Cette semaine, l'équipe Cyber Threat Intelligence (CTI) de Tanium vous présente une mise à jour concernant trois menaces émergentes. Nous allons tout d'abord nous pencher sur l'évolution rapide d'une menace liée aux navigateurs appelée ClickFix. Nous allons ensuite examiner comment les pics d'activité malveillante précèdent souvent la divulgation des vulnérabilités. Enfin, nous nous penchons de plus près sur un groupe malveillant de langue vietnamienne à l'origine d'une campagne mondiale de vol de données PXA.
La campagne ClickFix détourne les CAPTCHA pour diffuser discrètement des logiciels malveillants
Un rapport récent de Guardio Labs examine l'évolution rapide d'une menace liée aux navigateurs, connue sous le nom de ClickFix. Cette attaque utilise de fausses fenêtres CAPTCHA pour inciter les utilisateurs à exécuter des commandes PowerShell malveillantes copiées dans leur presse-papiers, ce qui permet de contourner les méthodes traditionnelles de diffusion de logiciels malveillants par téléchargement.
Remplaçant d'anciennes tactiques telles que « » (ClearFake), ClickFix se propage par le biais de sites web compromis, de publicités malveillantes et de campagnes de hameçonnage de marque afin de diffuser des logiciels malveillants destinés à voler des identifiants.
Guardio attribue son succès à des scénarios de plus en plus sophistiqués et à des techniques de contournement avancées qui compliquent la détection et la prévention.
Des fausses mises à jour aux failles liées au presse-papiers
Les recherches de Guardio ont débuté avec ClearFake, une campagne active au début de l'année 2024 qui utilisait des sites WordPress piratés pour diffuser de fausses notifications de mise à jour de navigateur. Ces mises à jour semblaient légitimes, mais servaient en réalité à diffuser le logiciel malveillant Lumma Stealer.
S'appuyant sur cette tactique, ClickFix a fait son apparition peu après sous la forme d'une variante plus sophistiquée, abandonnant les charges utiles sous forme de fichiers pour recourir à des pages CAPTCHA trompeuses afin d'exécuter des commandes malveillantes basées sur le presse-papiers.
Il est intéressant de noter que le concept de faux CAPTCHA n'était pas à l'origine une tactique malveillante : il a d'abord été introduit comme un outil de simulation de « red team » destiné aux exercices de formation à la sécurité. Mais, comme beaucoup de techniques légitimes, elle a rapidement été adoptée et détournée à des fins malveillantes par des acteurs malveillants.
L'expansion de ClickFix
ClickFix s'est d'abord propagé par le biais de réseaux publicitaires et de publicités malveillantes, misant sur une large diffusion pour atteindre des utilisateurs peu méfiants. Mais à mesure que les pirates recherchaient des cibles plus lucratives, ils ont changé de tactique : ils ont intégré des charges utiles CAPTCHA dans des sites web légitimes compromis auxquels les utilisateurs faisaient déjà confiance.
À partir de là, la campagne s'est étendue aux réseaux sociaux et aux plateformes de développeurs, où de faux profils inondent désormais les sections de commentaires de recommandations trompeuses et de liens vers des téléchargements malveillants.
Une ingénierie sociale plus efficace grâce à un design familier
Au fur et à mesure que ClickFix a gagné en maturité, ses stratégies visuelles ont également évolué. Alors que les premières versions s'inspiraient du reCAPTCHA de Google, la campagne s'inspire désormais d'autres défis bien connus, tels que ceux de Cloudflare, afin de préserver sa crédibilité.
En associant ces fenêtres superposées trompeuses à des messages d’urgence et à une image de marque réaliste, les cybercriminels rendent l’ de l’ , qui relève de l’ingénierie sociale, encore plus convaincante et augmentent considérablement le risque que l’utilisateur interagisse avec celle-ci.
Progrès techniques et charges utiles multiplateformes
Au-delà de l'ingénierie sociale, ClickFix n'a cessé de gagner en sophistication sur le plan technique. Les pirates procèdent désormais à l'obfuscation des commandes, ont recours au chargement dynamique de scripts, masquent les liens à l'aide de raccourcisseurs d'URL et intègrent des charges utiles dans des fichiers d'apparence légitime.
D’après juin 2025, ils ont également commencé à exploiter la plateforme Google Scripts pour héberger de fausses pages CAPTCHA, tirant parti de sa réputation de fiabilité pour ne pas éveiller les soupçons des utilisateurs. Par ailleurs, les charges utiles ont évolué pour devenir multiplateformes ; elles sont désormais capables de cibler Windows, macOS et Linux.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
La menace ClickFix continue de gagner rapidement en popularité, illustrant ainsi la sophistication croissante des techniques d'ingénierie sociale et la tendance grandissante à l'exploitation des utilisateurs.
