2026-04-06T11:14:17Z https://yabu.me :mastodon: decio https://yabu.me/npub1wxw7z8ul73kw659g98zdn8at3jtldkeqnkne5e99kur9puukv4tsvkn4xd https://media.infosec.exchange/infosec.exchange/accounts/avatars/109/292/170/028/958/587/original/7edbe1d1d012be10.png https://media.infosec.exchange/infosec.exchange/accounts/avatars/109/292/170/028/958/587/original/7edbe1d1d012be10.png https://yabu.me/nevent1qqstltwqc7psvvhcdut4qsvpnhh0wgng0rlc7nj0cfqr26tyhda7l0szypcemcglnl6xem2s4q5ufkvl4wxf0akmyzw60xny5kmsv58njej4wexl3tp In reply to <a href='/nevent1qqs9hdpud0vu65mxnla5a9twsupaksnem04lw5lhqaa67myj6dz0j6szvdkys'>nevent1q…dkys</a><br/>_________________________<br/><br/>Go home ClickFix, your are drunk ! :ablobspin: <br/><br/>*&#34;The Lures: Visual Deception<br/>ErrTraffic distinguishes itself through its visual payloads. It modifies the DOM of the webpage to create chaos.&#34;*<br/>👇 <br/><a href="https://www.infostealers.com/article/the-industrialization-of-clickfix-inside-errtraffic/">https://www.infostealers.com/article/the-industrialization-of-clickfix-inside-errtraffic/</a><br/><br/>#ClickFix<br/><video controls width="100%" class="max-h-[90vh] bg-neutral-300 dark:bg-zinc-700"><source src="https://media.infosec.exchange/infosec.exchange/media_attachments/files/115/803/517/270/047/683/original/965bfcaccd5dd065.mp4"></video><br/> 2025-12-29T15:19:41Z https://yabu.me/nevent1qqs9hdpud0vu65mxnla5a9twsupaksnem04lw5lhqaa67myj6dz0j6szypcemcglnl6xem2s4q5ufkvl4wxf0akmyzw60xny5kmsv58njej4wplrt6x In reply to <a href='/nevent1qqsyavajzteuveac9c34xn2hu5652wu2hp08m37fxrmwcnj8y2kgsnc0n35at'>nevent1q…35at</a><br/>_________________________<br/><br/>[ 🧰 Tool] <br/><br/>#ClickFix Hunter<br/>by<br/><a href="https://github.com/cdup07">https://github.com/cdup07</a><br/><br/>&#34;This site showcases collected ClickFix domains, complete with before &amp; after screenshots and the malicious clipboard commands attackers attempt to trick users into running.&#34;<br/>👀 <br/>👇 <br/><a href="https://clickfix.carsonww.com/">https://clickfix.carsonww.com/</a> <br/><br/>#CyberVeille #outils #infosec 2025-12-18T11:16:50Z https://yabu.me/nevent1qqsyavajzteuveac9c34xn2hu5652wu2hp08m37fxrmwcnj8y2kgsnczypcemcglnl6xem2s4q5ufkvl4wxf0akmyzw60xny5kmsv58njej4wp4m6tc In reply to <a href='/nevent1qqs2vtvcxlmzd24fts6kdrnwmylhr70encpj8y7u7nkh4f286tvjhls9u694e'>nevent1q…694e</a><br/>_________________________<br/><br/>La nouvelle variante avec les fausses mises à jour Windows observée par <span itemprop="mentions" itemscope itemtype="https://schema.org/Person"><a itemprop="url" href="/npub1w3sdumayqf05g20hvvwj52h407y9d444xl4e23n9vk3mtdkzhdxqqllftm" class="bg-lavender dark:prose:text-neutral-50 dark:text-neutral-50 dark:bg-garnet px-1"><span>Andrea Draghetti 🎣</span> (<span class="italic">npub1w3s…lftm</span>)</a></span> a été analysée par Huntress.<br/><br/>A part la nouvelle leurre en scénographie de &#34;mise à jour&#34;, il y a de la créativité (diversification évasive) aussi dans le déroulement avec de la sténographie pour la récupération du Loader <br/>⬇️ <br/>&#34;ClickFix Gets Creative: Malware Buried in Images&#34;<br/>👇 <br/><a href="https://www.huntress.com/blog/clickfix-malware-buried-in-images">https://www.huntress.com/blog/clickfix-malware-buried-in-images</a><br/><br/>Dans les news #Infosec<br/>⬇️ <br/>&#34;ClickFix attack uses fake Windows Update screen to push malware&#34;<br/>👇 <br/><a