Cette semaine, l’équipe CTI (Cyber Threat Intelligence) de Tanium partage une mise à jour sur trois menaces émergentes. Tout d’abord, nous examinons l’évolution rapide d’une menace basée sur navigateur appelée ClickFix. Ensuite, nous explorons comment les pics d’activité malveillante précèdent souvent les divulgations de vulnérabilité. Enfin, nous examinons de plus près un groupe de menaces parlant vietnamien derrière une campagne mondiale de voleur PXA.
La campagne ClickFix détourne les CAPTCHA pour la livraison furtive de logiciels malveillants
Un rapport récent de Guardio Labs explore l’évolution rapide d’une menace basée sur un navigateur connue sous le nom de ClickFix. Cette attaque utilise de fausses superpositions CAPTCHA pour inciter les utilisateurs à exécuter des commandes PowerShell malveillantes copiées dans leur presse-papiers, ce qui contourne la livraison traditionnelle de logiciels malveillants basés sur le téléchargement.
Remplaçant les tactiques plus anciennes telles que ClearFake, ClickFix se propage via des sites web compromis, des publicités malveillantes et des campagnes d’hameçonnage de marque pour fournir des logiciels malveillants de vol d’informations d’identification.
Guardio attribue son succès à des récits de plus en plus sophistiqués et à des techniques d’évasion avancées qui rendent la détection et la prévention plus difficiles.
Des fausses mises à jour aux exploits de presse-papiers
Les recherches de Guardio commencent par ClearFake, une campagne active début 2024 qui utilisait des sites WordPress compromis pour envoyer de fausses notifications de mise à jour de navigateur. Ces mises à jour semblaient légitimes, mais ont en fait été utilisées pour fournir des logiciels malveillants Lumma Stealer.
En s’appuyant sur cette tactique, ClickFix est apparu peu après comme une variante plus raffinée, passant des charges utiles basées sur des fichiers et utilisant plutôt des pages CAPTCHA trompeuses pour exécuter des commandes malveillantes basées sur des presse-papiers.
Il est intéressant de noter que le concept de faux CAPTCHA n’a pas commencé comme une tactique malveillante, il a d’abord été introduit comme un outil de simulation d’équipe rouge conçu pour les exercices de formation à la sécurité. Mais comme de nombreuses techniques légitimes, il a été rapidement adopté et armé par les acteurs malveillants.
La portée croissante de ClickFix
ClickFix s’est initialement étendu aux réseaux publicitaires et à la publicité, en s’appuyant sur une large exposition pour atteindre des utilisateurs peu méfiants. Mais alors que les attaquants recherchaient des cibles de plus grande valeur, ils ont modifié les tactiques, en intégrant les charges utiles CAPTCHA dans des sites Web légitimes compromis auxquels les utilisateurs faisaient déjà confiance.
À partir de là, la campagne s’est développée sur les réseaux sociaux et les plateformes de développeurs, où de faux personas spamnt désormais des sections de commentaires avec des recommandations trompeuses et des liens vers des téléchargements malveillants.
Une ingénierie sociale plus intelligente grâce à une conception familière
À mesure que ClickFix a mûri, ses tactiques visuelles ont également évolué. Alors que les versions antérieures imitaient le reCAPTCHA de Google, la campagne imite désormais d’autres défis familiers comme Cloudflare pour maintenir la crédibilité.
En associant ces superpositions trompeuses à des indices d’urgence et une image de marque réaliste, les acteurs malveillants rendent l’ ingénierie sociale encore plus convaincante et augmentent considérablement la probabilité d’interaction avec l’utilisateur.
Avancées techniques et charges utiles interplateformes
Au-delà de l’ingénierie sociale, ClickFix est devenu de plus en plus sophistiqué sur le plan technique. Les pirates informatiques masquent désormais les commandes, utilisent le chargement dynamique des scripts, masquent les liens avec des raccourcisseurs d’URL et intègrent les charges utiles dans des sources de fichiers apparemment légitimes.
Depuis juin 2025, ils ont également commencé à tirer parti de la plateforme Google Scripts pour héberger de fausses pages CAPTCHA, en exploitant sa réputation de confiance pour contourner les soupçons des utilisateurs. Parallèlement, les charges utiles ont évolué pour devenir multiplateformes, désormais capables de cibler Windows, macOS et Linux.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
La menace ClickFix continue de gagner rapidement en popularité, illustrant la sophistication croissante de l’ingénierie sociale et la tendance croissante de l’exploitation des utilisateurs.
