Une campagne ClickFix détourne l'utilitaire finger de Windows
Des chercheurs de Huntress ont observé des publicités Google malveillantes imitant Amazon Business pour diffuser le voleur d'informations Lumma.
Des chercheurs en sécurité ont identifié une campagne ClickFix qui exploite l'utilitaire réseau intégré à Windows « finger » pour diffuser un logiciel malveillant de vol d'informations, selon dailysecu.com. Les victimes étaient attirées via des résultats de recherche Google vers de fausses pages de vérification de sécurité leur demandant d'exécuter des commandes manuellement.
Le parcours commençait par une recherche portant sur « Amazon Business ». Les utilisateurs cliquaient sur des annonces malveillantes menant à une fausse page de connexion Amazon, construite avec Google Sites. Après avoir saisi une adresse e-mail ou un numéro de téléphone, ils voyaient apparaître un faux écran de vérification humaine.
L'exécution de finger.exe récupérait ensuite des données depuis un serveur contrôlé par les attaquants. La chaîne d'infection reposait sur IronPython et sur plusieurs étapes d'outils d'exécution de code malveillant obscurcis.
La charge finale comprenait un voleur d'informations suspecté d'être Lumma ainsi que le logiciel de contrôle à distance NetSupport, détourné de son usage légitime. Google a retiré les annonces malveillantes, mais les chercheurs ont indiqué que l'infrastructure de l'attaque restait active au moment de leur analyse.
Les chercheurs précisent que les cas confirmés ne suffisent pas à déterminer l'ampleur globale de l'infection ni les dommages occasionnés.
En bref
Quel utilitaire Windows est détourné dans cette campagne ?
L'utilitaire réseau intégré « finger », via finger.exe, qui récupère des données depuis un serveur contrôlé par les attaquants.
Quels logiciels malveillants sont livrés ?
Un voleur d'informations suspecté d'être Lumma et le logiciel de contrôle à distance NetSupport.
Les annonces malveillantes sont-elles toujours en ligne ?
Google les a retirées, mais les chercheurs indiquaient que l'infrastructure de l'attaque restait active au moment de l'analyse.