Comment l'attaque fonctionne : la technique EtherHiding

L'innovation clé—et la raison pour laquelle cette campagne est si difficile à neutraliser—réside dans la technique EtherHiding. Au lieu d'utiliser un serveur de commande et de contrôle (C2) traditionnel qui peut être mis hors ligne, les attaquants stockent directement leurs instructions malveillantes au sein de contrats intelligents de la BNB Smart Chain . Étant donné que seul le propriétaire du portefeuille (wallet) ayant déployé le contrat peut en modifier le contenu, il est virtuellement impossible de supprimer ces instructions via les méthodes de blocage ou de retrait traditionnelles . Cette campagne est liée à l'opération ClearFake, qui utilisait auparavant de fausses invites de mise à jour de navigateur pour distribuer des malwares .

La chaîne d'infection : d'un site web compromis au logiciel malveillant

L'attaque se déroule en une séquence d'étapes relativement courte, exploitant la confiance de l'utilisateur et les outils intégrés de Windows :

1. Compromission du site web – Les attaquants piratent des sites web légitimes (souvent des sites WordPress) et y injectent du JavaScript encodé en Base64 .
2. Interrogation de la blockchain – Le script injecté se connecte à une passerelle RPC de la BNB Smart Chain et interroge un contrat intelligent spécifique pour récupérer les instructions malveillantes de l'étape suivante .
3. Faux CAPTCHA – Le navigateur décode les instructions récupérées et affiche à l'utilisateur un écran de vérification CAPTCHA falsifié .
4. Ingénierie sociale (ClickFix/TerminalFix) – L'utilisateur est invité à appuyer sur les touches Windows+R pour ouvrir la boîte de dialogue Exécuter (ou à ouvrir Windows Terminal ou PowerShell), à coller la commande qui se trouve dans son presse-papiers et à l'exécuter . C'est la clé de l'arnaque : elle fait de la victime un participant involontaire à l'infection.
5. Exécution du malware – La commande collée télécharge et exécute la charge malveillante finale .

Outils Windows détournés (Living-off-the-Land)

Pour éviter la détection, les attaquants abusent massivement de composants Windows légitimes intégrés—une technique connue sous le nom de « living-off-the-land » (LOLBins) . Les outils observés dans cette campagne incluent :

• conhost – Hôte de console utilisé pour l'exécution de commandes
• PowerShell – Exécution de scripts et téléchargement de charges utiles
• cmd (Invité de commandes) – Exécution directe de commandes
• mshta – Exécution de fichiers HTA malveillants
• rundll32 – Chargement de DLL via la ligne de commande
• curl – Téléchargement de charges utiles de l'étape suivante
• WMI (Windows Management Instrumentation) – Pour le mouvement latéral ou la persistance
• Boîte de dialogue Exécuter de Windows – Le point d'exécution initial via le leurre ClickFix

En utilisant ces composants Microsoft de confiance, les attaquants peuvent contourner de nombreuses défenses traditionnelles des points de terminaison .

Familles de malwares distribuées

Cette campagne ne se limite pas à un seul type de malware. Elle sert de mécanisme de livraison pour une gamme de chevaux de Troie voleurs d'informations et d'accès à distance :

• Lumma Stealer – La charge utile principale observée dans de nombreux cas . Il récolte les mots de passe du navigateur, les identifiants de portefeuilles de cryptomonnaies, les cookies de session et d'autres données sensibles.
• XWorm (Xworm) – Un cheval de Troie d'accès à distance (RAT) capable de voler des données et de télécharger d'autres charges utiles.
• AsyncRAT – Un RAT open-source utilisé pour la surveillance, l'enregistrement des frappes clavier et le vol d'identifiants.
• MintsLoader – Un téléchargeur/chargeur qui installe des malwares supplémentaires sur le système compromis.
• Outils d'administration à distance – Des outils légitimes potentiellement détournés (ex. AnyDesk, logiciels de partage d'écran) pour assurer la persistance et le mouvement latéral.

Une exécution réussie peut entraîner l'exposition d'identifiants, la mise en place d'un accès persistant, un mouvement latéral au sein d'un réseau et, finalement, le déploiement d'un ransomware . Sur les systèmes macOS, la campagne a également été observée en train de distribuer MacSync et Atomic Stealer .