Ce passage des logiciels malveillants basés sur des fichiers à l’exécution des logiciels malveillants basée sur des presse-papiers marque également une évolution significative en termes de livraison des menaces, ce qui rend essentiel pour les équipes de sécurité de surveiller plus étroitement les comportements des utilisateurs et l’activité du presse-papiers.
Guardio nous rappelle à quel point les techniques comme celle-ci qui imitent les flux d’utilisateurs réels sont de plus en plus dangereuses et plus susceptibles de réussir.
L’activité malveillante précède souvent les divulgations du CVE
La dernière analyse de GreyNoise révèle une tendance convaincante : le comportement des attaquants s’intensifie fréquemment dans les semaines précédant la divulgation publique de nouvelles vulnérabilités. Le rapport identifie des modèles reproductibles dans l’activité de pré-divulgation et souligne comment une détection précoce peut permettre aux défenseurs de réduire de manière proactive l’exposition aux menaces émergentes.
Les pics d’attaque peuvent-ils signaler des vulnérabilités imminentes ?
GreyNoise a observé des modèles distincts d’activité malveillante, tels que l’analyse, les tentatives de force brute et l’exploitation, des technologies de ciblage qui se sont révélées vulnérables par la suite.
En se concentrant sur les technologies de périphérie et les CVE notés 6 ou plus sur l’échelle CVSS, les chercheurs ont pu quantifier ce schéma et démontrer comment l’intérêt des attaquants précède souvent les annonces de vulnérabilité.
Mappage du modèle : de l’activité à la divulgation
Pour valider cette hypothèse, GreyNoise a analysé le comportement des attaquants sur les étiquettes liées aux technologies de périphérie. Ces balises sont des identifiants basés sur la signature utilisés par GreyNoise pour classer et suivre les modèles dans le trafic d’analyse et d’attaque à l’échelle d’Internet. Elles couvrent des catégories telles que les scanners, les robots d’indexation, les outils de force brute, les tentatives d’exploitation et les associations CVE connues, en particulier celles ciblant les technologies de périphérie telles que les VPN, les pare-feux et les outils d’accès à distance.
Après avoir filtré pour obtenir des données significatives, l’équipe a identifié 216 pics statistiquement significatifs d’activité des attaquants à partir de septembre 2024. Chaque pic a ensuite été mis en correspondance avec un CVE nouvellement divulgué affectant la même technologie ou le même produit.
Notamment, tous les CVE correspondants impliquaient des technologies de périphérie de huit fournisseurs d’entreprise : Cisco, Citrix, Fortinet, Ivanti, Juniper, MikroTik, Palo Alto et SonicWall.
Comportement des attaquants comme signal prédictif
GreyNoise a constaté que les pics d’activité des attaquants survenaient généralement 3 à 6 semaines avant les divulgations CVE, 50 % apparaissant 3 semaines avant et 80 % en 6 semaines.
Le rapport a également examiné comment les attaquants peuvent revisiter les vulnérabilités plus anciennes avant de nouvelles divulgations, suggérant une approche délibérée et stratégique de l’exploitation. Dans plusieurs cas, GreyNoise a observé des pics d’activité autour des CVE existants, tels que Cisco CVE-2011-3315, peu de temps avant que de nouvelles vulnérabilités affectant le même produit ne soient révélées.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Les recherches de GreyNoise nous aident à comprendre l’importance d’identifier les modèles d’attaquants en général, d’autant plus que ces modèles sont liés à la divulgation des vulnérabilités. Cela nécessite un passage de stratégies réactives à des stratégies proactives pour aider à identifier les activités malveillantes comme précurseurs des vulnérabilités.
Cette recherche confirme également que les cycles de correctifs traditionnels sont souvent trop lents. Le fait que les comportements des attaquants précèdent souvent les divulgations de vulnérabilité indique qu’une approche différente de la protection contre les vulnérabilités peut être nécessaire. La hiérarchisation des vulnérabilités doit être basée non seulement sur la gravité et la pertinence pour l’organisation, mais également sur l’intérêt observé des attaquants.
Le rapport de GreyNoise inclut également des recommandations utiles pour les défenseurs.