href="https://www.bleepingcomputer.com/news/security/clickfix-attack-uses-fake-windows-update-screen-to-push-malware/">https://www.bleepingcomputer.com/news/security/clickfix-attack-uses-fake-windows-update-screen-to-push-malware/</a><br/><br/>#CyberVeille #ClickFix <br/>Fix<br/> <img src="https://media.infosec.exchange/infosec.exchange/media_attachments/files/115/609/159/829/178/375/original/3aa7b43df03c838a.png"> <br/> <img src="https://media.infosec.exchange/infosec.exchange/media_attachments/files/115/609/159/829/424/845/original/048c065ac3e51806.png"> <br/> 2025-11-25T07:31:16Z https://yabu.me/nevent1qqs2vtvcxlmzd24fts6kdrnwmylhr70encpj8y7u7nkh4f286tvjhlszypcemcglnl6xem2s4q5ufkvl4wxf0akmyzw60xny5kmsv58njej4wxrcxvy In reply to <a href='/nevent1qqsgj7guwq7ggcfkqprnjyfqp72csn7znf03gxtlte8k8g57t8kanacknuk06'>nevent1q…uk06</a><br/>_________________________<br/><br/>Que la technique **clickfix** soit désormais l’une des préférées des acteurs malveillants pour obtenir le premier accès, c’est plus que confirmé. Leur imagination et leur investissement pour construire le leurre, autant sur le plan de l’ingénierie sociale que sur le plan technique, ne cessent de se diversifier.<br/><br/>Dans mes lectures récentes, j’ai vu passer deux cas assez exemplaires.<br/><br/>D’abord, une variante de clickfix dont la scénographie graphique repose sur de faux écrans de mise à jour Windows pour mettre la pression sur l’utilisateur: un classique, mais remis au goût du jour de manière particulièrement convaincante.<br/>⬇️ <br/>Trouvé et publié par le chercheur <span itemprop="mentions" itemscope itemtype="https://schema.org/Person"><a itemprop="url" href="/npub1w3sdumayqf05g20hvvwj52h407y9d444xl4e23n9vk3mtdkzhdxqqllftm" class="bg-lavender dark:prose:text-neutral-50 dark:text-neutral-50 dark:bg-garnet px-1"><span>Andrea Draghetti 🎣</span> (<span class="italic">npub1w3s…lftm</span>)</a></span> (video inside) :<br/>👇 <a href="https://www.linkedin.com/posts/andreadraghetti_threatintelligence-malware-clickfix-activity-7394764793380864000-u34n">https://www.linkedin.com/posts/andreadraghetti_threatintelligence-malware-clickfix-activity-7394764793380864000-u34n</a><br/><br/>Et côté technique… je dois avouer que je n’avais pas imaginé que le bon vieux *finger* puisse être détourné comme lolbin ...windows pour récupérer la charge active. 🙃<br/>⬇️ <br/>&#34;Decades-old ‘Finger’ protocol abused in ClickFix malware attacks&#34;<br/>👇 <br/><a href="https://www.bleepingcomputer.com/news/security/decades-old-finger-protocol-abused-in-clickfix-malware-attacks/">https://www.bleepingcomputer.com/news/security/decades-old-finger-protocol-abused-in-clickfix-malware-attacks/</a><br/><br/>Encore une bizarrerie de plus à garder sous monitoring, côté blue de la Force.<br/><br/>Le navigateur web est en train de devenir la surface névralgique d’entrée : capacités et permissions étendues, perception de confiance côté utilisateur, plugins, et rôle central dans le travail quotidien.<br/><br/>#CyberVeille #clickfix<br/> <img src="https://media.infosec.exchange/infosec.exchange/media_attachments/files/115/559/005/075/992/724/original/9707133639ce5422.png"> <br/> 2025-11-16T10:59:22Z https://yabu.me/nevent1qqsgj7guwq7ggcfkqprnjyfqp72csn7znf03gxtlte8k8g57t8kanaczypcemcglnl6xem2s4q5ufkvl4wxf0akmyzw60xny5kmsv58njej4wmxnysy In reply to <a href='/nevent1qqstd5qtualuf23zrz7xxl7x8k46uf3yqadv5zr9ge6f7n500kz50dcgu6ezn'>nevent1q…6ezn</a><br/>_________________________<br/><br/>WOW 😳 ici, beaucoup d’investissement dans le look &amp; feel du faux captcha &#34;CloudFlare&#34;<br/><br/>Les acteurs malveillants continuent à peaufiner leurs leurres psychologiques pour bypasser les sécurités système et l’intuition utilisateur.