Des cybercriminels exploitent une récente preuve de concept, FileFix, pour siphonner vos données sensibles. Ils se servent d’un faux message annonçant la suspension de votre compte Facebook pour parvenir à injecter le malware StealC.

Mieux vaut prévenir que guérir. Dans le domaine de la cybersécurité, il arrive que des chercheurs expérimentent des « preuves de concept ». L’objectif ? Montrer qu’une idée peut fonctionner dans la réalité. Et lorsqu’ils parviennent à le démontrer, le but n’est pas d’effrayer la population, mais bien d’avertir pour faire de la prévention – et conseiller de trouver des solutions.

Parfois, ces simples démonstrations techniques peuvent effectivement fonctionner et être utilisées dans de véritables cyberattaques. C’est le cas de FileFix, qui est désormais exploité pour diffuser le malware StealC dans le cadre d’une campagne de phishing à grande échelle destinée à subtiliser vos données sensibles.

Lire aussi – Le premier ransomware dopé à l’IA a été découvert, et il inquiète déjà les experts en cybersécurité

Cette nouvelle campagne de phishing détourne l’Explorateur Windows

Publié en juillet dernier par le chercheur mr.d0x, FileFix est une démonstration technique qui transformait l’Explorateur Windows en cheval de Troie. Il s’agit d’une déclinaison de ClickFix, une technique transformant les vérifications CAPTCHA en porte d’entrée pour les pirates. Désormais, FileFix est utilisé dans le cadre d’une attaque hautement sophistiquée, qui vise à dérober vos identifiants, vos cryptomonnaies, ainsi que vos données issues du cloud.

Tout commence avec un message apparemment signé Meta – c’est bien évidemment faux. D’après nos confrères de Clubic, l’entreprise propriétaire de Facebook annonce à la victime la suspension de son compte Facebook sous 180 jours. Pour faire appel, cette dernière peut cliquer sur un lien intégré dans le message. Il renvoie vers une fausse page d’assistance imitant la charte graphique de Facebook et comportant un bouton pour accéder au formulaire de contestation. Pour récupérer un PDF qui précise les raisons de la suspension, la victime doit copier un chemin d’accès et le coller dans la barre de recherche de l’Explorateur.

Sauf que ce chemin camoufle une commande PowerShell pensée pour exploiter l’Explorateur, qui est capable d’exécuter des instructions en fonction de la syntaxe. Les étapes qui suivent servent à injecter le malware StealC, dédié au vol des données sensibles – parmi lesquelles identifiants, données issues du cloud et cryptomonnaies.

Lire aussi – L’IA est maintenant capable de conduire des cyberattaques toute seule. Personne n’est à l’abri

Voici comment éviter de vous faire piéger

Il s’agit là d’une attaque hautement sophistiquée. Toute la chaîne d’infection s’appuie sur des méthodes avancées : stéganographie, fragmentation des commandes, chiffrement des URL, obfuscation systématique du code. Le but ? Que la cible n’ait aucun indice que ce qu’il se passe est anormal : aucun terminal n’apparaît, ni mention explicite d’exécution. Aussi, le site de phishing est traduit en 16 langues, ce qui permet à la campagne de toucher déjà plusieurs pays. Et elle s’adapte très rapidement : en moins de deux semaines, les scripts ont déjà évolué.

Voici quelques recommandations pour vous protéger de ce genre d’attaques :

• Pensez à installer un antivirus.
• Ne cliquez jamais sur un lien ou une pièce jointe suspects.
• Dans le cadre de ce genre d'alerte : ne cliquez surtout pas sur le lien. Connectez-vous plutôt vous-même à votre compte Facebook. Une telle menace de suspension s'y trouverait, probablement dans le centre de notifications.
• Vérifiez ce que contient votre presse-papier avant d'utiliser son contenu pour exécuter une commande, il suffit d’utiliser le raccourci Ctrl + V dans un bloc-notes.

Surtout, n’oubliez pas : fuyez si l’on vous demande de récupérer un fichier en copiant un chemin d’accès dans votre Explorateur. Un service légitime ne vous le demanderait jamais. Cette commande ne sert qu’à retrouver des fichiers locaux.