Message de BlockBeats : le 7 août, l’équipe de renseignement sur les menaces de Microsoft a déclaré avoir identifié une série de sites compromis exploitant ClickFix et TerminalFix pour lancer des attaques d’incitation, et les avoir combinés à la technologie EtherHiding afin d’accéder aux contrats intelligents via une passerelle RPC du BNB Smart Chain et d’obtenir des instructions malveillantes de l’étape suivante. Comme le contenu malveillant est stocké dans des contrats intelligents sur la chaîne, seul le propriétaire du portefeuille ayant déployé ce contrat peut le modifier ; il est donc plus difficile de l’éliminer par des méthodes traditionnelles comme le retrait ou le blocage.

Microsoft indique que les attaquants vont falsifier des pages de vérification CAPTCHA afin d’inciter les utilisateurs à ouvrir la fenêtre Windows « Exécuter » ou Terminal, PowerShell, puis à coller et exécuter des commandes malveillantes. Pendant l’attaque, des outils système tels que conhost, PowerShell, mshta, rundll32, curl, WMI, WebDAV, etc., sont largement utilisés pour brouiller les pistes et mener des attaques « Living-off-the-Land » (« prendre ce qui est disponible sur place »).

Microsoft indique que ClickFix et TerminalFix sont devenus des techniques d’intrusion initiale à haute fréquence, touchant chaque jour des milliers d’ordinateurs d’entreprises et d’utilisateurs particuliers dans le monde. Elles sont utilisées par plusieurs groupes d’attaquants pour distribuer des malwares tels que Lumma Stealer, Xworm, AsyncRAT, MintsLoader, etc., et peuvent également entraîner plus avant une fuite d’identifiants, un mouvement latéral et des attaques par ransomware. Microsoft recommande aux utilisateurs de ne jamais coller et exécuter des commandes dans Windows « Exécuter », Terminal, PowerShell ou l’invite de commande, en se basant sur des CAPTCHA, des erreurs affichées sur une page, des notifications par e-mail ou des publicités.