<br/>On voit clairement l’évolution du social engineering appliqué au clic « anodin ».<br/>⬇️ <br/>&#34;The most advanced ClickFix yet?&#34;<br/>👇 <br/><a href="https://pushsecurity.com/blog/the-most-advanced-clickfix-yet/">https://pushsecurity.com/blog/the-most-advanced-clickfix-yet/</a><br/><br/>#CyberVeille #clickfix 2025-11-08T14:38:24Z https://yabu.me/nevent1qqstcqqymyh2yux03dysuz9r3jy44y39rg784kupn53t7dn4tdduc3qzypcemcglnl6xem2s4q5ufkvl4wxf0akmyzw60xny5kmsv58njej4w9k76z9 In reply to <a href='/nevent1qqsqmf3l4xwcppdlh3xxhzqqjynef90nrgnn0m95ze4fec0wvzqgzkg5537cq'>nevent1q…37cq</a><br/>_________________________<br/><br/>👍 thx<br/><br/>the 2nd proof link <a href="https://archive.ph/WqCdu">https://archive.ph/WqCdu</a><br/> <img src="https://media.infosec.exchange/infosec.exchange/media_attachments/files/115/304/585/216/294/012/original/43df970a0f6a261a.png"> <br/> 2025-10-02T12:32:41Z https://yabu.me/nevent1qqsv8t6nxw3ak2phzjw389q3sqqwqal0vnz2rtrppwum49j7lm45hwqzypcemcglnl6xem2s4q5ufkvl4wxf0akmyzw60xny5kmsv58njej4w6rmee8 In reply to <a href='/nevent1qqsvm3vqfdpt7d89lt72wd9avtv7w3zgslglmv64v9qfmmatfvu8mcsjmk2nr'>nevent1q…k2nr</a><br/>_________________________<br/><br/>Sending a small contribution, along with heartfelt thoughts for your brother and his family.<br/>Wishing you all the best in this difficult time. 2025-06-26T13:28:44Z https://yabu.me/nevent1qqstd5qtualuf23zrz7xxl7x8k46uf3yqadv5zr9ge6f7n500kz50dczypcemcglnl6xem2s4q5ufkvl4wxf0akmyzw60xny5kmsv58njej4wzwjyju In reply to <a href='/nevent1qqs84dw4f4tcdfpw2n40ceww89cqtfrc8kcj6v4vwklrz82e9vy7jkc5jvkeh'>nevent1q…vkeh</a><br/>_________________________<br/><br/>[related]<br/><br/>ClickFix : Une Technique d&#39;Ingénierie Sociale en Pleine Expansion&lt;li&gt;&lt;p&gt;ClickFix est une technique d&#39;ingénierie sociale qui piège les utilisateurs en les incitant à exécuter des commandes PowerShell malveillantes, automatiquement copiées dans leur presse-papiers.&lt;/p&gt;&lt;/li&gt;&lt;li&gt;&lt;p&gt;Observée pour la première fois en octobre 2023, cette méthode a connu une adoption mondiale significative vers la fin de l&#39;année 2024.&lt;/p&gt;&lt;/li&gt;&lt;li&gt;&lt;p&gt;Elle repose principalement sur des pages factices de reCAPTCHA et des faux messages de protection contre les bots pour tromper les victimes.&lt;/p&gt;&lt;/li&gt;&lt;li&gt;&lt;p&gt;Lumma est le voleur d&#39;informations (infostealer) le plus fréquemment distribué via les campagnes analysées. &lt;/p&gt;&lt;/li&gt;&lt;li&gt;&lt;p&gt;L&#39;efficacité de cette technique a même conduit certains groupes APT (Advanced Persistent Threat) parrainés par des États à l&#39;adopter.