Le logiciel malveillant Clearfake

ClearFake est un framework JavaScript malveillant utilisé pour distribuer des malwares via des sites web compromis. Il fonctionne en injectant du code dans des sites légitimes, le plus souvent des sites WordPress compromis, puis en trompant les visiteurs pour qu'ils installent un malware via une fausse invite, à l'origine une fausse mise à jour de navigateur et, plus récemment, une fausse vérification CAPTCHA. Apparu pour la première fois en juillet 2023, il appartient à la catégorie plus large des menaces de type "fausses mises à jour" et est devenu l'un des frameworks de distribution de malwares web les plus actifs, évoluant rapidement et adoptant des techniques comme le stockage de ses charges sur la blockchain. Le nom ClearFake vient du fait que le JavaScript injecté était écrit en clair, sans obfuscation, dans les premières versions, ce qui était inhabituel pour ce type de malware. Cette page explique ce qu'est ClearFake, comment sa chaîne d'infection fonctionne, comment ses leurres et sa distribution ont évolué, quels malwares il livre, et comment les organisations le détectent et s'en défendent, en s'appuyant en partie sur les recherches de première main de l'équipe Threat Detection & Research (TDR) de Sekoia, qui a analysé la menace dès son émergence.

Ce qu'il faut retenir

ClearFake est un framework JavaScript de distribution de malwares, injecté dans des sites web compromis pour pousser des malwares sur les visiteurs, pas un malware qui s'exécute seul.
Il repose sur l'ingénierie sociale. Il trompe les utilisateurs avec de fausses mises à jour de navigateur et, depuis 2024, de faux CAPTCHA (la technique ClickFix), sans exploiter de faille logicielle.
Il compromet de vrais sites web, en particulier WordPress. Des sites légitimes sont compromis et utilisés comme points d'eau, de sorte que les utilisateurs rencontrent le leurre sur des sites auxquels ils font confiance.
Il cache ses charges sur la blockchain. Via une technique appelée EtherHiding, ClearFake stocke du code et des instructions dans des smart contracts blockchain, difficiles à démanteler.
Il distribue des infostealers et des loaders. L'objectif final est généralement d'installer des voleurs d'informations (infostealers) comme Lumma ou Vidar, souvent via un loader, sur Windows et de plus en plus sur macOS.

Comment ClearFake fonctionne

ClearFake n'est pas un malware qu'un utilisateur télécharge directement. C'est un framework de distribution qui transforme un site web légitime mais compromis en piège. La chaîne d'infection suit un ensemble cohérent d'étapes, même si le leurre et les techniques spécifiques changent.

Étape		Ce qui se passe
1	Compromission du site	Les attaquants injectent du JavaScript malveillant dans un site web légitime, le plus souvent un site WordPress vulnérable, le transformant en point d'eau qui sert le leurre aux visiteurs ordinaires.
2	Récupération de la charge	Le script injecté récupère son étape suivante. Les versions récentes extraient du code et des instructions depuis des smart contracts blockchain (la technique EtherHiding) plutôt que depuis un simple serveur attaquant.
3	Le leurre	Le visiteur voit s'afficher une fausse invite convaincante par-dessus la page : à l'origine une fausse mise à jour de navigateur pour Chrome, Edge ou Firefox, et plus récemment une fausse vérification CAPTCHA.
4	L'utilisateur est trompé pour agir	En suivant l'invite, l'utilisateur télécharge soit un faux fichier de mise à jour, soit, avec le leurre ClickFix plus récent, est guidé pour coller et exécuter une commande qui a été copiée dans son presse-papiers.
5	Installation du malware	L'action exécute un loader qui installe la charge finale, généralement un infostealer, tout en affichant souvent un vrai message de mise à jour ou de succès pour éviter d'éveiller les soupçons.

Un trait définissant est que ClearFake n'exploite pas de vulnérabilité sur l'ordinateur du visiteur. Il repose sur le fait de convaincre la personne d'agir elle-même, ce qui explique pourquoi il fonctionne sur des systèmes à jour et entièrement corrigés. Le site compromis fournit simplement un endroit d'apparence fiable pour que le leurre apparaisse.

