Deividas Ambrazevicius, responsable de l’ingénierie chez NordPass, a récemment mené une enquête scientifique suite à une question apparemment simple : « Mon ordinateur est-il infecté ? » La réponse était oui, et l’histoire de cette attaque est une mise en garde, impliquant comptes piratés et usurpation d’identité.
« ClickFix » : une
nouvelle vague d’ingénierie sociale
Le secteur de la
sécurité ne cesse de relever le niveau d’exigence en matière
d’authentification, mais le maillon faible reste l’humain. Avec les attaques
ClickFix, les pirates ont ainsi trouvé un moyen d’amener les internautes à se
pirater eux-mêmes.
ClickFix est une
attaque d’ingénierie sociale au cours de laquelle la victime est amenée à
exécuter du code malveillant sur son propre appareil, ce qui permet au pirate
d’accéder à tout ce qui s’y trouve, y compris les mots de passe enregistrés,
les clés d’accès et les cookies de session.
Une étude de cas réelle
« Quelqu’un m’a récemment contacté pour me poser une question simple : mon ordinateur est-il infecté ? Je précise que ce n’est pas un utilisateur de NordPass : il m’a trouvé par l’intermédiaire de mon site web personnel. Il était tombé sur une publication LinkedIn concernant les attaques ClickFix et s’était rendu compte qu’il avait probablement lui-même été victime d’une telle attaque à peine une semaine plus tôt.
Et il avait raison. Son histoire mérite d’être connue, car
tout semble inoffensif jusqu’à la toute dernière seconde », explique Deividas
Ambrazevicius, responsable de l’ingénierie chez NordPass.
L’homme qui demandait
de l’aide avait discuté avec un ancien collègue environ une semaine plus tôt :
une personne réelle qu’il connaissait, avec laquelle il avait échangé des
messages pendant des années. Ou du moins, c’est ce qu’il pensait. Cet « ancien collègue
» a proposé de l’appeler, prétextant qu’il voulait parler de travail.
Cependant, l’appel a échoué (pas d’audio). Il a donc dit que Microsoft Teams
avait probablement besoin d’une mise à jour et a envoyé une série
d’instructions claires.
Où aller, que copier,
où coller : tout était soigneusement préparé. L’homme a suivi chaque étape.
Puis le « collègue » a disparu. Et une semaine plus tard, le doute s’est
installé.
Deividas Ambrazevicius
a suggéré de contacter la personne en question par un autre canal, tel que
LinkedIn. Et, bien sûr, son collègue n’était au courant de rien. Son compte
avait été piraté.
« J’ai extrait les
données pertinentes de l’ordinateur et j’ai effectué une analyse scientifique.
Ce que j’ai découvert comprenait à la fois des traces malveillantes et des
éléments permettant de reconstituer le déroulement de l’attaque », explique Deividas
Ambrazevicius.
• Le code a été brouillé au niveau de chaque
caractère. Une simple recherche de texte ne permettrait donc pas de le trouver.
• Il a été lancé à l’aide de la commande
Invoke-Expression, sans jamais enregistrer de fichier exécutable sur le disque.
C’est la raison pour laquelle le logiciel antivirus traditionnel n’a pas réagi.
• Curl.exe a envoyé les données via le port 443
à un serveur de commande et de contrôle (C2) distant.
• Tous les cookies de session enregistrés dans
le navigateur Chrome ont été exfiltrés, ainsi que des fichiers appartenant à
plusieurs entreprises différentes.
• Le pare-feu Windows standard autorise par
défaut tout le trafic sortant sans aucun avertissement. L’attaque est donc
passée inaperçue en temps réel.
Il ajoute qu’après une
semaine, il restait beaucoup moins de données qu’il n’aurait pu y en avoir.
Selon l’expert, la meilleure chose à faire aurait été de se déconnecter
immédiatement d’Internet, mais sans éteindre l’ordinateur afin que la RAM ne
soit pas effacée : c’est ainsi que la majeure partie des données peut être
récupérée.
Faux CAPTCHA
Selon Deividas
Ambrazevicius, il s’agissait d’une attaque assez sophistiquée, impliquant un
compte piraté et une bonne préparation préalable. Mais il existe des attaques
plus simples. L’une d’entre elles est le faux CAPTCHA, l’un des moyens les plus
utilisés pour lancer une attaque ClickFix.
Au lieu de demander à l’utilisateur de cliquer sur des images, le faux CAPTCHA affirme que des étapes de vérification supplémentaires sont nécessaires et invite l’utilisateur à appuyer rapidement sur une séquence de touches. Souvent, il s’agit de la touche Windows + R (qui ouvre la boîte de dialogue
« Exécuter » native de Windows),
puis de Ctrl + V (qui colle la charge utile malveillante cachée depuis le
presse-papiers), et enfin de la touche « Entrée » (qui exécute la commande).
« N’oubliez pas que les
logiciels de vol d’informations ne se contentent pas de dérober des mots de
passe : ils volent aussi les cookies de session, c’est-à-dire la clé qu’un
serveur émet après une connexion réussie avec l’authentification à deux facteurs.
Le cybercriminel la charge dans son propre navigateur et ouvre le compte : pas
besoin de mot de passe, ni de code. C’est pour cette raison qu’il ne suffit pas
de changer votre mot de passe après un incident. Vous devez forcer la
déconnexion de toutes les sessions », prévient Deividas Ambrazevicius.
Comment éviter d’en
être victime
• Si quelqu’un vous dit que vous devez
mettre à jour une application parce qu’il ne vous entend pas, c’est un signal
d’alarme. Contactez la personne par un autre moyen.
• Faites preuve d’une extrême prudence si un
site web ou un programme vous demande de manière inattendue de coller du texte
ou d’exécuter des commandes dans PowerShell ou Terminal.
• Un nom familier ne signifie pas forcément
qu’il s’agit d’une personne que vous connaissez. Des comptes sont piratés
chaque jour.
• De nos jours, même si vous voyez ou
entendez quelqu’un que vous connaissez, rien ne garantit qu’il s’agît vraiment
de cette personne : il peut s’agir d’un deepfake. Faites toujours preuve de
prudence et convenez d’un mot de passe que seuls votre famille et vos amis
connaissent. Demandez-leur de le prononcer si quelque chose vous semble
suspect.
• Si vous travaillez avec des données
sensibles et que vous soupçonnez un tel incident, n’attendez pas : contactez un
professionnel. Un ordinateur peut révéler beaucoup de choses, mais seulement
jusqu’à ce que l’utilisateur détruise involontairement les preuves.
• Si une telle situation se produit et que les sessions et les fichiers sur votre appareil sont confidentiels, ils doivent être considérés comme compromis.