ClickFix oblige les DSI à relier navigation web et usage de Terminal
La campagne étudiée par Cato CTRL laisse peu de traces d’un téléchargement traditionnel. Sa détection suppose de rapprocher les connexions aux faux portails, l’ouverture inhabituelle de Terminal et les commandes exécutées sur les Mac.
Les mécanismes de protection des postes de travail recherchent généralement un fichier téléchargé, une pièce jointe ou un exécutable connu. La campagne ClickFix analysée par Cato Networks suit un parcours différent. Elle persuade l’utilisateur de copier lui-même une commande dans Terminal après avoir consulté une publicité proposant une prétendue version de Codex pour macOS. Ce mode opératoire disperse les indicateurs entre plusieurs couches du système d’information. Le premier signal apparaît dans le navigateur avec la consultation d’un résultat sponsorisé et d’une page Google Sites. Le second intervient sur le poste lorsque Terminal est ouvert peu après cette navigation. La commande exécutée lance ensuite une chaîne en trois étapes et télécharge le programme final.
Pour les DSI et les équipes de sécurité, l’investigation nécessite donc de rapprocher la télémétrie web de l’activité observée sur le terminal. Les organisations peuvent rechercher les connexions aux pages et aux serveurs identifiés, puis vérifier si les utilisateurs concernés ont suivi les instructions affichées.
Une campagne conçue pour compliquer l’analyse automatisée
Les attaquants ne placent pas directement leur contenu sur Google Sites. Ils intègrent une page externe au faux portail, ce qui leur permet de remplacer rapidement leurs instructions ou leur infrastructure. Le contenu malveillant est également conditionné à la consultation depuis macOS. Un scanner utilisant un autre système peut ainsi recevoir une page sans danger. Cato CTRL a recensé trois ensembles d’infrastructures utilisant plusieurs pages Google Sites et serveurs externes. Certains composants ont été réemployés entre différentes versions de la campagne, ce qui peut faciliter leur rapprochement lors d’une investigation.
Le programme final prend en charge les Mac Intel et Apple Silicon et cherche à supprimer certains attributs de quarantaine. Sa chaîne de diffusion ressemble à celle d’Atomic macOS Stealer, sans que les chercheurs puissent confirmer le mécanisme de commande et contrôle employé après son exécution. Cato Networks indique avoir bloqué les sites et les serveurs malveillants détectés. Pour les DSI, cette campagne rappelle surtout qu’une action apparemment volontaire de l’utilisateur peut constituer le point de départ d’une compromission et qu’une publicité placée avant un résultat officiel ne garantit pas la légitimité d’un logiciel.