Le WatchGuard Threat Lab vient de mettre au jour une campagne de cyberattaque active combinant deux techniques d’ingénierie sociale et d’évasion peu communes : ClickFix et EtherHiding. Elle cible spécifiquement les utilisateurs Windows aux États-Unis, au Canada, au Royaume-Uni, en Irlande, en Australie et en Nouvelle-Zélande.
Tribune – Le mode opératoire : des sites WordPress légitimes sont compromis pour afficher de fausses invites de vérification, piégeant les visiteurs et les incitant à exécuter des commandes PowerShell malveillantes. Résultat : l’installation de NightshadeC2/CastleRAT, un cheval de Troie d’accès à distance lié à l’opérateur russe TAG-150, connu pour ses services de Malware-as-a-Service.
Plusieurs faits intéressants dans cette campagne :
- Un ciblage géographique précis, limité à six pays anglophones
- L’usage inédit de smart contracts Ethereum pour dissimuler le code malveillant (la technique dite EtherHiding)
- Le détournement d’infrastructures légitimes et grand public (WordPress, Cloudflare, Steam) pour échapper à la détection
- Un malware aux capacités d’espionnage étendues : keylogging, vol d’identifiants, captures d’écran, prise de contrôle à distance
- Une clause d’exclusion géographique intégrée au code, épargnant les pays de la CEI Communauté des États indépendants dont la Russie et plusieurs pays de la sphère d’influence proche de la Russie) — une signature typique de groupes cybercriminels russophones
Euler Neto., l’analyste à l’origine de cette découverte, se tient à votre disposition pour répondre à vos questions, ou pour vous transmettre davantage de détails techniques.
Lien vers le rapport de recherche complet : https://www.watchguard.com/wgrd-security-hub/secplicity-blog/clickfix-etherhiding-targets-anglophone-countries-0