&lt;/p&gt;&lt;/li&gt;<br/><br/>source<br/>&#34;ClickFix: The Social Engineering Technique Hackers Use to Manipulate Victims&#34;<br/>👇 <br/><a href="https://www.group-ib.com/blog/clickfix-the-social-engineering-technique-hackers-use-to-manipulate-victims/">https://www.group-ib.com/blog/clickfix-the-social-engineering-technique-hackers-use-to-manipulate-victims/</a><br/><br/>#ClickFix #CyberVeille<br/> <img src="https://media.infosec.exchange/infosec.exchange/media_attachments/files/114/161/673/675/360/749/original/ec85f30be039c892.png"> <br/> 2025-03-14T16:17:17Z https://yabu.me/nevent1qqs84dw4f4tcdfpw2n40ceww89cqtfrc8kcj6v4vwklrz82e9vy7jkczypcemcglnl6xem2s4q5ufkvl4wxf0akmyzw60xny5kmsv58njej4w9gkxtn In reply to <a href='/nevent1qqsxxsh5wlaxu04fwh8sp8fh8fh93f7vdhz29h8jqyf3hyyghzdsvdgr77k5z'>nevent1q…7k5z</a><br/>_________________________<br/><br/>et un autre exemple très parlant de cette technique ClickFix déployée pour inciter le personnel des hôtel à installer un logiciel malveillant sur leur poste administratif dans la chaine d&#39;attaque visant les clients booking<br/>⬇️<br/>&#34;Les hôtels et leur clientèle, des cibles de choix pour les cybercriminels&#34;<br/> 👇 <br/><a href="https://www.ncsc.admin.ch/ncsc/fr/home/aktuell/im-fokus/2025/wochenrueckblick_9.html">https://www.ncsc.admin.ch/ncsc/fr/home/aktuell/im-fokus/2025/wochenrueckblick_9.html</a><br/><br/>#CyberVeille #ClickFix<br/> <img src="https://media.infosec.exchange/infosec.exchange/media_attachments/files/114/110/378/776/171/293/original/c3056726ac1dd04a.jpg"> <br/> <img src="https://media.infosec.exchange/infosec.exchange/media_attachments/files/114/110/378/785/623/307/original/e6800c55f71f845e.png"> <br/> 2025-03-05T14:54:20Z https://yabu.me/nevent1qqsxxsh5wlaxu04fwh8sp8fh8fh93f7vdhz29h8jqyf3hyyghzdsvdgzypcemcglnl6xem2s4q5ufkvl4wxf0akmyzw60xny5kmsv58njej4wwxw97w In reply to <a href='/nevent1qqsgjvd47phs06xapwysvhkf5jffa0zu2vaak0kftrplzqqxejf90scf7ylj9'>nevent1q…ylj9</a><br/>_________________________<br/><br/>Tiens, encore une campagne, détectée et documentée par Fortinet, exploitant cette technique d&#39;’ingénierie sociale, nommée ClickFix.<br/>⬇️ <br/>Cette fois, l’attaque repose sur un faux message d’erreur généré via une pièce jointe HTML, incitant l’utilisateur à copier-coller un script dans son terminal.<br/><br/>L&#39; affichage initial est pour l&#39;instant moins convaincant, mais l&#39;enchaînement est sophistiqué et dangereux.<br/><br/>L’attaque commence par un email piégé avec une pièce jointe HTML exploitant ClickFix. Ce fichier affiche un faux message d’erreur et demande à l’utilisateur de copier-coller un script PowerShell dans son terminal.<br/><br/>Une fois exécuté, le script télécharge un autre fichier hébergé sur SharePoint, contrôlé par l’attaquant. Ce fichier contient un script malveillant dont Fortinet a constaté que les messages de debug sont écrits en russe, ce qui donne un indice sur l’origine de l’attaque.<br/><br/>Ce fichier lance ensuite une chaîne d’infection furtive :<br/>✔️ Il commence par analyser l’environnement pour éviter d’être détecté dans un bac à sable.<br/>✔️ Si nécessaire, il installe Python discrètement pour exécuter du code malveillant.<br/>✔️ Enfin, un script Python se charge d’injecter un shellcode conçu pour prendre le contrôle de l’ordinateur infecté.<br/><br/>C’est à ce stade qu’entre en jeu un puissant outil de cyberattaque red team open source : Havoc Demon. Il s’agit d’un framework utilisé pour prendre le contrôle complet de la machine infectée et lui envoyer des commandes à distance. Les attaquants ont ici modifié Havoc Demon pour le rendre plus discret et ont utilisé Microsoft Graph API afin de masquer les échanges entre la victime et leur serveur de contrôle.