Mesures défensives recommandées par Microsoft

Microsoft a émis plusieurs recommandations pratiques pour se protéger contre cette campagne :

1. Activer la protection multicouche dans Microsoft Defender – Assurez-vous que la protection en temps réel, la protection cloud et la protection contre les falsifications sont toutes actives.
2. Restreindre les outils en ligne de commande – Utilisez AppLocker ou Windows Defender Application Control (WDAC) pour bloquer l'exécution non fiable d'outils comme PowerShell, mshta et rundll32.
3. Activer la journalisation des scripts PowerShell – Activez la journalisation des blocs de script et la transcription pour détecter les tentatives d'exécution de commandes obscurcies.
4. Sensibilisation des utilisateurs (l'étape la plus critique) – Ne collez jamais de commandes provenant de sources inconnues ou non vérifiées dans la boîte de dialogue Exécuter, le Terminal ou PowerShell. Un CAPTCHA légitime n'incitera jamais un utilisateur à effectuer l'une de ces actions.
5. Bloquer les points de terminaison RPC des contrats intelligents – Dans la mesure du possible, restreignez l'accès sortant aux passerelles RPC publiques de la BNB Smart Chain depuis les postes de travail qui n'ont pas besoin d'accéder à la blockchain.
6. Utiliser Microsoft Defender for SmartScreen – Cet outil aide à bloquer les pages web malveillantes au stade de l'accès initial, empêchant l'utilisateur de voir le faux CAPTCHA .

Détection et couverture

Bien que l'avis public de Microsoft n'ait pas fourni de liste exhaustive des noms de détection spécifiques de Microsoft Defender Antivirus pour cette campagne particulière , des recherches de sécurité connexes de juillet et août 2026 indiquent que Microsoft Defender for Endpoint offre une couverture comportementale pour :

• Les modèles d'exécution de type « living-off-the-land »
• Les activités suspectes liées à WebDAV et MSHTA
• L'exécution de PowerShell obscurcie
• La persistance via des tâches planifiées
• L'exécution de charges utiles en mémoire
• Le vol d'identifiants de navigateur

Le blog de Microsoft sur le ClickFix pour macOS, publié le 5 août 2026, documente que Microsoft Defender for SmartScreen bloque la page web malveillante, et que Defender XDR offre une couverture de surface sous des mappages de tactiques et techniques spécifiques . Les détections de Microsoft Defender Antivirus pour la famille de menaces ClickFix au sens large incluent des noms tels que Behavior:Win32/ClickFix, Trojan:Win32/ClickFix et Trojan:HTML/FakeCaptcha , bien que des signatures spécifiques pour les injections JavaScript liées à la BNB Chain de cette campagne aient été déployées mais n'aient pas été nommées individuellement dans l'avertissement public .

Comment l'attaque fonctionne : la technique EtherHiding

L'innovation clé—et la raison pour laquelle cette campagne est si difficile à neutraliser—réside dans la technique EtherHiding. Au lieu d'utiliser un serveur de commande et de contrôle (C2) traditionnel qui peut être mis hors ligne, les attaquants stockent directement leurs instructions malveillantes au sein de contrats intelligents de la BNB Smart Chain . Étant donné que seul le propriétaire du portefeuille (wallet) ayant déployé le contrat peut en modifier le contenu, il est virtuellement impossible de supprimer ces instructions via les méthodes de blocage ou de retrait traditionnelles . Cette campagne est liée à l'opération ClearFake, qui utilisait auparavant de fausses invites de mise à jour de navigateur pour distribuer des malwares .

La chaîne d'infection : d'un site web compromis au logiciel malveillant

L'attaque se déroule en une séquence d'étapes relativement courte, exploitant la confiance de l'utilisateur et les outils intégrés de Windows :

1. Compromission du site web – Les attaquants piratent des sites web légitimes (souvent des sites WordPress) et y injectent du JavaScript encodé en Base64 .
2. Interrogation de la blockchain – Le script injecté se connecte à une passerelle RPC de la BNB Smart Chain et interroge un contrat intelligent spécifique pour récupérer les instructions malveillantes de l'étape suivante .
3. Faux CAPTCHA – Le navigateur décode les instructions récupérées et affiche à l'utilisateur un écran de vérification CAPTCHA falsifié .
4. Ingénierie sociale (ClickFix/TerminalFix) – L'utilisateur est invité à appuyer sur les touches Windows+R pour ouvrir la boîte de dialogue Exécuter (ou à ouvrir Windows Terminal ou PowerShell), à coller la commande qui se trouve dans son presse-papiers et à l'exécuter . C'est la clé de l'arnaque : elle fait de la victime un participant involontaire à l'infection.
5. Exécution du malware – La commande collée télécharge et exécute la charge malveillante finale .

