ClickFix et EtherHiding associent l'exécution de commandes à l'initiative de l'utilisateur à une configuration reposant sur la blockchain. ClickFix incite l'utilisateur à exécuter une commande, tandis qu'EtherHiding permet aux attaquants de piloter les étapes suivantes via des contrats intelligents publics. Ensemble, ils créent un vecteur d'attaque qui contourne les systèmes de détection basés sur des indicateurs et les méthodes de neutralisation classiques.
Principaux enseignements
- ClickFix transforme les processus habituels de vérification et de dépannage en séquences de commandes exécutées par l'utilisateur
- EtherHiding sépare l'infrastructure de diffusion jetable d'une couche de configuration plus permanente
- Le blocage d'un domaine connu ne révèle ni ne désactive le mécanisme qui pilote l'étape suivante.
- Les équipes SOC doivent relier les données disponibles dans divers outils et au sein de différentes équipes
- Les sites web piratés peuvent faire croire que des instructions malveillantes proviennent d'une ressource numérique de confiance.
- L'enquête menée par FileScan.io Threat Labs montre comment les chercheurs ont retracé ces liens au sein d'une chaîne active
En quoi ClickFix se distingue-t-il du phishing classique ?
ClickFix est une technique d'ingénierie sociale qui incite les utilisateurs à copier, coller ou exécuter une commande sous prétexte de remplir un CAPTCHA, de résoudre un problème de navigateur, d'ouvrir un document ou de résoudre un problème d'accès.
MITRE ATT&CK classe ClickFix dans la catégorie « Copier-coller malveillant » (T1204.004). Cette technique repose sur le fait que les utilisateurs insèrent directement le code fourni par l'attaquant dans une interface de commande ou de script, plutôt que d'ouvrir une pièce jointe malveillante classique.
Cette interaction peut s'apparenter à un dépannage classique. Les invites de vérification, les erreurs de navigateur et les contrôles d'accès sont courants sur Internet, ce qui offre aux attaquants un scénario familier à imiter. Pour les défenseurs, le premier signal utile est souvent d'ordre comportemental. Une session de navigateur suivie de l'exécution d'une commande inhabituelle peut s'avérer plus significative que la présence d'un fichier malveillant connu.
Comment EtherHiding apporte une nouvelle approche au problème d'infrastructure
EtherHiding utilise des contrats intelligents de la blockchain pour stocker ou restituer une configuration contrôlée par l'attaquant. Cela permet de dissocier l'infrastructure visible par la victime du mécanisme qui indique à la campagne quelle direction prendre ensuite. Les défenseurs peuvent désactiver un domaine ou un compte d'hébergement, mais la chaîne dans son ensemble reste opérationnelle tant que sa couche de configuration peut rediriger le trafic vers une infrastructure de remplacement.
L'enquête menée par notre laboratoire FileScan.io Threat Labs a permis de retracer une chaîne ClickFix active passant par un script injecté, un contrat intelligent Polygon et l'infrastructure vers laquelle elle renvoyait au cours de la recherche. Le rapport d'enquête décrit les éléments, les pivots, le processus de validation et les relations qui ont permis d'établir ce lien.
Les défenseurs ne sont pas seulement confrontés à un ensemble de domaines malveillants éphémères. Ils doivent identifier les liens persistants qui se cachent derrière une infrastructure conçue pour donner l'impression d'être jetable.
Pourquoi les équipes de sécurité et d'ingénierie devraient-elles s'y intéresser ?
ClickFix et EtherHiding posent un problème de visibilité qui peut dépasser les frontières organisationnelles. L'équipe web détecte un script non autorisé, la sécurité des terminaux signale une commande inhabituelle, les outils réseau enregistrent le trafic sortant et les services de renseignement sur les menaces ne prennent en compte qu'une partie de l'infrastructure. Pris isolément, chaque signal semble incomplet.
Professionnels du SOC
Les analystes SOC et les chasseurs de menaces ont besoin d'un contexte suffisant pour distinguer un événement suspect isolé d'une étape faisant partie d'une chaîne plus large. Le défi ne consiste pas simplement à trouver un indicateur supplémentaire, mais à relier les activités qui apparaissent sur les navigateurs, les terminaux, les réseaux, les identités et les infrastructures publiques.
Les responsables des SOC sont également confrontés à un problème de coordination. Il arrive que différentes équipes détiennent des éléments distincts du dossier, d'où l'importance de disposer d'un calendrier commun et de définir clairement les responsabilités au cours de l'enquête.
Software ingénieurs et équipes web
Software Et les équipes web jouent un rôle essentiel, car les ressources numériques légitimes peuvent servir de vecteurs de diffusion. Des sites web compromis, des scripts injectés et des accès administratifs détournés peuvent permettre d'introduire des instructions malveillantes au sein d'un environnement auquel les utilisateurs font déjà confiance.
La télémétrie Web peut donc constituer un élément de preuve en matière de sécurité. L'historique des versions, les enregistrements de déploiement, les alertes relatives à l'intégrité du contenu et les journaux d'administration permettent de déterminer à quel moment un contenu suspect apparaît et quel est son lien avec l'activité des terminaux.
Quelles sont les organisations qui risquent de subir les conséquences les plus graves ?
