La page ClickFix demande aux visiteurs de copier et exécuter une commande fournie par l’attaquant.

REX Cyber · Veille du 2026-09-23. Faits attribués à www.varonis.com.

La page ClickFix demande aux visiteurs de copier et exécuter une commande fournie par l’attaquant.

Ce qui s’est passé

Les auteurs de www.varonis.com rapportent les constatations suivantes :

• La page ClickFix demande aux visiteurs de copier et exécuter une commande fournie par l’attaquant.
• Le chargeur communique via Tox comme pair, évitant un point de contrôle central, mais les connexions restent observables.
• AvisLoader persiste en modifiant les raccourcis du bureau et du dossier épinglé, lançant le malware via VLCAssistant.

Acteurs et cibles

Acteurs rapportés

Se reporter aux faits ci-dessus pour les acteurs et les cibles cités.

Cibles rapportées

Se reporter aux faits ci-dessus pour les acteurs et les cibles cités.

MITRE ATT&CK

Techniques directement associées au rapport

Aucune technique MITRE structurée directement associée à ce rapport dans les données disponibles.

Les identifiants proviennent des objets de renseignement. Les champs absents sont signalés ; aucune technique n’est ajoutée par déduction du texte.

Entités et contexte du rapport

• Malware : AvisLoader ; is_family : False ; confiance : 50/100 ; première observation déclarée : 1970-01-01T00:00:00.000Z ; dernière observation déclarée : 5138-11-16T09:46:40.000Z

Cette liste présente les objets associés par la source. La présence d’un pays, d’un secteur, d’un outil ou d’une CVE ne suffit pas à établir son rôle dans le cas. Les acteurs et les cibles confirmés par le récit sont précisés plus haut.

IOC et observables pour la recherche

3 valeurs typées issues des objets publics du rapport. Les valeurs ci-dessous sont neutralisées pour éviter les liens actifs. L’export CSV conserve les valeurs exactes.

Statuts de validité calculés au 2026-10-10T23:47:50+00:00, à partir du snapshot collecté. Ils doivent être réévalués avant un usage opérationnel ultérieur.

La confiance est le score de la source sur 100 ; elle n’est pas une probabilité de compromission.

Télécharger les IOC en CSV · Lire les IOC neutralisés (TXT) · Télécharger les renseignements structurés (JSON)

Comment utiliser les exports

Le CSV sert à rechercher les valeurs dans les journaux DNS, proxy, réseau et EDR selon leur type. La présence d’un observable dans un rapport ne suffit pas à justifier son blocage. Les indicateurs révoqués ou expirés sont conservés pour la recherche historique, avec leur statut.

Couverture et provenance

Rapport publié le 2026-09-23T17:33:28.958Z ; 7 objets publics et 6 relations publiques explicitement associées. Pagination complète. Une entité mentionnée n’établit pas, à elle seule, une attribution ou un ciblage. La fiche est générée automatiquement depuis les données du rapport et ses références publiques ; elle ne décrit pas un incident observé chez Gringao.

Texte de la source publique lu : extrait de 10451 caractères retenu, dans la limite de 12000 caractères. Le récit est vérifié sur cet extrait.

• Titre source : Meet AvisLoader: A Windows Loader Built to Outlast a Takedown
• Types de rapport : threat-report
• Labels : avisloader, clickfix, cloudflare, loader, p2p c2, persistence, shortcut modification, tox, uac bypass
• Confiance du rapport : 50/100
• Création déclarée par la source : 2026-09-23T17:33:28.958Z
• Modification déclarée par la source : 2026-09-26T19:46:14.658Z
• Import de l’objet de renseignement : 2026-09-26T19:46:13.527Z
• Mise à jour de l’objet de renseignement : 2026-09-26T19:46:14.658Z

Le JSON rassemble les métadonnées, les alias, les attributs structurés, les références, les relations, les techniques MITRE et tous les IOC retenus. Les dates d’import et de mise à jour sont distinctes de la date d’incident.

Source

Meet AvisLoader: A Windows Loader Built to Outlast a Takedown — www.varonis.com.