DOUBLECUP : le loader-as-a-service russe qui planque son premier payload dans le cache image de votre navigateur

Rapport CTI technique du 6 août 2026

Résumé exécutif

SOCRadar a documenté DOUBLECUP, un service de loader-as-a-service russe actif depuis début juin 2026, qui fournit à ses clients un outil Windows en Go pour configurer des campagnes ClickFix et un backend complet gérant l'hébergement des images PNG stéganographiques, les endpoints de session, les clés de chiffrement et la reconstruction automatique des charges utiles. Le service a été découvert après qu'un répertoire ouvert à l'adresse 213.139.77.109:9090 a exposé des fichiers de test, la même IP hébergeant ensuite le panneau de licence du service.

Techniquement, DOUBLECUP se distingue par un mécanisme en deux temps : il force d'abord le navigateur de la victime à mettre en cache une image PNG contenant un payload dissimulé dans les données de pixels, puis convainc la victime via un faux CAPTCHA de coller et exécuter une commande qui récupère ce PNG depuis le cache local via findstr ou certutil, plutôt que de télécharger un fichier suspect depuis le réseau. La chaîne aboutit au déploiement de CountLoader, mis à jour pour Windows et macOS, et d'un nouveau RAT baptisé DeviceManager qui utilise l'EtherHiding (résolution de C2 via smart contract Ethereum ou Polygon) pour résister aux tentatives de disruption.

Chronologie

Fiche vulnérabilité (format fiche CTI)

Ce dossier ne repose pas sur une CVE isolée mais sur un abus d'ingénierie sociale (ClickFix) combiné à de la stéganographie applicative. La fiche suivante adapte le format standard en fiche de service/campagne.

DOUBLECUP | Loader-as-a-Service | ClickFix + stéganographie PNG côté navigateur

Modèle économique : abonnement avec licence, livré sous forme d'un outil Windows compilé en Go permettant à l'opérateur client de configurer domaine de campagne, chemin d'URL, méthode de stéganographie, type d'intégration et emplacements de charge utile. Le service génère ensuite un endpoint de configuration API renvoyant l'URL et la taille de l'image stéganographique, un endpoint de session, et des commandes adaptées spécifiquement à Chrome, Edge, Firefox, Brave et Opera. Conditions d'exploitation : la victime doit visiter un site ClickFix contrôlé par un client du service (souvent un faux CAPTCHA sur une page imitant NetSuite, Odoo, HubSpot ou Salesforce, chargé via iframe embarqué), doit voir son navigateur mettre en cache l'image PNG piégée, puis doit elle-même coller et exécuter la commande copiée automatiquement dans son presse-papiers. Il n'y a pas de vulnérabilité logicielle exploitée au sens CVE : la chaîne repose entièrement sur l'action de la victime. PoC disponible : sans objet, il s'agit d'un service opérationnel documenté par observation directe (SOCRadar Threat Research Unit), pas d'une vulnérabilité avec preuve de concept publiée. Patch/mitigation : aucun correctif logiciel ; la mitigation passe par le blocage des exécutions de commande copiées-collées, la restriction de certutil et findstr en tant que vecteurs de décodage, et la sensibilisation aux prompts ClickFix (voir checklist de remédiation).

Diagramme de la chaîne d'attaque

Diagramme reconstitué à partir de la description technique du service par SOCRadar et de sa reprise par BleepingComputer, centré sur l'infrastructure DOUBLECUP et ses payloads. Sources : SOCRadar, BleepingComputer.

Analyse technique

Étape 1 : configuration de campagne et provisioning côté service

L'opérateur client configure sa campagne via l'outil Windows en Go fourni par DOUBLECUP : domaine cible, chemin d'URL du site ClickFix, méthode de stéganographie à appliquer au PNG, type d'intégration de la charge utile et emplacements des payloads finaux. Le service central gère l'hébergement de l'image stéganographique, les endpoints de session et de configuration, la distribution des clés de chiffrement et la reconstruction automatique des payloads, ce qui laisse à l'opérateur la seule responsabilité de créer et héberger le site d'appât et d'y intégrer le code frontend généré.

Étape 2 : mise en cache forcée de l'image piégée

Lorsqu'une victime visite un site ClickFix intégrant le code DOUBLECUP (observé sous forme de faux CAPTCHA sur des pages imitant NetSuite, Odoo, HubSpot ou Salesforce, chargées via iframe), le service enregistre la session, détermine l'adresse IP publique de la victime, puis force le navigateur à télécharger et mettre en cache l'image PNG malveillante. Cette étape ne déclenche aucune alerte antivirus classique puisqu'il s'agit d'un simple chargement d'image, une opération anodine pour n'importe quel moteur de détection basé sur le trafic réseau.