Un groupe de menaces lié à Telegram lance une campagne mondiale de voleur PXA
Un groupe de menaces de langue vietnamienne a lancé une campagne d’infostealer généralisée tirant parti de PXA Stealer, un logiciel malveillant basé sur Python. Une étude conjointe de SentinelOne et Beazley Security révèle que l’opération a entraîné le vol de plus de 200 000 mots de passe, des centaines d’enregistrements de cartes de crédit et plus de 4 millions de cookies de navigateur.
Opération malveillante multi-états liée au marché de la cybercriminalité basée sur Telegram
Observée pour la première fois fin 2024, la campagne a évolué pour devenir une opération sophistiquée en plusieurs étapes. SentinelOne et Beazley Security ont découvert leur connexion à un marché basé sur Telegram qui facilite la vente de données volées des victimes.
Les tactiques clés comprennent le chargement latéral de DLL malveillantes via des logiciels signés tels que Haihaisoft PDF Reader et l’intégration de logiciels malveillants dans des archives déguisées en types de fichiers courants. La charge utile finale, le voleur PXA, exfiltre les données sensibles allant des mots de passe aux entrées de remplissage automatique du navigateur.
Chargement latéral via Haihaisoft et infrastructure changeante
Depuis la fin de l’année 2024, les chercheurs ont suivi l’affinement continu des techniques de chargement latéral de l’acteur et les modifications apportées à son infrastructure de commande et de contrôle (C2).
Une tactique notable observée en avril 2025 implique que les victimes d’hameçonnage téléchargent une archive compressée qui a regroupé une copie signée du lecteur PDF Haihaisoft avec une DLL malveillante. Une fois exécutée, la DLL a établi la persistance et récupéré des charges utiles supplémentaires hébergées sur Dropbox.
Cette phase a également marqué un changement stratégique dans l’outillage de l’acteur : s’éloigner des exécutables Windows traditionnels en faveur des charges utiles basées sur Python, un changement qui suggère une intention d’augmenter la modularité et de réduire les risques de détection.
Une nouvelle variante introduit une chaîne d’infection avancée basée sur les archives
Une juillet 2025 variante observée par Beazley Security a introduit des tactiques plus raffinées. L’attrait comprenait un exécutable Microsoft Word 2013 signé, une DLL latérale et un répertoire nommé « - » contenant des charges utiles supplémentaires.
Les victimes ont reçu un document décoy faisant référence aux violations de droits d’auteur, tandis qu’une invite de commande masquée a exécuté un certificat pour décoder un script Python déguisé nommé images.png.
Les robots Telegram et les relais Cloudflare entraînent le vol de données
La charge utile finale, PXA Stealer, est couramment utilisée par les acteurs malveillants de langue vietnamienne. Il collecte et exfiltre des données via des BotIDs Telegram, ciblant les navigateurs, les données de remplissage automatique, les jetons d’authentification et la clé de chiffrement App-Bound de Chrome. Il collecte également des fichiers à partir de portefeuilles cryptographiques de bureau, de clients VPN, d’utilitaires cloud et de partages de fichiers.
Les données volées sont regroupées dans des fichiers ZIP et envoyées via des robots Telegram à l’aide des relais Cloudflare Worker. Le rapport comprend une ventilation détaillée des applications ciblées et de l’infrastructure d’abus Telegram.
Victimologie : portée mondiale avec ciblage concentré
L’analyse des BotID actifs associés à la campagne PXA Stealer a révélé plus de 4 000 victimes uniques. Les régions les plus fréquemment ciblées comprennent la République de Corée, les États-Unis et les Pays-Bas.
Commentaires d’analystes de l’équipe Cyber Threat Intelligence de Tanium
Les journaux PXA Stealer indiquent le ciblage de 62 pays différents, soulignant comment la cybercriminalité est de plus en plus sans frontières. Cela rend l’attribution plus complexe lorsque les acteurs malveillants utilisent une infrastructure mondiale pour cibler un tel éventail de victimes.
Les données volées par le voleur PXA sont revendues via les places de marché Telegram, comme c’est le cas avec de nombreuses autres données infostealer, et montrent comment la cybercriminalité est de plus en plus banalisée avec les journaux traités comme inventaire.
Comme le souligne le rapport, il s’agit d’un autre exemple de premier plan d’acteurs malveillants exploitant une infrastructure légitime pour mener des activités malveillantes. Il sert de rappel fort de l’importance des détections comportementales.
Avez-vous un aperçu de ces histoires que vous souhaitez partager ? Rendez-vous sur le forum de discussion de Tanium pour commencer une conversation.
Pour en savoir plus, consultez nos récentes synthèses de renseignements sur les menaces.