<br/><br/>Au lieu d’utiliser un serveur C2 classique, les attaquants ont modifié Havoc pour cacher leurs communications dans SharePoint, un service Microsoft largement utilisé en entreprise. Deux fichiers spécifiques servent à transmettre leurs commandes :&lt;li&gt; {VictimID}pD9-tKout → Envoi des requêtes&lt;/li&gt;&lt;li&gt;{VictimID}pD9-tKin → Réception des commandes&lt;/li&gt;<br/><br/>Ces fichiers sont chiffrés en AES-256 pour échapper aux analyses et manipulés discrètement via l’API Microsoft Graph avec des requêtes POST et GET.<br/>⬇️ <br/>&#34;Havoc: SharePoint with Microsoft Graph API turns into FUD C2&#34;<br/>👇 <br/><a href="https://www.fortinet.com/blog/threat-research/havoc-sharepoint-with-microsoft-graph-api-turns-into-fud-c2">https://www.fortinet.com/blog/threat-research/havoc-sharepoint-with-microsoft-graph-api-turns-into-fud-c2</a><br/><br/>(Images tirées de l&#39;article de Fortinet)<br/> <img src="https://media.infosec.exchange/infosec.exchange/media_attachments/files/114/103/113/259/549/004/original/aa82eb62ead6ea47.jpeg"> <br/> <img src="https://media.infosec.exchange/infosec.exchange/media_attachments/files/114/103/113/258/921/542/original/f8327430cff87de7.jpeg"> <br/> <img src="https://media.infosec.exchange/infosec.exchange/media_attachments/files/114/103/127/751/462/625/original/89b877bf3df0d1d0.jpeg"> <br/> 2025-03-04T08:07:37Z https://yabu.me/nevent1qqsgjvd47phs06xapwysvhkf5jffa0zu2vaak0kftrplzqqxejf90sczypcemcglnl6xem2s4q5ufkvl4wxf0akmyzw60xny5kmsv58njej4wasnlcn In reply to <a href='/nevent1qqsr3mxpla98ml3s52k6dzsqe8a3zsj3zv8cps25s62ekljgxewcw0smfu4dr'>nevent1q…u4dr</a><br/>_________________________<br/><br/>⚠️ Même système d’ingénierie sociale, encore plus simple dans l’environnement macOS <br/><br/>Au lieu d’un copier-coller d’une commande malveillante, cette attaque exploite une manipulation bien connue des utilisateurs Mac : le glisser-déposer utilisé habituellement pour installer des applications.<br/><br/>Dans ce cas, un script malveillant est déguisé en application Microsoft Teams. L’utilisateur est incité à le glisser dans le Terminal pour l’exécuter, pensant suivre une procédure d’installation classique.<br/><br/>( via <span itemprop="mentions" itemscope itemtype="https://schema.org/Person"><a itemprop="url" href="/npub12xhpqz0ygq7cy87pcyhpf06tgr0yf37uv9mcnzzqeg00n70tca5q0vzxeq" class="bg-lavender dark:prose:text-neutral-50 dark:text-neutral-50 dark:bg-garnet px-1"><span>Will Dormann</span> (<span class="italic">npub12xh…zxeq</span>)</a></span> &amp; JAMESWT_MHT on the bad site)<br/><br/>👀 <br/>⬇️ <br/><a href="https://www.virustotal.com/gui/file/dd8bd825fd2149b027cadb38cbc53e0fc818c4cebf7f7792d8c541928464a751/behavior">https://www.virustotal.com/gui/file/dd8bd825fd2149b027cadb38cbc53e0fc818c4cebf7f7792d8c541928464a751/behavior</a><br/><br/>🦠 <br/>⬇️ <br/><a href="https://bazaar.abuse.ch/sample/dd8bd825fd2149b027cadb38cbc53e0fc818c4cebf7f7792d8c541928464a751/">https://bazaar.abuse.ch/sample/dd8bd825fd2149b027cadb38cbc53e0fc818c4cebf7f7792d8c541928464a751/</a><br/><br/>#cCyberVeille #clickfix #macos<br/> <img src="https://media.infosec.exchange/infosec.exchange/media_attachments/files/113/991/642/024/803/310/original/1331041f862a0664.jpg"> <br/> 2025-02-12T15:38:59Z https://yabu.me/nevent1qqsr3mxpla98ml3s52k6dzsqe8a3zsj3zv8cps25s62ekljgxewcw0szypcemcglnl6xem2s4q5ufkvl4wxf0akmyzw60xny5kmsv58njej4wdskqhw In reply to <a href='/nevent1qqsg9fk5jlkpspzgdalev2zmts58p0t8hpnsu0vchdz55pxu6m6f27q5kdyye'>nevent1q…dyye</a><br/>_________________________<br/><br/>et ça continue... <br/><br/>Variante