Étape 3 : récupération du premier stage depuis le cache local

La page affiche ensuite une instruction de type faux CAPTCHA incitant la victime à coller et exécuter une commande déjà copiée automatiquement dans son presse-papiers. Cette commande, adaptée au navigateur détecté (Chrome, Edge, Firefox, Brave ou Opera), recherche dans le cache local du navigateur le fichier PNG correspondant à la taille exacte attendue, puis utilise findstr ou certutil pour en extraire et exécuter le premier payload dissimulé dans les données de pixels. L'usage de binaires Windows légitimes (LOLBins) pour cette extraction complique la détection basée sur la présence d'outils suspects.

Étape 4 : dérivation de clé liée à l'IP et exécution en mémoire

Le premier payload lance un second stage fileless qui récupère l'adresse IPv4 publique de la victime et l'utilise pour dériver une clé de déchiffrement du payload final chiffré. Après vérification du payload déchiffré contre un hachage SHA-256 codé en dur, le dropper l'exécute directement en mémoire, sans jamais écrire le binaire final sur le disque de façon persistante avant exécution, ce qui réduit la surface de détection par les solutions basées sur l'analyse de fichiers statiques.

Étape 5 : déploiement de CountLoader et de DeviceManager RAT

SOCRadar identifie deux familles de charges utiles livrées via DOUBLECUP. CountLoader, mis à jour pour cibler Windows et macOS, collecte des informations sur le système infecté, vérifie la présence d'applications de portefeuille cryptomonnaie et d'extensions de navigateur associées, détecte l'installation de Signal Desktop, établit une persistance via tâches planifiées côté Windows et via un LaunchAgent côté macOS, et peut télécharger et exécuter des paquets MSI, modules PowerShell ou DLL additionnels. DeviceManager, un RAT modulaire en Python identifié comme inédit jusqu'ici, utilise la technique EtherHiding pour résoudre l'adresse de son serveur de commande et contrôle via un smart contract Ethereum ou Polygon, puis communique par enregistrements DNS de type A et TXT pour exfiltrer des informations système, récupérer des commandes et transmettre les résultats d'exécution. Hors pays membres de la CEI, DeviceManager collecte GUID machine, identifiant disque, SID utilisateur, nom d'hôte, nom d'utilisateur, version et architecture du système d'exploitation, antivirus installé et informations de domaine.

Indicateurs de compromission

SOCRadar n'a pas publié de liste exhaustive de domaines de campagne ClickFix client au moment de la rédaction, ces domaines étant générés à la volée par chaque opérateur utilisant le service plutôt que centralisés par DOUBLECUP lui-même.

MITRE ATT&CK

Cartographie construite à partir des éléments techniques confirmés par SOCRadar, il ne s'agit pas d'une attribution officielle vendeur mais d'une lecture technique de la chaîne observée.

Remédiation : checklist opérationnelle

1. Bloquer au niveau EDR l'exécution de certutil et findstr avec des arguments pointant vers le répertoire de cache navigateur, comportement rarement légitime en usage courant.
2. Restreindre ou journaliser les collages de commande dans les invites PowerShell et Exécuter via une politique de groupe, cible directe des attaques ClickFix.
3. Filtrer au niveau proxy/DNS les résolutions de C2 basées sur des interactions avec les réseaux Ethereum ou Polygon depuis des postes utilisateurs standards, hors cas d'usage métier connu.
4. Sensibiliser les utilisateurs aux prompts de type « vérification humaine » demandant explicitement d'ouvrir une invite de commande, un schéma que ni un CAPTCHA ni une vérification anti-bot légitime ne requiert jamais.
5. Surveiller les connexions à des portails SaaS (NetSuite, Odoo, HubSpot, Salesforce) chargés via iframe depuis des domaines tiers non référencés, indicateur de page d'appât ClickFix.
6. Déployer une détection comportementale sur la création de fichiers PNG dans le cache navigateur suivie d'un accès en lecture par un processus shell dans les secondes suivantes, signature comportementale de ce type de chaîne.

Sources

• New DOUBLECUP ClickFix service hides malware in browser cache images (BleepingComputer)
• Introducing DOUBLECUP, a ClickFix Loader Delivering CountLoader and DeviceManager RATs (SOCRadar)
• DOUBLECUP Uses ClickFix and Cached PNGs to Deliver CountLoader and DeviceManager RAT (The Hacker News)