Un faux installateur Spotify qui cache ses instructions sur une blockchain
Les installateurs sont une cible facile. Personne ne les inspecte. Vous vouliez Spotify, un fichier appelé Spotify est arrivé, vous avez double-cliqué, et Windows a affiché la boîte habituelle vous demandant si vous étiez sûr.
L'Adversary Pursuit Group de Blackpoint a publié le 18 septembre une analyse d'un outil d'accès à distance qu'il a baptisé ChainScript, découvert en démontant une campagne ClickFix. La chaîne commence par une de ces pages qui vous demandent de copier quelque chose et de l'exécuter, et se termine par un installateur Windows lancé via msiexec.exe. Quatre variantes ont été repérées jusqu'ici. Deux d'entre elles, ComponentTask33 et UpdateDigital, se présentent comme Spotify ; HostShared se fait passer pour Zoom Workplace et OrchidViolet66 pour Microsoft Teams. L'installateur dépose discrètement un environnement Node.js et lance un agent JavaScript derrière des étapes PowerShell et VBScript masquées.
À partir de là, l'opérateur dispose d'une invite de commandes et d'une session PowerShell sur votre machine, peut lire, écrire et supprimer des fichiers, prendre des captures de votre bureau, déposer de nouvelles charges et exécuter le JavaScript de son choix dans l'agent. Il part aussi à la recherche de portefeuilles de cryptomonnaies, applications installées comme extensions de navigateur. Ce que les chercheurs trouvent le plus intéressant, c'est la manière dont il reçoit ses ordres : au lieu d'une adresse codée en dur, ChainScript interroge un contrat intelligent sur la blockchain Polygon pour trouver le serveur auquel se connecter. Bloquer un domaine ne sert à rien, puisque les opérateurs peuvent faire pointer le contrat ailleurs et toutes les machines infectées suivent.
La parade à tout cela se joue dès la première étape. Une page web qui vous demande de coller une commande dans la boîte Exécuter ou dans un terminal pour prouver que vous êtes humain, réparer votre vidéo ou finir une mise à jour ment, à chaque fois, sans exception. Et un logiciel gratuit doit venir de l'entreprise qui le fabrique ou du Microsoft Store, pas du premier résultat renvoyé par le moteur de recherche. La vérification des mises à jour d'applications de Tendvane passe par winget, donc Spotify, Zoom et les autres sont récupérés depuis leurs paquets officiels plutôt que depuis une trouvaille.