janews094 - stock.adobe.com

Actualites

TerminalFix : la nouvelle variante de la technique « ClickFix »

Une nouvelle variante de ClickFix utilise l’hameçonnage et le chargement dérobé de DLL pour établir un tunnel inversé sophistiqué au sein des réseaux d’entreprise.

Valéry Rieß-Marchive
par
Publié le: 01 sept. 2026

La campagne TerminalFix, une variante de ClickFix, cible les organisations en exploitant des sites web compromis. Ces sites affichent un faux aperçu de vérification Cloudflare Turnstile, induisant l’utilisateur en erreur en lui faisant croire qu’une étape de vérification est requise.

Lorsque l’utilisateur interagit avec cette fausse interface, une commande PowerShell malveillante est silencieusement copiée dans le presse-papiers. Les instructions guident ensuite l’utilisateur à coller cette commande dans Windows Terminal ou PowerShell.

Cette exécution de script PowerShell, masquée par des messages de statut Cloudflare, télécharge une archive Zip depuis l’infrastructure de l’attaquant. Cette archive contient un fichier batch exécuté après décompression. Il lance notamment le binaire légitime LockScreenContentServer.exe. C’est tout ? Non.

DLL Sideloading et stéganographie

L’exploitation repose sur le mécanisme de chargement dérobé de DLL, ou sideloading. Le binaire légitime LockScreenContentServer.exe possède une dépendance statique à dui70.dll, le moteur Windows DirectUI. L’attaquant place une version malveillante de cette librairie à chargement dynamique à côté de l’exécutable. Le chargeur Windows, résolvant les dépendances dans le répertoire de l’application avant le répertoire système, charge la DLL malveillante dans le processus de confiance.

L’exécution débute ainsi au sein d’un processus signé et légitime. La DLL malveillante contient une charge utile fortement maquillée dans sa section de ressources, détaille Microsoft. Au chargement, elle récupère, décode entièrement en mémoire et transfère l’exécution à la phase suivante, sans écrire le contenu décodé sur le disque.

Cette phase utilise ensuite la stéganographie : un script PowerShell récupère des charges utiles supplémentaires cachées dans des fichiers images PNG. En lisant les canaux RGBA de chaque pixel, le script reconstruit les données binaires, permettant d’extraire l’exécutable et de concaténer les fragments de la DLL.

Cartographie interne et mécanismes de persistance

Après la reconstruction de la charge utile, le maliciel assure une persistance redondante via des clés de registre Run et des tâches planifiées, s’exécutant toutes les 60 minutes. Simultanément, il procède à une reconnaissance approfondie de l’environnement, incluant l’énumération des groupes d’administrateurs de domaine, la découverte des confiances de domaine et le balayage de serveurs internes.

Cette cartographie permet de déterminer la valeur de l’hôte compromis. La capacité la plus significative est le déploiement d’un implant de tunnel inversé en Python. L’attaquant utilise un runtime Python embarquable et signé pour lancer un script qui établit une connexion sortante vers le centre de commande et de contrôle (C2) via un canal WebSocket sur TLS/443. Ce tunnel permet de relayer tout trafic TCP arbitraire, transformant l’hôte compromis en un point de pivot réseau complet. L’implant opère en outre sans fenêtre visible, assurant une discrétion maximale.

Pour approfondir sur Menaces, Ransomwares, DDoS