ClickFix ne se limite pas à un seul secteur, car il exploite le comportement des utilisateurs plutôt qu’une technologie propre à un secteur d’activité. Les conséquences sont d’autant plus importantes pour les organisations qui détiennent des identifiants de grande valeur, exploitent des services numériques en contact direct avec la clientèle, gèrent des informations sensibles ou ne tolèrent guère les perturbations.
Cela concerne notamment les opérateurs d'infrastructures critiques, les organismes publics, les entités réglementées, les éditeurs de logiciels, les fournisseurs de services gérés et les entreprises disposant d'un effectif important ou dispersé. Dans ces secteurs, la compromission d'une identité, d'un terminal ou d'un site web de confiance peut perturber les opérations, et pas seulement les données.
Types de dommages pouvant être causés par une campagne ClickFix
ClickFix est une technique de diffusion ; son impact final dépend donc de la charge utile et des possibilités d'accès disponibles sur l'appareil ciblé. Dans un récent article de blog, nous avons répertorié des charges utiles ClickFix allant des logiciels de vol d'informations aux ransomwares affectant l'ensemble du réseau, et expliqué comment l'adoption rapide de cette technique par les États-nations complique le triage pour les équipes des centres d'opérations de sécurité (SOC).
Notre enquête spécifique sur FileScan.io s'est concentrée sur le mécanisme de diffusion. Elle n'a pas cherché à attribuer la responsabilité de la charge utile finale. Cette étude n'établit donc pas que la chaîne retracée ait été à l'origine d'un ransomware, d'une fraude, d'un vol d'identifiants ou de toute autre conséquence particulière. Cette distinction est importante. L'étude montre comment une chaîne de diffusion peut être reconstituée même lorsque son infrastructure visible évolue.
Trois lacunes en matière de visibilité que les défenses classiques ne parviennent pas à combler
ClickFix et EtherHiding répartissent l'attaque entre le comportement humain, les outils système légitimes, le contenu Web, les infrastructures publiques et des destinations changeantes.
Trois lacunes en matière de visibilité ressortent particulièrement :
- L'activité de l'utilisateur peut ressembler à un dépannage légitime. L'utilisateur peut ouvrir de son plein gré une interface de commande et exécuter l'instruction qui lui est fournie.
- Les infrastructures visibles peuvent être remplacées. Un domaine bloqué ne représente peut-être qu'un maillon temporaire de la chaîne.
- Les outils de sécurité contiennent des données isolées les unes des autres. Les événements liés au navigateur, aux processus, au réseau, à l'identité et aux sites web peuvent se retrouver dans des systèmes distincts.
Qu'apporte l'enquête de FileScan.io ?
Les travaux de recherche menés par notre laboratoire FileScan.io Threat Labs vont au-delà d'une simple description générale de ClickFix et d'EtherHiding. Ils expliquent comment les chercheurs sont passés d'un leurre actif à l'infrastructure et à l'activité sur la blockchain qui y est liée.
L'analyse complète porte sur :
- Un appel « blockchain » en direct, effectué et enregistré en temps réel, retraçant la chaîne jusqu'à la destination à laquelle il aboutissait au moment de la recherche
- Plus d'une douzaine de contrats intelligents liés à deux portefeuilles distincts, et ce que ce schéma révèle sur la manière dont l'opérateur gère ce système
- Un leurre se faisant passer pour une marque d'IA bien connue qui n'avait pas encore été mentionnée publiquement avant cette étude
- Deux chercheurs indépendants qui sont parvenus au même portefeuille et au même contrat en suivant des chemins totalement distincts
Lisez le compte rendu technique complet et les éléments de preuve qui ont permis de relier les différents éléments entre eux.
Questions fréquemment posées
Qu'est-ce que ClickFix ?
ClickFix est une technique d'ingénierie sociale qui incite les utilisateurs à copier, coller ou exécuter une commande malveillante dans le cadre d'une prétendue correction, d'une étape de vérification ou d'une condition d'accès. C'est l'utilisateur qui déclenche l'exécution, ce qui peut donner l'impression que l'événement déclencheur est différent de celui d'une pièce jointe malveillante classique.
Qu'est-ce qu'EtherHiding ?
EtherHiding est une technique qui utilise les contrats intelligents de la blockchain pour stocker ou restituer des paramètres de configuration contrôlés par l'attaquant. Cela peut fournir à une campagne un point de référence permanent alors que ses domaines et serveurs visibles changent.
Pourquoi la rotation des infrastructures peut-elle compliquer la détection ?
La rotation des infrastructures peut entraîner l'expiration rapide de certains indicateurs. Les défenseurs peuvent bloquer une destination sans pour autant identifier la relation ou le mécanisme de configuration qui oriente la campagne vers sa destination de remplacement.
L'enquête menée par FileScan.io a-t-elle permis d'identifier le logiciel malveillant en question ?
Non. L'enquête visait principalement à retracer et à valider le mécanisme de diffusion. Les chercheurs n'ont pas prétendu déterminer l'origine de la charge utile finale.
Combien de contrats liés les chercheurs ont-ils identifiés, et que révèlent-ils au sujet de l'opérateur ?
Plus d'une douzaine ; suffisamment pour montrer à quel point l'infrastructure de cet opérateur s'étend bien au-delà du seul contrat que nous avons retracé. La ventilation complète, y compris l'attribution au niveau des portefeuilles, figure dans l'article de FileScan.io Threat Labs.