Cette transition de l'exécution des logiciels malveillants à partir de fichiers vers celle à partir du presse-papiers marque également une évolution significative en matière de mode de diffusion des menaces, ce qui rend indispensable pour les équipes de sécurité de surveiller de plus près tant les comportements des utilisateurs que l'activité du presse-papiers.
Guardio nous rappelle à quel point des techniques comme celle-ci, qui imitent les véritables parcours des utilisateurs, sont de plus en plus dangereuses et ont davantage de chances de réussir.
Les activités malveillantes précèdent souvent la publication des CVE
La dernière analyse de GreyNoise, intitulée « », met en évidence une tendance frappante : le comportement des pirates s'intensifie souvent au cours des semaines précédant la divulgation publique de nouvelles vulnérabilités. Ce rapport met en évidence des schémas récurrents dans les activités préalables à la divulgation et souligne à quel point une détection précoce peut permettre aux responsables de la sécurité de réduire de manière proactive leur exposition aux menaces émergentes.
Les pics d'attaques peuvent-ils être le signe de vulnérabilités imminentes ?
GreyNoise a observé des schémas distincts d'activités malveillantes — telles que des analyses, des tentatives par force brute et des exploitations — ciblant des technologies dont on a découvert par la suite qu'elles présentaient des vulnérabilités.
En se concentrant sur les technologies de pointe et les CVE notées 6 ou plus sur l'échelle CVSS, les chercheurs ont pu quantifier cette tendance et démontrer que l'intérêt des attaquants précède souvent l'annonce des vulnérabilités.
Cartographier le schéma : de l'activité à la divulgation
Afin de valider cette hypothèse, GreyNoise a analysé le comportement des pirates sur l'ensemble des balises liées aux technologies de pointe. Ces balises sont des identifiants basés sur des signatures utilisés par GreyNoise pour classer et suivre les schémas observés dans le trafic de balayage et d'attaques à l'échelle d'Internet. Elles couvrent des catégories telles que les scanners, les robots d'indexation, les outils de force brute, les tentatives d'exploitation et les associations CVE connues — en particulier celles qui ciblent les technologies de périphérie telles que les VPN, les pare-feu et les outils d'accès à distance.
Après avoir filtré les données pertinentes, l'équipe a identifié 216 pics statistiquement significatifs d'activité des attaquants à partir du septembre 2024. Chaque pic a ensuite été mis en correspondance avec un CVE récemment divulgué affectant la même technologie ou le même produit.
Il convient de noter que toutes les vulnérabilités CVE identifiées concernaient des technologies de périphérie proposées par huit fournisseurs professionnels : Cisco, Citrix, Fortinet, Ivanti, Juniper, MikroTik, Palo Alto et SonicWall.
Le comportement de l'attaquant en tant que signal prédictif
GreyNoise a constaté que les pics d'activité des attaquants se produisaient généralement entre 3 et 6 semaines avant la publication des CVE : 50 % d'entre eux apparaissaient 3 semaines avant et 80 % dans les 6 semaines précédant cette publication.
Le rapport a également examiné la manière dont les pirates pourraient exploiter à nouveau d'anciennes vulnérabilités à l'approche de nouvelles révélations, ce qui laisse supposer une approche délibérée et stratégique de l'exploitation. Dans plusieurs cas, GreyNoise a observé des pics d'activité liés à d'anciennes vulnérabilités (CVE), telles que Cisco CVE-2011-3315, peu avant que de nouvelles vulnérabilités affectant le même produit ne soient révélées.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les travaux de recherche menés par GreyNoise nous aident à comprendre l'importance d'identifier les schémas d'action des attaquants de manière générale, d'autant plus que ces schémas sont liés à la divulgation des vulnérabilités. Cela nécessite de passer de stratégies réactives à des stratégies proactives afin de faciliter l'identification des activités malveillantes, qui constituent un signe avant-coureur de vulnérabilités.
Cette étude confirme également que les cycles de correctifs traditionnels d' sont souvent trop lents. Le fait que les agissements des pirates précèdent souvent la divulgation des vulnérabilités suggère qu'une approche différente de la protection contre ces dernières pourrait s'avérer nécessaire. La hiérarchisation des vulnérabilités doit se fonder non seulement sur leur gravité et leur pertinence pour l'organisation, mais également sur l'intérêt manifesté par les attaquants.
Le rapport de GreyNoise contient également quelques recommandations utiles à l'intention des défenseurs.