Outils Windows détournés (Living-off-the-Land)

Pour éviter la détection, les attaquants abusent massivement de composants Windows légitimes intégrés—une technique connue sous le nom de « living-off-the-land » (LOLBins) . Les outils observés dans cette campagne incluent :

• conhost – Hôte de console utilisé pour l'exécution de commandes
• PowerShell – Exécution de scripts et téléchargement de charges utiles
• cmd (Invité de commandes) – Exécution directe de commandes
• mshta – Exécution de fichiers HTA malveillants
• rundll32 – Chargement de DLL via la ligne de commande
• curl – Téléchargement de charges utiles de l'étape suivante
• WMI (Windows Management Instrumentation) – Pour le mouvement latéral ou la persistance
• Boîte de dialogue Exécuter de Windows – Le point d'exécution initial via le leurre ClickFix

En utilisant ces composants Microsoft de confiance, les attaquants peuvent contourner de nombreuses défenses traditionnelles des points de terminaison .

Familles de malwares distribuées

Cette campagne ne se limite pas à un seul type de malware. Elle sert de mécanisme de livraison pour une gamme de chevaux de Troie voleurs d'informations et d'accès à distance :

• Lumma Stealer – La charge utile principale observée dans de nombreux cas . Il récolte les mots de passe du navigateur, les identifiants de portefeuilles de cryptomonnaies, les cookies de session et d'autres données sensibles.
• XWorm (Xworm) – Un cheval de Troie d'accès à distance (RAT) capable de voler des données et de télécharger d'autres charges utiles.
• AsyncRAT – Un RAT open-source utilisé pour la surveillance, l'enregistrement des frappes clavier et le vol d'identifiants.
• MintsLoader – Un téléchargeur/chargeur qui installe des malwares supplémentaires sur le système compromis.
• Outils d'administration à distance – Des outils légitimes potentiellement détournés (ex. AnyDesk, logiciels de partage d'écran) pour assurer la persistance et le mouvement latéral.

Une exécution réussie peut entraîner l'exposition d'identifiants, la mise en place d'un accès persistant, un mouvement latéral au sein d'un réseau et, finalement, le déploiement d'un ransomware . Sur les systèmes macOS, la campagne a également été observée en train de distribuer MacSync et Atomic Stealer .

Mesures défensives recommandées par Microsoft

Microsoft a émis plusieurs recommandations pratiques pour se protéger contre cette campagne :

1. Activer la protection multicouche dans Microsoft Defender – Assurez-vous que la protection en temps réel, la protection cloud et la protection contre les falsifications sont toutes actives.
2. Restreindre les outils en ligne de commande – Utilisez AppLocker ou Windows Defender Application Control (WDAC) pour bloquer l'exécution non fiable d'outils comme PowerShell, mshta et rundll32.
3. Activer la journalisation des scripts PowerShell – Activez la journalisation des blocs de script et la transcription pour détecter les tentatives d'exécution de commandes obscurcies.
4. Sensibilisation des utilisateurs (l'étape la plus critique) – Ne collez jamais de commandes provenant de sources inconnues ou non vérifiées dans la boîte de dialogue Exécuter, le Terminal ou PowerShell. Un CAPTCHA légitime n'incitera jamais un utilisateur à effectuer l'une de ces actions.
5. Bloquer les points de terminaison RPC des contrats intelligents – Dans la mesure du possible, restreignez l'accès sortant aux passerelles RPC publiques de la BNB Smart Chain depuis les postes de travail qui n'ont pas besoin d'accéder à la blockchain.
6. Utiliser Microsoft Defender for SmartScreen – Cet outil aide à bloquer les pages web malveillantes au stade de l'accès initial, empêchant l'utilisateur de voir le faux CAPTCHA .

Détection et couverture

Bien que l'avis public de Microsoft n'ait pas fourni de liste exhaustive des noms de détection spécifiques de Microsoft Defender Antivirus pour cette campagne particulière , des recherches de sécurité connexes de juillet et août 2026 indiquent que Microsoft Defender for Endpoint offre une couverture comportementale pour :

• Les modèles d'exécution de type « living-off-the-land »
• Les activités suspectes liées à WebDAV et MSHTA
• L'exécution de PowerShell obscurcie
• La persistance via des tâches planifiées
• L'exécution de charges utiles en mémoire
• Le vol d'identifiants de navigateur

Le blog de Microsoft sur le ClickFix pour macOS, publié le 5 août 2026, documente que Microsoft Defender for SmartScreen bloque la page web malveillante, et que Defender XDR offre une couverture de surface sous des mappages de tactiques et techniques spécifiques . Les détections de Microsoft Defender Antivirus pour la famille de menaces ClickFix au sens large incluent des noms tels que Behavior:Win32/ClickFix, Trojan:Win32/ClickFix et Trojan:HTML/FakeCaptcha , bien que des signatures spécifiques pour les injections JavaScript liées à la BNB Chain de cette campagne aient été déployées mais n'aient pas été nommées individuellement dans l'avertissement public .