Des chercheurs en cybersécurité ont mis en lumière deux nouvelles familles de logiciels malveillants, WordlistLoader et SynkLoader. Selon les observations rapportées, ces outils serviraient à acheminer des charges utiles de seconde étape et pourraient, au moins dans certains cas, être liés à la monétisation d’accès pour des groupes impliqués dans des opérations d’extorsion.
Le volet le plus marquant concerne WordlistLoader ClickFix : une chaîne d’infection qui s’appuie sur de fausses étapes de vérification type CAPTCHA. L’utilisateur est amené à exécuter une commande malveillante, ce qui permet ensuite de déclencher le téléchargement puis l’exécution du chargeur menant à l’implantation d’un voleur nommé Amatera.
WordlistLoader ClickFix : l’étape CAPTCHA utilisée comme leurre
Les analyses attribuent l’usage de WordlistLoader ClickFix à des campagnes dites ClearFake visant à diffuser le voleur Amatera (également référencé sous d’autres appellations). Le mécanisme exploite une interaction familière : l’utilisateur clique sur la case « Je ne suis pas un robot ».
Au moment du clic, une séquence « guidée » se met en place. L’objectif est de faire exécuter à la victime une action précise : la récupération d’une commande malveillante copiée dans le presse-papiers, puis son collage dans la boîte « Exécuter » de Windows pour lancer l’opération. Une fois cette étape validée par la victime, WordlistLoader est téléchargé et la chaîne aboutit à l’exécution d’Amatera.
Des sites légitimes compromis pour afficher les prompts
Concrètement, les invites ClickFix sont affichées sur des pages web compromis. Elles reposent sur une injection de JavaScript malveillant, empaqueté sous la forme d’un bloc encodé en Base64. Ce script ne reste pas statique : il va ensuite chercher un autre JavaScript depuis une source « hors page », avec une approche décrite comme de l’« EtherHiding ».
Dans ce modèle, le code récupéré est stocké via une forme de contrat et, une fois la ressource récupérée, il est exécuté dynamiquement. L’intérêt pour l’attaquant est double : complexifier le suivi de l’infrastructure et rendre l’étape d’exécution plus difficile à analyser à partir du contenu initial de la page.
Parmi les domaines ayant servi à héberger ces prompts ClickFix, les chercheurs citent notamment : abogadosrosarinos[.]com, aptisweb[.]com, avene-hebergement[.]com, https-xhamster[.]com, www.caesarjaco.co[.]id et skybap[.]shop.
Abus de CDN : jsDelivr utilisé pour héberger des scripts malveillants
Les campagnes ClearFake ont aussi évolué. Les observateurs notent l’intégration d’un hébergement via cdn.jsdelivr[.]net pour diffuser le JavaScript malveillant. L’abus est notable : l’infrastructure visait à l’origine à fournir du contenu légitime sous forme de bibliothèque, mais l’acteur s’en sert pour déployer des composants de l’attaque, dont un script PowerShell.
Ce choix s’accompagne d’une logique d’« interchangeabilité » des ressources : lorsque des dépôts ou références sont retirés ou neutralisés rapidement, une autre version peut être substituée. L’approche EtherHiding aiderait à remplacer plus facilement des URL « cramées » par de nouvelles URL fonctionnelles.
Commandes Windows : conhost, WebDAV et rundll32
La partie système de l’infection s’appuie sur une exécution en plusieurs temps. Le prompt ClickFix mène à la construction d’une commande qui utilise conhost pour lancer un processus cmd.exe sans visibilité immédiate. Ensuite, la chaîne mappe un partage WebDAV distant via pushd, puis lance le chargeur au moyen de rundll32.exe.
Les chercheurs soulignent que la technique par WebDAV recoupe une campagne similaire déjà documentée par Microsoft. Plusieurs variantes de la commande ont été observées, avec une base commune : invocation de rundll32.exe après montage de la ressource distante.
Dans la variante la plus avancée, la furtivité augmente : la chaîne s’exécute via conhost.exe en mode headless, supprime ou réduit l’apparition de fenêtres de console visibles, et utilise aussi l’obfuscation via des expansions différées de variables d’environnement. Le but est de masquer des éléments essentiels tels que pushd, rundll32 et le nom de l’hôte distant.
Pourquoi WordlistLoader change la donne dans la chaîne Amatera
Une différence importante ressort : alors que Microsoft avait observé entre fin avril 2026 et mi-juin 2026 des chargeurs basés sur Python dans le cadre d’une chaîne liée à l’intrusion menant à ACR Stealer, ces chargeurs seraient remplacés par WordlistLoader dans le schéma actuel.