exploitant les services de campagnes publicitaires en ligne pour balancer des pages ClickFix lors de la navigation<br/><br/>Une campagne de malvertising de type &#34;ClickFix&#34;, nommée &#34;DeceptionAds&#34;, exploite le réseau publicitaire légitime Monetag pour rediriger les internautes vers de fausses pages CAPTCHA. Ces dernières incitent les victimes à exécuter manuellement une commande PowerShell malveillante, installant toujours et encore, le malware Lumma Stealer. Bien que l’opération ait été interrompue, les attaquants ont tenté de reprendre leurs activités via d’autres réseaux publicitaires.<br/>⬇️ <br/>“DeceptionAds” — Fake Captcha Driving Infostealer Infections and a Glimpse to the Dark Side of Internet Advertising&#34;<br/>👇 <br/><a href="https://labs.guard.io/deceptionads-fake-captcha-driving-infostealer-infections-and-a-glimpse-to-the-dark-side-of-0c516f4dc0b6">https://labs.guard.io/deceptionads-fake-captcha-driving-infostealer-infections-and-a-glimpse-to-the-dark-side-of-0c516f4dc0b6</a><br/><br/>[dans les news infosec]<br/>⬇️ <br/>Malicious ads push Lumma infostealer via fake CAPTCHA pages<br/>👇 <br/><a href="https://www.bleepingcomputer.com/news/security/malicious-ads-push-lumma-infostealer-via-fake-captcha-pages/">https://www.bleepingcomputer.com/news/security/malicious-ads-push-lumma-infostealer-via-fake-captcha-pages/</a><br/><br/>#CyberVeille #Clickfix #LummaStealer<br/><video controls width="100%" class="max-h-[90vh] bg-neutral-300 dark:bg-zinc-700"><source src="https://media.infosec.exchange/infosec.exchange/media_attachments/files/113/664/306/645/907/930/original/8c08bd1f8de18f0b.mp4"></video><br/> 2024-12-16T20:10:32Z https://yabu.me/nevent1qqsg9fk5jlkpspzgdalev2zmts58p0t8hpnsu0vchdz55pxu6m6f27qzypcemcglnl6xem2s4q5ufkvl4wxf0akmyzw60xny5kmsv58njej4wlzp8tt In reply to <a href='/nevent1qqsrtzrpn68lmsa965jej57v7kj0ytz5q54gqqkhj32k585m4vnnn9gkrsfnn'>nevent1q…sfnn</a><br/>_________________________<br/><br/>Workflow d’une campagne d&#39;ingénierie sociale &#34;ClickFix&#34;, distribuant le malware Emmenhtal ( 🧀 ainsi nommé par Orange Cyberdefense :) <a href="https://www.orangecyberdefense.com/global/blog/cert-news/emmenhtal-a-little-known-loader-distributing-commodity-infostealers-worldwide">https://www.orangecyberdefense.com/global/blog/cert-news/emmenhtal-a-little-known-loader-distributing-commodity-infostealers-worldwide</a> ) → Déploie Lumma Stealer <br/><br/>1️⃣ WordPress compromis : injection d’un JS obfusqué ( <a href="https://urlscan.io/search/#filename%3A%22%2Frecaptcha%2Fabout%2Fimages%2FreCAPTCHA-logo%22">https://urlscan.io/search/#filename%3A%22%2Frecaptcha%2Fabout%2Fimages%2FreCAPTCHA-logo%22</a> ) pour afficher un faux CAPTCHA uniquement pour les visiteurs Windows.<br/><br/>2️⃣ Leurrer l’utilisateur : le faux CAPTCHA les incite à copier-coller un code PowerShell.<br/><br/>3️⃣ Utilisation d’un LOLBIN : ce code utilise l’utilitaire natif mshta.exe pour &#34;jouer&#34; une fausse vidéo ( <a href="https://www.virustotal.com/gui/file/74f22344728037b80b1b49340e3bcd3abd5a9abc89a36169ed59d9c674da49f2/content">https://www.virustotal.com/gui/file/74f22344728037b80b1b49340e3bcd3abd5a9abc89a36169ed59d9c674da49f2/content</a> ) via une URL. <br/><br/>4️⃣ Payload en arrière-plan : en douce, le code exécute le malware deobfusqué via padding. 