Comment les leurres de ClearFake ont évolué

ClearFake a changé son approche d'ingénierie sociale au fil du temps tout en conservant le même framework sous-jacent :

Fausses mises à jour de navigateur (2023). Le leurre d'origine affichait une copie réaliste d'une page de mise à jour Chrome, Edge ou Firefox, invitant le visiteur à télécharger une fausse mise à jour qui était en réalité un malware. Cela plaçait ClearFake aux côtés d'autres menaces de type "fausses mises à jour" comme SocGholish.
Faux CAPTCHA et ClickFix (depuis 2024). ClearFake a adopté la technique ClickFix, affichant une fausse page de CAPTCHA ou de vérification (imitant des outils comme reCAPTCHA ou Cloudflare Turnstile) qui demande à l'utilisateur de prouver qu'il est humain en exécutant une commande. La commande est silencieusement copiée dans le presse-papiers, et l'utilisateur est guidé pour la coller dans une boîte de dialogue système et l'exécuter, lançant lui-même le malware.

Ce changement est important car ClickFix déplace l'action malveillante d'un fichier téléchargé vers une commande que l'utilisateur exécute, ce qui peut contourner les défenses axées sur les téléchargements de fichiers. Le leurre continue d'être actualisé fréquemment, les opérateurs mettant à jour le framework, les leurres et les charges quasiment chaque jour.

EtherHiding : Cacher des charges sur la blockchain

L'une des techniques les plus distinctives de ClearFake est EtherHiding, qui stocke des parties de l'attaque, comme du code JavaScript, des clés, du contenu de leurre et des commandes, à l'intérieur de smart contracts sur une blockchain publique, notamment la Binance Smart Chain. Le script injecté sur le site compromis lit simplement ce contenu depuis la blockchain à chaque visite.

Cette approche est à double tranchant, comme l'ont noté les recherches de Sekoia. Pour l'attaquant, elle est résiliente : le contenu stocké sur une blockchain ne peut pas facilement être supprimé ni démantelé, et l'attaquant peut faire pivoter ses charges sans toucher aux sites compromis, en utilisant un service légitime et décentralisé pour héberger des instructions malveillantes. La contrepartie est que cette même ouverture signifie que d'autres acteurs malveillants peuvent lire, réutiliser ou même détourner l'infrastructure du framework. Pour les défenseurs, EtherHiding est significatif car il contourne les démantèlements traditionnels et les listes de blocage de domaines, déplaçant une partie de la chaîne de distribution vers une infrastructure non contrôlée par un seul fournisseur.

Quels malwares ClearFake distribue

ClearFake est un mécanisme de distribution, donc la charge finale varie selon ce que ses opérateurs, ou les acteurs utilisant le framework, choisissent de diffuser. En pratique, il a le plus souvent conduit à :

Des loaders, comme HijackLoader (également lié à IDAT Loader) et Emmenhtal, qui servent d'étape intermédiaire avant d'installer la vraie charge.
Des infostealers (voleurs d'informations), l'objectif final le plus courant, notamment Lumma, Vidar, Raccoon et Stealc, qui collectent des credentials, des cookies de session et d'autres données sensibles.
Des malwares macOS, ClearFake ayant été observé en train de distribuer le stealer AMOS, montrant que la menace ne se limite plus à Windows.

Parce que les charges qu'il dépose, en particulier les infostealers, peuvent donner aux attaquants des credentials et des accès, une infection ClearFake n'est pas seulement un problème pour la machine individuelle. Les credentials volés peuvent devenir le point d'entrée d'une intrusion plus large ou d'une attaque par ransomware, ce qui explique pourquoi le framework est traité comme une menace sérieuse d'accès initial plutôt qu'une nuisance.

Qui est derrière ClearFake

ClearFake est une opération cybercriminelle à motivation financière plutôt qu'un groupe parrainé par un État. Ses opérateurs exacts ne sont pas nommés publiquement avec certitude, et parce que le framework et son infrastructure blockchain peuvent être réutilisés, plusieurs acteurs peuvent l'utiliser. Des analystes ont noté un chevauchement significatif de tactiques entre ClearFake et SocGholish (suivi sous le nom TA569), notamment l'utilisation de points d'eau, de leurres de fausses mises à jour, du système de distribution du trafic Keitaro, et de noms de fichiers utilisant des caractères similaires, ce qui a soulevé la question d'un opérateur commun, bien qu'il s'agisse d'une évaluation et non d'un fait établi. Par ailleurs, certains éditeurs suivent une évolution du framework sous d'autres noms, par exemple la désignation de loader CLEARSHORT et le cluster d'activité UNC5142, reflétant comment la menace s'est ramifiée et développée.

