Microsoft. “Cette technique demande \u00e0 l’utilisateur d’utiliser un raccourci clavier pour ouvrir une fen\u00eatre d’ex\u00e9cution Windows, puis coller et lancer une commande que la page Web ajoute au presse-papiers.”<\/p>\n La commande, en un mot, utilise le binaire MSHTA.exe l\u00e9gitime pour supprimer la charge utile \u00e0 la prochaine \u00e9tape, qui comprend diverses familles de logiciels malveillants de base comme Xworm, Lumma Stealer, Venomrat, Asyncrat, Danabot et Netsupport Rat.<\/p>\n Redmond a d\u00e9clar\u00e9 qu’il avait pr\u00e9c\u00e9demment observ\u00e9 Storm-1865 ciblant les acheteurs \u00e0 l’aide de plateformes de commerce \u00e9lectronique avec des messages de phishing conduisant \u00e0 des pages Web de paiement frauduleux. L’incorporation de la technique Clickfix illustre donc une \u00e9volution tactique con\u00e7ue pour glisser les mesures de s\u00e9curit\u00e9 conventionnelles ant\u00e9rieures contre le phishing et les logiciels malveillants.<\/p>\n “L’acteur de menace que Microsoft suit en tant que Storm-1865 r\u00e9sume un groupe d’activit\u00e9s menant des campagnes de phishing, conduisant \u00e0 un vol de donn\u00e9es de paiement et \u00e0 des charges frauduleuses”, a-t-il ajout\u00e9.<\/p>\n “Ces campagnes sont en cours avec un volume accru depuis au moins au d\u00e9but de 2023 et impliquent des messages envoy\u00e9s via des plateformes de fournisseurs, telles que les agences de voyage en ligne et les plateformes de commerce \u00e9lectronique, et les services de messagerie, tels que Gmail ou ICloud Mail.”<\/p>\n Storm-1865 ne repr\u00e9sente qu’une des nombreuses campagnes qui ont adopt\u00e9 ClickFix comme vecteur de distribution de logiciels malveillants. Telle est l’efficacit\u00e9 de cette technique selon laquelle m\u00eame les groupes russes et iraniens de l’\u00c9tat-nation comme Apt28 et Muddywater l’ont adopt\u00e9 pour attirer leurs victimes.<\/p>\n “Notamment, la m\u00e9thode capitalise sur le comportement humain: en pr\u00e9sentant une\u00ab solution \u00bbplausible \u00e0 un probl\u00e8me per\u00e7u, les attaquants d\u00e9placent le fardeau de l’ex\u00e9cution sur l’utilisateur, \u00e9vitant efficacement de nombreuses d\u00e9fenses automatis\u00e9es” dit<\/a> Dans un rapport ind\u00e9pendant publi\u00e9 aujourd’hui.<\/p>\n Une telle campagne document\u00e9e par la Singapourien Cybersecurity Company consiste \u00e0 utiliser ClickFix pour supprimer un t\u00e9l\u00e9chargeur nomm\u00e9 Smokesaber, qui sert ensuite de conduit pour Lumma Stealer. D’autres campagnes ont exploit\u00e9 le malvertising, l’empoisonnement du r\u00e9f\u00e9rencement, les probl\u00e8mes de github et les forums de spam ou les sites de m\u00e9dias sociaux avec des liens vers des pages ClickFix.<\/p>\n “La technique ClickFix marque une \u00e9volution des strat\u00e9gies d’ing\u00e9nierie sociale contradictoires, tirant parti de la confiance des utilisateurs et des fonctionnalit\u00e9s du navigateur pour le d\u00e9ploiement de logiciels malveillants”, a d\u00e9clar\u00e9 Group-IB. “L’adoption rapide de cette m\u00e9thode par les cybercriminels et les groupes APT souligne son efficacit\u00e9 et sa faible barri\u00e8re technique.”<\/p>\n Certaines des autres campagnes ClickFix qui ont \u00e9t\u00e9 document\u00e9es sont r\u00e9pertori\u00e9es ci-dessous –<\/p>\n Les divers m\u00e9canismes d’infection de Lummma Stealer sont encore illustr\u00e9s par la d\u00e9couverte d’une autre campagne qui utilise des r\u00e9f\u00e9rentiels de faux github avec un contenu d’intelligence artificielle (IA) pour livrer le voleur via un chargeur appel\u00e9 Smartloader.<\/p>\n “Ces r\u00e9f\u00e9rentiels malveillants sont d\u00e9guis\u00e9s en outils non malveillants, y compris des tricheurs de jeu, des logiciels fissur\u00e9s et des services publics de crypto-monnaie”, Trend Micro dit<\/a> Dans une analyse publi\u00e9e plus t\u00f4t cette semaine. “La campagne incite les victimes \u00e0 des promesses de fonctionnalit\u00e9s gratuites ou illicites non autoris\u00e9es, les incitant \u00e0 t\u00e9l\u00e9charger des fichiers ZIP (par exemple, release.zip, logiciel.zip).”<\/p>\n L’op\u00e9ration sert \u00e0 souligner comment les acteurs de la menace abusent de la confiance associ\u00e9e \u00e0 des plates-formes populaires comme Github pour la propagation de logiciels malveillants.<\/p>\n Les r\u00e9sultats viennent alors que Trustwave a d\u00e9taill\u00e9 une campagne de phishing par e-mail qui utilise des leurres li\u00e9s \u00e0 la facture pour distribuer une version mise \u00e0 jour d’un autre voleur malveillant appel\u00e9 Strelastealer, qui est \u00e9valu\u00e9 pour \u00eatre exploit\u00e9 par un acteur de menace unique surnomm\u00e9 surnomm\u00e9 Hive0145<\/a>.<\/p>\n “Les \u00e9chantillons de Strelastealers incluent l’obscurcissement multi-couches personnalis\u00e9 et l’aplatissement de flux de code pour compliquer son analyse”, la soci\u00e9t\u00e9 dit<\/a>. “Il a \u00e9t\u00e9 signal\u00e9 que l’acteur de menace a potentiellement d\u00e9velopp\u00e9 un crypter sp\u00e9cialis\u00e9 appel\u00e9\u00ab chargeur stellaire \u00bb, sp\u00e9cifiquement, \u00e0 utiliser avec le strelalaster.”<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/Microsoft-met-en-garde-contre-la-campagne-de-phishing-Clickfix.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n<\/a><\/div>\n