Les acteurs de la menace derri\u00e8re le Clearfake<\/strong> La campagne utilise les fausses v\u00e9rifications de Turnique RecaptCha ou Cloudflare comme leur leur des lacs pour informer les utilisateurs dans le t\u00e9l\u00e9chargement de logiciels malveillants tels que Lumma Stealer et Vidar Stealer.<\/p>\n Clearfake, mis en \u00e9vidence pour la premi\u00e8re fois en juillet 2023, est le nom donn\u00e9 \u00e0 un cluster d’activit\u00e9s de menace qui utilise Faux app\u00e2ts de mise \u00e0 jour du navigateur Web<\/a> sur WordPress compromis en tant que vecteur de distribution de logiciels malveillants.<\/p>\n La campagne est \u00e9galement connue pour s’appuyer sur une autre technique connue sous le nom d’EtherHiding pour r\u00e9cup\u00e9rer la charge utile \u00e0 la prochaine \u00e9tape en utilisant les contrats de la cha\u00eene intelligente de Binance (BSC) comme moyen de rendre la cha\u00eene d’attaque plus r\u00e9siliente. L’objectif final de ces cha\u00eenes d’infection est de fournir des logiciels malveillants de vol d’informations capables de cibler les syst\u00e8mes Windows et MacOS.<\/p>\n En mai 2024, les attaques de Clearfake ont adopt\u00e9 ce qui est maintenant connu sous le nom de Clickfix, un stratag\u00e8me en g\u00e9nie social<\/a> Cela implique de tromper les utilisateurs dans l’ex\u00e9cution du code PowerShell malveillant sous le couvert de r\u00e9soudre un probl\u00e8me technique inexistant.<\/p>\n “Bien que cette nouvelle variante Clearfake continue de s’appuyer sur la technique de l’\u00e9tan et la tactique Clickfix, elle a introduit des interactions suppl\u00e9mentaires avec la cha\u00eene intelligente Binance”, Sekoia dit<\/a> dans une nouvelle analyse.<\/p>\n “En utilisant les interfaces binaires d’application de Smart Contrat, ces interactions impliquent le chargement de plusieurs codes JavaScript et des ressources suppl\u00e9mentaires qui emprentent le syst\u00e8me de la victime, ainsi que le t\u00e9l\u00e9chargement, le d\u00e9cryptage et l’affichage du leurre Clickfix.”<\/p>\n La derni\u00e8re it\u00e9ration du cadre Clearfake marque une \u00e9volution significative, adoptant des capacit\u00e9s Web3 pour r\u00e9sister \u00e0 l’analyse et crypter le code HTML li\u00e9 \u00e0 ClickFix.<\/p>\n Le r\u00e9sultat net est une s\u00e9quence d’attaque \u00e0 plusieurs \u00e9tapes mise \u00e0 jour qui est lanc\u00e9e lorsqu’une victime visite un site compromis, qui conduit ensuite \u00e0 la r\u00e9cup\u00e9ration d’un code JavaScript interm\u00e9diaire de BSC. Le JavaScript charg\u00e9 est par la suite responsable de l’empreinte digitale du syst\u00e8me et de la r\u00e9cup\u00e9ration du code ClickFix crypt\u00e9 h\u00e9berg\u00e9 sur les pages CloudFlare.<\/p>\n Si la victime suivait et ex\u00e9cute le commandement malveillant PowerShell, cela conduit au d\u00e9ploiement de chargeur Emmenhtal (alias Peaklight) qui laisse tomber Lummma Stealer.<\/p>\n Sekoia a d\u00e9clar\u00e9 avoir observ\u00e9 une autre cha\u00eene d’attaque de Clearfake fin janvier 2025 qui a servi un chargeur PowerShell responsable de l’installation du voleur de Vidar. Le mois dernier, au moins 9 300 sites Web ont \u00e9t\u00e9 infect\u00e9s par Clearfake.<\/p>\n “L’op\u00e9rateur a syst\u00e9matiquement mis \u00e0 jour le code du framework, les leurres et les charges utiles distribu\u00e9es quotidiennement”, a-t-il ajout\u00e9. “L’ex\u00e9cution de Clearfake s’appuie d\u00e9sormais sur plusieurs \u00e9l\u00e9ments de donn\u00e9es stock\u00e9s dans la cha\u00eene intelligente Binance, y compris le code JavaScript, la cl\u00e9 AES, les URL h\u00e9bergeant des fichiers HTML et les commandes ClickFix PowerShell.”<\/p>\n “Le nombre de sites Web compromis par Clearfake sugg\u00e8re que cette menace reste r\u00e9pandue et affecte de nombreux utilisateurs dans le monde. En juillet 2024, […] Environ 200 000 utilisateurs uniques ont \u00e9t\u00e9 potentiellement expos\u00e9s \u00e0 des leurres Clearfake les encourageant \u00e0 t\u00e9l\u00e9charger des logiciels malveillants. “<\/p>\n Le d\u00e9veloppement intervient alors que plus de 100 sites de concessionnaires automobiles ont \u00e9t\u00e9 d\u00e9couverts compromis avec Clickfix Lres<\/a> Cela a conduit au d\u00e9ploiement de logiciels malveillants sectoprat.<\/p>\n “Lorsque cette infection sur les concessionnaires automobiles s’est produite n’\u00e9tait pas sur le site Web du concessionnaire, mais un service vid\u00e9o tiers”, ” dit<\/a> Le chercheur en s\u00e9curit\u00e9 Randy McEoin, qui a d\u00e9taill\u00e9 certains des premiers Campagnes Clearfake<\/a> en 2023, d\u00e9crivant l’incident comme une instance d’une attaque de cha\u00eene d’approvisionnement.<\/p>\n Le service vid\u00e9o en question est Les Automotive (“IdoStream[.]com “), qui a depuis supprim\u00e9 l’injection de javascript malveillante du site.<\/p>\n Les r\u00e9sultats co\u00efncident \u00e9galement avec la d\u00e9couverte de plusieurs campagnes de phishing qui sont con\u00e7ues pour pousser diverses familles de logiciels malveillants et effectuer une r\u00e9colte d’identification –<\/p>\n Alors que les campagnes d’ing\u00e9nierie sociale continuent de devenir plus sophistiqu\u00e9es, il est essentiel que les organisations et les entreprises restent en avance sur la courbe et mettent en \u0153uvre des m\u00e9canismes d’authentification et de contr\u00f4le d’acc\u00e8s robustes contre les techniques de l’adversaire dans le milieu (AITM) et des techniques de navigateur dans le milieu (BITM) qui permettent aux attaquants de d\u00e9tourner des comptes.<\/p>\n “Un avantage central de l’utilisation d’un cadre BITM r\u00e9side dans sa capacit\u00e9 de ciblage rapide, lui permettant d’atteindre n’importe quel site Web sur le Web en quelques secondes et avec une configuration minimale”, Mandiant appartenant \u00e0 Google dit<\/a> Dans un rapport publi\u00e9 cette semaine.<\/p>\n “Une fois qu’une application est cibl\u00e9e via un outil ou un cadre Bitm, le site l\u00e9gitime est servi par un navigateur contr\u00f4l\u00e9 par l’attaquant.<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/Clearfake-infecte-9-300-sites-utilise-un-faux-recaptcha-et.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n\n