Comment détecter et se défendre contre ClearFake

Parce que ClearFake dépend de la tromperie des utilisateurs plutôt que de l'exploitation de logiciels, la défense combine sensibilisation des utilisateurs et surveillance comportementale :

Enseigner le leurre, pas seulement le fichier. Les utilisateurs doivent savoir que les navigateurs légitimes ne se mettent pas à jour via une invite de site web, et qu'un vrai CAPTCHA ne demande jamais d'ouvrir une boîte de dialogue système et d'exécuter une commande. Reconnaître le schéma ClickFix est l'une des défenses les plus solides.
Surveiller le comportement ClickFix. Surveiller les interpréteurs de commandes comme PowerShell ou l'hôte de scripts Windows lancés peu après une activité de navigation, et l'exécution de commandes pilotée par le presse-papiers, qui sont des caractéristiques de cette technique.
Surveiller les charges. Détecter le comportement des loaders et des infostealers, comme l'accès aux credentials et aux cookies et les connexions sortantes inhabituelles, permet d'attraper l'intrusion même quand le leurre initial réussit.
Maintenir les sites web sécurisés. Pour les organisations qui gèrent leurs propres sites, maintenir les systèmes de gestion de contenu (CMS) comme WordPress et leurs plugins à jour réduit le risque de devenir un point de distribution de ClearFake.
Utiliser le renseignement sur les menaces et la détection comportementale. Parce que ClearFake change en permanence ses leurres, son infrastructure et ses charges, et cache des parties de la chaîne sur la blockchain, traquer les comportements plutôt que les indicateurs fixes est indispensable.

Les recherches de Sekoia sur ClearFake

L'équipe TDR de Sekoia a analysé ClearFake dès son émergence en 2023, publiant l'une des premières analyses techniques approfondies de la chaîne d'infection du framework, des malwares qu'il distribuait et de son infrastructure de commande et contrôle, et notant le chevauchement tactique avec SocGholish. En 2025, TDR a suivi avec une analyse d'un nouveau variant répandu, documentant le recours accru du groupe au Web3 et à la technique EtherHiding pour stocker du JavaScript, des clés, des URL de leurres et des commandes ClickFix sur la Binance Smart Chain. Dans cette recherche, Sekoia a utilisé les propres adresses de portefeuilles blockchain des attaquants comme indicateurs pour scanner le web et a identifié plus de neuf mille sites web compromis servant le framework. Ce type de suivi soutenu et de première main, publié avec des indicateurs, est ce qui permet aux défenseurs de rester au rythme d'une menace qui se met à jour quotidiennement.

Avis d'expert : Quand l'utilisateur est la faille

ClearFake illustre clairement un changement dans les menaces web : la cible de l'attaque n'est pas une faille logicielle, mais la personne au clavier. Il n'y a pas de vulnérabilité à corriger, car le framework demande à l'utilisateur d'installer le malware ou d'exécuter la commande lui-même, sur une machine entièrement à jour, depuis un site web qu'il n'avait aucune raison de ne pas faire confiance. Ajoutez des charges cachées dans des smart contracts blockchain, et les parties de l'attaque que les défenseurs bloquent traditionnellement, les domaines malveillants, les fichiers téléchargeables, les exploits connus, sont soit absentes, soit hors de portée.

C'est là qu'une approche centrée sur les comportements et pilotée par le renseignement sur les cybermenaces (CTI) prend toute sa valeur, et où les propres travaux de Sekoia sont instructifs. Sekoia est un éditeur européen de cybersécurité dont l'équipe TDR interne traque ClearFake depuis sa première apparition, y compris son passage à l'hébergement de charges sur le Web3, et ce renseignement sur les menaces alimente la plateforme. Plutôt que de s'appuyer uniquement sur le blocage de fichiers ou de domaines malveillants connus, la plateforme AI SOC de Sekoia corrèle les signaux sur les endpoints, le réseau et le web et les mappe sur le framework MITRE ATT&CK, de sorte que la chaîne révélatrice, une session de navigation menant au lancement d'un hôte de scripts menant à un infostealer qui établit des connexions sortantes, est reconnue comme une seule intrusion même quand le leurre et l'infrastructure sont entièrement nouveaux. La découverte par Sekoia de la distribution blockchain de ClearFake est un exemple de transformation du renseignement de première main en détection qui suit l'évolution d'un framework rapide.

Le message pratique pour les défenseurs est qu'une menace comme ClearFake se détecte en comprenant les comportements et le contexte, pas en faisant correspondre une liste de fichiers malveillants. Les questions décisives sont comportementales : pourquoi la visite d'une page web a-t-elle conduit à l'exécution d'un script par une invite de commande, et pourquoi ce processus cherche-t-il maintenant à voler des credentials. Y répondre dépend d'une visibilité sur toute la chaîne, lue face au renseignement actuel sur le fonctionnement du framework.