🎯<br/><br/><a href="https://app.any.run/tasks/ece5a78a-fcca-4a38-882a-5b15780cfd53">https://app.any.run/tasks/ece5a78a-fcca-4a38-882a-5b15780cfd53</a><br/><br/><a href="https://any.run/report/9e4edd0173059d3083b1ccde61e43d9db59cb58fc566f0f84778ee5ec844e515/ece5a78a-fcca-4a38-882a-5b15780cfd53">https://any.run/report/9e4edd0173059d3083b1ccde61e43d9db59cb58fc566f0f84778ee5ec844e515/ece5a78a-fcca-4a38-882a-5b15780cfd53</a><br/><br/>#CyberVeille #ClickFix<br/> <img src="https://media.infosec.exchange/infosec.exchange/media_attachments/files/113/639/615/406/471/903/original/f9fef1a550e7757a.jpg"> <br/> <img src="https://media.infosec.exchange/infosec.exchange/media_attachments/files/113/639/615/952/887/576/original/f97a0de538503041.png"> <br/> 2024-12-12T13:31:47Z https://yabu.me/nevent1qqsrtzrpn68lmsa965jej57v7kj0ytz5q54gqqkhj32k585m4vnnn9gzypcemcglnl6xem2s4q5ufkvl4wxf0akmyzw60xny5kmsv58njej4wm753ht In reply to <a href='/nevent1qqs8lu945tmzhtmtnj2tvxj8p3whz2k3pyeuq8jjhtp6v5n6xdw2jsca2pgmk'>nevent1q…pgmk</a><br/>_________________________<br/><br/>et voilà , trend observé et confirmé aussi en 🇨🇭 par notre Office fédéral de la cybersécurité<br/>⬇️ <br/>&#34;La semaine dernière, l’OFCS a reçu une avalanche de signalements concernant des pages web compromises, destinées à faire croire aux internautes qu’il fallait mettre à jour le navigateur ou résoudre un #CAPTCHA. Le but est d’infecter les appareils des victimes par des maliciels.&#34;<br/>⬇️ <br/>&#34;Semaine 45 : Comment les pirates tentent de répandre des maliciels au moyen de CAPTCHA frauduleux et de prétendues mises à jour&#34;<br/>👇 <br/><a href="https://www.ncsc.admin.ch/ncsc/fr/home/aktuell/im-fokus/2024/wochenrueckblick_45.html">https://www.ncsc.admin.ch/ncsc/fr/home/aktuell/im-fokus/2024/wochenrueckblick_45.html</a><br/><br/>#CyberVeille #clickfix #Suisse 2024-11-13T10:10:02Z https://yabu.me/nevent1qqs8lu945tmzhtmtnj2tvxj8p3whz2k3pyeuq8jjhtp6v5n6xdw2jsczypcemcglnl6xem2s4q5ufkvl4wxf0akmyzw60xny5kmsv58njej4wg8xxfv In reply to <a href='/nevent1qqsxwfs6prp38nfnl5e77gfrva5km7xvtvvm9rc8sxj06shpc070rlcv6jpx7'>nevent1q…jpx7</a><br/>_________________________<br/><br/>Hélas, cette technique d&#39;ingénierie sociale, ClickFix, qui pousse les utilisateurs à copier-coller des commandes, fonctionne. Dernièrement, on recense plusieurs signalements dans les forums et auprès des centres de compétence en cybersécurité.<br/>👇 <br/><a href="https://infosec.exchange/@malmoeb/113458752985336077">https://infosec.exchange/@malmoeb/113458752985336077</a><br/><br/>Confirmé par des chercheurs spécialisés en malware, cette méthode est de plus en plus utilisée par divers acteurs malveillants pour initier le premier stade de compromission.<br/>👇 <br/><a href="https://ioc.exchange/@ineiti/113436360526528208">https://ioc.exchange/@ineiti/113436360526528208</a> 2024-11-10T13:40:05Z https://yabu.me/nevent1qqsp2r83xvpcl4wpv7uy7szkrtwwlg0hctttgxwka7hxsc5yte39rsqzypcemcglnl6xem2s4q5ufkvl4wxf0akmyzw60xny5kmsv58njej4wky5atf In reply to <a href='/nevent1qqswwe8wap2qrldfrx4as0vkpkllp8n477x6a4ex2932uyesf3u48nslu28v9'>nevent1q…28v9</a><br/>_________________________<br/><br/>click click click 🕹️ 😁<br/><video controls width="100%" class="max-h-[90vh] bg-neutral-300 dark:bg-zinc-700"><source src="https://media.infosec.exchange/infosec.exchange/media_attachments/files/113/414/515/694/091/241/original/4d9abee75db4628c.mp4"></video><br/> 2024-11-02T17:26:34Z https://yabu.me/nevent1qqswwe8wap2qrldfrx4as0vkpkllp8n477x6a4ex2932uyesf3u48nszypcemcglnl6xem2s4q5ufkvl4wxf0akmyzw60xny5kmsv58njej4w7ta87r It&#39;s mind-blowing that in 2024, I&#39;m kicking back with a brand-new, top-tier game on my Amiga500! Roguecraft is an insanely well-crafted isometric roguelike, complete with procedurally generated levels and an epic soundtrack. 