Le voleur Amatera n’est pas forcément isolé : les chercheurs indiquent aussi des mécanismes alternatifs autour d’ACR Stealer, notamment via des prompts ClickFix déclenchant une commande qui fait appel à MSHTA pour récupérer et exécuter un contenu HTA hébergé sur un domaine contrôlé.
Du shellcode encodé en mots au chargeur réflexif
Dans le cœur de l’opération, WordlistLoader agit comme une étape intermédiaire. Son rôle principal est de reconstruire un shellcode servant d’entrée à des étapes ultérieures. Les chercheurs décrivent aussi une logique d’évitement : une méthode basée sur des breakpoints matériels pour contourner Event Tracing for Windows (ETW) et limiter les traces.
Le nom WordlistLoader s’explique par la représentation du shellcode : il est stocké sous forme d’une suite de mots en anglais, chaque mot correspondant à un octet. Une variante a également été identifiée, remplaçant cette liste de mots par des blocs codés en UUID de 16 octets.
Une fois reconstruit, le shellcode s’appuie sur un chargeur réflexif, chargé de dépaqueter et d’initialiser Amatera. Les chercheurs rapportent que ce composant réflexif a déjà été observé dans une campagne ClickFix précédente, associée à une autre version du voleur.
SynkLoader : phishing via Microsoft Teams et écran de verrouillage factice
En parallèle, les chercheurs décrivent SynkLoader, distribué via une campagne de phishing utilisant Microsoft Teams pour aspirer des informations de connexion. Le scénario rapporté consiste en un contact provenant d’une fausse « IT Service Desk ».
Le message utiliserait souvent un domaine d’e-mail par défaut de Microsoft 365, du type <username>@<company>.onmicrosoft.com. L’utilisateur est convaincu de télécharger et d’installer un fichier MSI hébergé sur un point de stockage Azure.
MSI, script PowerShell en mémoire et chargeur Python
Le fichier MSI se présente comme un outil « PowerShell Cleaner ». À l’exécution, il extrait une archive ZIP ainsi qu’un script PowerShell. Ce script est exécuté automatiquement en mémoire, ce qui vise à réduire les artefacts persistants sur le disque.
Le script extrait ensuite le contenu nécessaire puis lance un chargeur écrit en Python. Celui-ci sélectionne au hasard un domaine de commande et contrôle parmi trois options codées en dur, puis contacte le serveur avec des pauses comprises entre 90 et 120 secondes entre requêtes.
Les réponses sont déchiffrées puis exécutées côté chargeur. Au moins sept modules ont été identifiés dans le toolkit : un System Profiler (DLL C#), un module de persistance via tâches planifiées, un PhishLocker qui affiche un écran de verrouillage factice pour collecter le mot de passe, et un TrafficRedirector jouant le rôle de proxy/retour vers le réseau.
Les observateurs citent aussi un module d’accès interactif (RAT), un module VNC (StreamMaster) pour visualiser le bureau et piloter la souris/clavier, ainsi qu’un script de vérification d’état (Status Checker) qui remonte quels modules tournent actuellement.
Objectifs finaux : vol d’identifiants et possible rôle dans des opérations d’accès
Les chercheurs indiquent ne pas avoir la certitude des intentions exactes des opérateurs. Toutefois, la combinaison des capacités (collecte de mots de passe via écran de verrouillage, persistance, contrôle à distance) rend plausible une utilisation pour des activités liées à des groupes d’accès initial ou à des opérations d’extorsion.
Dans tous les cas, l’intérêt pour les cybercriminels est clair : réduire la visibilité de la compromission, compliquer l’analyse et accélérer l’activation d’une charge utile ciblée.
Ce que les organisations peuvent retenir
Ces campagnes rappellent que les attaques modernes se servent d’interfaces familières (CAPTCHA, écrans de verrouillage) et d’infrastructures légitimes (CDN). Pour réduire le risque, il est essentiel d’encadrer les interactions utilisateur : éviter l’exécution de commandes issues de pages web, renforcer la sensibilisation contre le phishing, et maintenir une hygiène de poste qui limite l’exécution de composants non attendus.
Sur le plan défense, la compréhension des chaînes d’exécution (conhost, rundll32, WebDAV, scripts PowerShell en mémoire, modules VNC/RAT) aide à orienter les règles de détection et les procédures d’investigation.
En conclusion : WordlistLoader ClickFix illustre une approche où une vérification « anti-bot » est détournée pour pousser la victime à exécuter une commande. Couplée à des techniques d’évitement et à un chargement progressif, cette chaîne sert à livrer Amatera. De son côté, SynkLoader démontre comment le phishing via Teams peut mener à un vol d’identifiants et à une prise de contrôle via un ensemble de modules.
Source: https://thehackernews.com/2026/08/wordlistloader-delivers-amatera-via.html
