Les pirates utilisent de fausses pop-ups reCAPTCHA pour installer des logiciels malveillants et voler des cryptomonnaies

Le groupe de cybersécurité eSentire a découvert l'utilisation de fausses pop-ups style CAPTCHA pour tromper les victimes et les inciter à déployer des logiciels malveillants de vol d'identifiants, Amatera Stealer et NETSupport RAT, en abusant d'une méthode appelée ClickFix.

L'unité de réponse aux menaces (TRU) d'eSentire suit une escalade des campagnes exploitant ClickFix pour obtenir un accès initial aux systèmes ciblées en novembre. Selon la TRU, les acteurs malveillants utilisent cette méthode pour manipuler socialement les victimes afin qu'elles exécutent manuellement des commandes malveillantes via l'invite d'exécution Windows. 

Une fois exécutés, ces commandes déclenchent une chaîne d'infection aboutissant au déploiement d'Amatera Stealer et de NetSupport RAT, deux outils légitimes de surveillance à distance détournés par des cybercriminels pour un accès à distance non autorisé.

La campagne ClickFix utilise reCAPTCHA pour introduire furtivement des logiciels malveillants

Selon les recherches d'eSentire publié Le jeudi dernier, des pirates ont attiré leurs victimes via des sites web et des pop-ups frauduleux se faisant passer pour des « vérifications de sécurité », notamment des boîtes de vérification reCAPTCHA falsifiées et des pages contrefaites de Cloudflare Turnstile. 

Les interfaces trompeuses incitent les utilisateurs à « réparer » un problème supposé, les instructions les poussant à exécuter des commandes nocives sans en percevoir les risques. Une fois la commande initiale lancée, Amatera Stealer est déployé en premier, suivi de l'installation de NetSupport Manager, permettant aux pirates de surveiller et de contrôler la machine compromise comme s'ils y étaient physiquement présents.

Amatera Stealer n'est pas une menace entièrement nouvelle, mais la dernière évolution d'ACR Stealer, également connu sous le nom d'AcridRain. La version précédente est apparue pour la première fois en 2024 en tant que produit malware-as-a-service sur des forums de hackers, déployé par plusieurs utilisateurs via des forfaits d'abonnement.

Les ventes d'ACR ont été suspendues au milieu de 2024 lorsque son développeur, connu en ligne sous le nom de SheldIO, a vendu le code source du malware. Malgré l'annonce de la vente, le groupe a déclaré que ce n'était « pas la fin » de son développement. Les chercheurs estiment désormais qu'Amatera est le successeur direct d'ACR, reconstruit avec des capacités accrues et de nouvelles techniques d'évasion.

Repéré par le cabinet d'audit de sécurité Proofpoint en juin, Amatera est disponible sur abonnement, à partir de 199 $ par mois jusqu'à 1 499 $ par an.

« Amatera fournit aux acteurs malveillants d'importantes capacités d'exfiltration de données ciblant les portefeuilles cryptographiques, les navigateurs, les applications de messagerie, les clients FTP et les services de messagerie électronique. Il utilise des stratégies d'évasion avancées telles que les appels système WoW64 pour contourner les mécanismes de hooking en mode utilisateur utilisés par les bac à sable, les solutions antivirus et les produits EDR », a déclaré eSentire.

Le malware est écrit en C++ et est capable de récupérer les mots de passe enregistrés, les détails des cartes, les historiques de navigation et les fichiers depuis des navigateurs tels que Chrome, Brave, Edge, Opera, Firefox, ainsi que des plateformes spécialisées comme Tor Browser et Thunderbird. 

Chargeurs PowerShell Windows multi-étapes masquant le malware

Selon l'analyse des menaces d'eSentire, le processus d'infection d'Amatera repose sur plusieurs couches de commandes PowerShell obscurcies. 

Les chercheurs de TRU ont observé une phase décodant les charges utiles suivantes à l'aide d'un processus XOR appliqué à la chaîne « AMSI_RESULT_NOT_DETECTED », un terme associé à l'Interface d'analyse anti-malware (AMSI) de Microsoft. Le développeur du chargeur a pu choisir cette expression intentionnellement pour perturber les chercheurs effectuant une analyse dynamique.

Bien qu'Amatera soit la charge utile la plus couramment distribuée dans ces campagnes, eSentire a également documenté des cas où le même chargeur a été utilisé pour déployer d'autres voleurs d'informations, notamment Lumma et Vidar. Certains échantillons ne disposaient pas des paramètres de configuration nécessaires pour exécuter des chargeurs multi-étapes, ce qui a conduit les pirates à déployer directement NetSupport Manager.

eSentire et d'autres sociétés de cybersécurité ont documenté des campagnes par courriel distribuant des fichiers de script Visual Basic déguisés en factures. Une fois ouverts, ces fichiers exécutaient des scripts batch qui initiaient des chargeurs PowerShell livrant XWorm.

D'autres campagnes ont impliqué des sites web compromis redirigeant les visiteurs vers de fausses pages de vérification Cloudflare, imitant les invites ClickFix. Cette activité a été associée à une opération connue sous plusieurs noms, dont SmartApeSG, HANEYMANEY et ZPHP, toutes utilisant NetSupport RAT comme charge utile finale.

Des pirates avaient créé des sites frauduleux Booking.com hébergeant de faux contrôles CAPTCHA, invitant les utilisateurs à ouvrir la boîte d'exécution Windows et à exécuter une commande, installant directement un script de vol d'identifiants sur les systèmes infectés.

Certaines des campagnes de phishing liées à ces livraisons de logiciels malveillants utilisent une nouvelle trousse de phishing appelée Cephas. Selon le spécialiste en solutions de cybersécurité Barracuda, Cephas utilise une méthode d'obfuscation avancée qui insère des caractères invisibles dans le code source des pages de phishing, rendant leur détection difficile pour les scanners automatisés.

« La trousse obscurcit son code en créant des caractères invisibles aléatoires au sein du code source, ce qui l'aide à échapper aux scanners anti-phishing et empêche les règles YARA basées sur des signatures de correspondre exactement aux méthodes de phishing », indique Barracuda a écrit dans son analyse de la semaine dernière.