Un groupe malveillant lié à Telegram lance une campagne mondiale de vol de données via PXA Stealer
Un groupe malveillant de langue vietnamienne a lancé une vaste campagne de vol d'informations à l'aide de PXA Stealer, un logiciel malveillant écrit en Python. Une étude conjointe menée par SentinelOne et Beazley Security révèle que cette opération a donné lieu au vol de plus de 200 000 mots de passe, de centaines de données de cartes de crédit et de plus de 4 millions de cookies de navigateur.
Opération de logiciels malveillants impliquant plusieurs États, liée à un marché de la cybercriminalité sur Telegram
Observée pour la première fois fin 2024, cette campagne s'est transformée en une opération sophistiquée, se déroulant en plusieurs étapes. SentinelOne et Beazley Security ont mis au jour son lien avec une plateforme de vente sur Telegram qui facilite la vente de données volées appartenant à des victimes.
Parmi les principales tactiques, on peut citer l'installation de DLL malveillantes via des logiciels signés tels que Haihaisoft PDF Reader, ainsi que l'intégration de logiciels malveillants dans des archives se faisant passer pour des types de fichiers courants. La charge utile finale — PXA Stealer — exfiltre des données sensibles, allant des mots de passe aux informations de remplissage automatique du navigateur.
Installation hors source via Haihaisoft et migration de l'infrastructure
Depuis la fin de l'année 2024, les chercheurs ont suivi de près les améliorations constantes apportées par l'acteur aux techniques de « sideloading » ainsi que les modifications apportées à son infrastructure de commandement et de contrôle (C2).
Une tactique notable observée dans l'attaque « avril 2025 » consiste à inciter les victimes, par le biais d'une tentative d'hameçonnage, à télécharger une archive compressée contenant à la fois une copie signée du logiciel Haihaisoft PDF Reader et une bibliothèque DLL malveillante. Une fois exécutée, la DLL a établi une persistance et a récupéré des charges utiles supplémentaires hébergées sur Dropbox.
Cette phase a également marqué un tournant stratégique dans les outils utilisés par l'acteur : celui-ci a délaissé les exécutables Windows traditionnels au profit de charges utiles basées sur Python, un changement qui laisse entrevoir une volonté d'accroître la modularité et de réduire le risque de détection.
Une nouvelle variante introduit une chaîne d'infection sophistiquée reposant sur des fichiers d'archive
Une variante d' juillet 2025 , détectée par Beazley Security, a mis en œuvre des tactiques plus sophistiquées. L'appât comprenait un fichier exécutable « Microsoft Word 2013 » signé, une DLL installée par contournement et un répertoire nommé « - » contenant des charges utiles supplémentaires.
On présentait aux victimes un faux document faisant état de violations du droit d'auteur, tandis qu'une invite de commande cachée exécutait la commande suivante : ` certutil ` afin de décoder un script Python dissimulé, nommé « images.png ».
Les bots Telegram et les relais Cloudflare favorisent le vol de données
La charge utile finale, PXA Stealer, est couramment utilisée par des acteurs malveillants de langue vietnamienne. Il collecte et exfiltre des données via les identifiants BotID de Telegram, en ciblant les navigateurs, les données de remplissage automatique, les jetons d'authentification et la clé de chiffrement liée à l'application de Chrome. Il récupère également des fichiers provenant de portefeuilles cryptographiques de bureau, de clients VPN, d'outils cloud et de partages de fichiers.
Les données volées sont regroupées dans des fichiers ZIP et envoyées via des bots Telegram à l'aide de relais Cloudflare Worker. Le rapport comprend une analyse détaillée des applications ciblées ainsi que de l'infrastructure d'abus de Telegram.
Victimologie : une portée mondiale et un ciblage précis
L'analyse des BotID actifs associés à la campagne « PXA Stealer » a permis de recenser plus de 4 000 victimes distinctes. Parmi les régions les plus fréquemment visées figurent la République de Corée, les États-Unis et les Pays-Bas.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Les journaux de PXA Stealer indiquent que 62 pays différents ont été ciblés, ce qui montre à quel point la cybercriminalité ne connaît de plus en plus pas de frontières. Cela rend l'attribution plus complexe lorsque les auteurs de menaces utilisent une infrastructure mondiale pour cibler un éventail aussi large de victimes.
Les données volées par le PXA Stealer sont revendues sur des places de marché Telegram, comme c'est le cas pour de nombreuses autres données issues d'infostealers, ce qui montre à quel point la cybercriminalité se banalise de plus en plus, les journaux d'activité étant traités comme de simples stocks.
Comme le souligne le rapport, il s'agit là d'un nouvel exemple frappant d'acteurs malveillants exploitant des infrastructures légitimes pour mener des activités malveillantes. Cela nous rappelle avec force l'importance des détections comportementales.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium, pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
