Embed Notice

Tiens, encore une campagne, détectée et documentée par Fortinet, exploitant cette technique d'’ingénierie sociale, nommée ClickFix.
⬇️
Cette fois, l’attaque repose sur un faux message d’erreur généré via une pièce jointe HTML, incitant l’utilisateur à copier-coller un script dans son terminal.

L' affichage initial est pour l'instant moins convaincant, mais l'enchaînement est sophistiqué et dangereux.

L’attaque commence par un email piégé avec une pièce jointe HTML exploitant ClickFix. Ce fichier affiche un faux message d’erreur et demande à l’utilisateur de copier-coller un script PowerShell dans son terminal.

Une fois exécuté, le script télécharge un autre fichier hébergé sur SharePoint, contrôlé par l’attaquant. Ce fichier contient un script malveillant dont Fortinet a constaté que les messages de debug sont écrits en russe, ce qui donne un indice sur l’origine de l’attaque.

Ce fichier lance ensuite une chaîne d’infection furtive :
✔️ Il commence par analyser l’environnement pour éviter d’être détecté dans un bac à sable.
✔️ Si nécessaire, il installe Python discrètement pour exécuter du code malveillant.
✔️ Enfin, un script Python se charge d’injecter un shellcode conçu pour prendre le contrôle de l’ordinateur infecté.

C’est à ce stade qu’entre en jeu un puissant outil de cyberattaque red team open source : Havoc Demon. Il s’agit d’un framework utilisé pour prendre le contrôle complet de la machine infectée et lui envoyer des commandes à distance. Les attaquants ont ici modifié Havoc Demon pour le rendre plus discret et ont utilisé Microsoft Graph API afin de masquer les échanges entre la victime et leur serveur de contrôle.

Au lieu d’utiliser un serveur C2 classique, les attaquants ont modifié Havoc pour cacher leurs communications dans SharePoint, un service Microsoft largement utilisé en entreprise. Deux fichiers spécifiques servent à transmettre leurs commandes :

• {VictimID}pD9-tKout → Envoi des requêtes
• {VictimID}pD9-tKin → Réception des commandes

Ces fichiers sont chiffrés en AES-256 pour échapper aux analyses et manipulés discrètement via l’API Microsoft Graph avec des requêtes POST et GET.
⬇️
"Havoc: SharePoint with Microsoft Graph API turns into FUD C2"
👇
https://www.fortinet.com/blog/threat-research/havoc-sharepoint-with-microsoft-graph-api-turns-into-fud-c2

(Images tirées de l'article de Fortinet)