Microsoft Threat Intelligence a publié ses conclusions sur une campagne d'attaque ClickFix en évolution qui exploite désormais l'infrastructure blockchain et l'empreinte numérique sophistiquée du navigateur pour compromettre des systèmes Windows et macOS à grande échelle. Cette campagne illustre une tendance plus large dans laquelle les acteurs de menaces détournent l'infrastructure décentralisée pour entraver les mesures de remédiation conventionnelles, prolongeant un schéma d'abus observé pour la première fois avec l'utilisation de sites web compromis par la campagne ClearFake.

Les opérations Windows exploitent EtherHiding sur la BNB Smart Chain

Le composant Windows de la campagne emploie une technique connue sous le nom d'EtherHiding, qui stocke des commandes malveillantes directement dans des contrats intelligents déployés sur la BNB Smart Chain. EtherHiding a été documenté publiquement fin 2023 par Guardio Labs en tant qu'évolution de la campagne ClearFake, et son adoption par d'autres clusters de menaces indique que cette approche se propage au-delà de ses créateurs initiaux. Les attaquants injectent du JavaScript encodé en Base64 dans des sites web compromis ; ce code interroge les contrats intelligents on-chain via des passerelles RPC pour récupérer les instructions de l'étape suivante.

Étant donné que la charge utile malveillante réside on-chain, elle ne peut pas être éliminée par des méthodes conventionnelles de démantèlement ou de sinkholing. Seul le propriétaire du portefeuille de cryptomonnaie de déploiement a la capacité de modifier le contenu du contrat. Cela déplace le défi de remédiation du démantèlement d'un serveur vers la coordination avec les opérateurs de l'infrastructure blockchain — un problème fondamentalement différent pour les défenseurs.

Les victimes se voient présenter de faux CAPTCHAs qui leur demandent d'ouvrir la boîte de dialogue Exécuter de Windows et de coller des commandes fournies par les attaquants. Les chaînes d'exécution qui en résultent abusent des utilitaires système natifs, notamment PowerShell, mshta, rundll32, msiexec et curl. Ces chaînes utilisent fréquemment des techniques de division par caret et d'obscurcissement par variables d'environnement pour échapper à la détection de sécurité.

Microsoft signale que ces campagnes ciblent des milliers d'appareils d'entreprise et grand public dans le monde entier chaque jour, livrant des charges utiles telles que Lumma Stealer, Xworm, AsyncRAT et MintsLoader. Lumma Stealer et AsyncRAT sont largement disponibles dans le cadre d'arrangements de type malware-as-a-service, ce qui abaisse le seuil d'entrée pour les opérateurs criminels. Selon Microsoft, une seule infection réussie peut exposer des identifiants, établir une persistance, permettre des mouvements latéraux au sein d'un réseau et créer des voies vers des rançongiciels pilotés par l'humain.

Microsoft Threat Intelligence has identified a cluster of compromised websites displaying ClickFix lures and using EtherHiding, a technique associated with the ClearFake campaign. An injected Base64-encoded JavaScript contacts a BNB Smart Chain RPC gateway to query a smart… pic.twitter.com/FOivGuUxVV
— Microsoft Threat Intelligence (@MsftSecIntel) August 6, 2026

Les opérations macOS déploient des portes d'empreinte numérique anti-analyse

En parallèle, Microsoft a suivi un cluster ClickFix macOS qui est passé de la diffusion ouverte de commandes de terminal malveillantes à leur dissimulation derrière des portes d'empreinte numérique de navigateur côté serveur. L'opération s'étend sur plus de 250 domaines, dont beaucoup suivent des modèles de nommage algorithmiques tels que les constructions « filewordword ».

Lorsqu'un visiteur arrive sur l'un de ces domaines, une routine de profilage JavaScript légère collecte les attributs du navigateur, les signaux GPU WebGL, les décalages de fuseau horaire et le contexte iframe, puis transmet cette empreinte au serveur pour évaluation. Les requêtes qui échouent à ces vérifications — comme celles provenant de sandboxes, de machines virtuelles ou de navigateurs non macOS — reçoivent des pages leurres inoffensives ou un contenu vide. Les véritables visiteurs macOS, en revanche, se voient présenter une fausse page de téléchargement « Verified Publisher » contenant une commande de terminal malveillante.

Ce système de distribution de trafic livre des voleurs d'informations, notamment MacSync et Atomic Stealer, conçus pour extraire les données du trousseau, les identifiants de navigateur, les portefeuilles de cryptomonnaies et les clés SSH. Atomic Stealer, également suivi sous le nom d'AMOS, est devenu l'une des familles de logiciels malveillants macOS les plus actives commercialement, annoncée sur des forums de cybercriminalité et régulièrement mise à jour pour cibler des extensions de portefeuille et des magasins d'identifiants supplémentaires.

Bien que les techniques d'empreinte numérique ne soient pas nouvelles en elles-mêmes, leur intégration dans l'infrastructure ClickFix complique la détection et l'analyse automatisées en servant du contenu malveillant exclusivement à des victimes sélectivement qualifiées. Les organisations qui s'appuient sur l'analyse automatisée de contenu web ou sur l'analyse des menaces en sandbox peuvent ne pas capturer les charges utiles malveillantes de ces campagnes, ce qui souligne la valeur de la formation à la sensibilisation des utilisateurs finaux en tant que contrôle complémentaire.