👾<br/>🕹️ <br/>👇 <br/><a href="https://thalamusdigital.itch.io/roguecraft">https://thalamusdigital.itch.io/roguecraft</a><br/>👇 <br/><a href="https://www.badgerpunch.com/title/roguecraft/">https://www.badgerpunch.com/title/roguecraft/</a><br/><br/>#RetroGaming<br/>#Amiga <br/>#Amiga500<br/> <img src="https://media.infosec.exchange/infosec.exchange/media_attachments/files/113/414/492/491/340/620/original/aba9b9d552a640f2.jpeg"> <br/> <img src="https://media.infosec.exchange/infosec.exchange/media_attachments/files/113/414/492/492/451/291/original/09cd0edd46a3426c.jpeg"> <br/> 2024-11-02T17:20:22Z https://yabu.me/nevent1qqsxwfs6prp38nfnl5e77gfrva5km7xvtvvm9rc8sxj06shpc070rlczypcemcglnl6xem2s4q5ufkvl4wxf0akmyzw60xny5kmsv58njej4wktvy0p Attention à cette technique ( dite ClickFix ) qui fait fureur actuellement chez les cybercriminels : elle vise à pousser l&#39;utilisateur à copier-coller un script pour soi-disant résoudre un problème.<br/><br/>⚠️ Méfiez-vous si l’on vous demande d’exécuter quelque chose pour résoudre un CAPTCHA ou un autre type de problème technique.<br/><br/>Exemple d&#39;impact :<br/><br/>&#34;Des milliers de sites WordPress piratés diffusent de fausses mises à jour de Chrome&#34;<br/>&#34;Les campagnes ClickFix battent leur plein depuis un an environ, sans aucun signe d’essoufflement.&#34;<br/>👇 <br/><a href="https://www.clubic.com/actualite-541283-des-milliers-de-sites-wordpress-pirates-diffusent-de-fausses-mises-a-jour-de-chrome.html">https://www.clubic.com/actualite-541283-des-milliers-de-sites-wordpress-pirates-diffusent-de-fausses-mises-a-jour-de-chrome.html</a><br/><br/>Analyses infosec :<br/><br/>&#34;Behind the CAPTCHA: A Clever Gateway of Malware&#34;<br/>👇<br/><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/behind-the-captcha-a-clever-gateway-of-malware/">https://www.mcafee.com/blogs/other-blogs/mcafee-labs/behind-the-captcha-a-clever-gateway-of-malware/</a><br/><br/>&#34;Unmasking Lumma Stealer: Analyzing Deceptive Tactics with Fake CAPTCHA&#34;<br/>👇<br/><a href="https://blog.qualys.com/vulnerabilities-threat-research/2024/10/20/unmasking-lumma-stealer-analyzing-deceptive-tactics-with-fake-captcha">https://blog.qualys.com/vulnerabilities-threat-research/2024/10/20/unmasking-lumma-stealer-analyzing-deceptive-tactics-with-fake-captcha</a><br/><br/>ClickFix tactic: The Phantom Meet<br/>👇<br/><a href="https://blog.sekoia.io/clickfix-tactic-the-phantom-meet/">https://blog.sekoia.io/clickfix-tactic-the-phantom-meet/</a><br/><br/>#CyberVeille #clickfix #CAPTCHA<br/> <img src="https://media.infosec.exchange/infosec.exchange/media_attachments/files/113/396/607/507/490/150/original/986327e4439a813c.png"> <br/> <img src="https://media.infosec.exchange/infosec.exchange/media_attachments/files/113/396/607/532/270/227/original/602448b240481a58.png"> <br/> <img src="https://media.infosec.exchange/infosec.exchange/media_attachments/files/113/396/607/542/237/899/original/376c70f794dff250.png"> <br/> <img src="https://media.infosec.exchange/infosec.exchange/media_attachments/files/113/396/607/554/268/078/original/87bbe167c397886c.png"> <br/> 2024-10-30T13:33:20Z