Qu’est-ce qu’une attaque ClickFix et comment fonctionne-t-elle en détail ?

Actualités numériques » Ressources » Qu'est-ce qu'une attaque ClickFix et comment fonctionne-t-elle en détail ?

Les attaques ClickFix sont devenues l'une des techniques d'ingénierie sociale les plus en vogue dans le monde de la cybercriminalité : des campagnes qui semblent inoffensives, avec de faux avertissements de navigateur ou de faux contrôles de sécurité, mais qui finissent par amener l'utilisateur à exécuter du code malveillant sur son ordinateur, presque sans s'en rendre compte.

Loin d'être une simple curiosité technique, ClickFix a déjà été aperçu dans de véritables campagnes en Amérique latine, en Europe et dans d'autres régions , distribuant des voleurs d'informations, des chevaux de Troie d'accès à distance (RAT) et des chargeurs complexes tels que GHOSTPULSE ou NetSupport RAT, et tirant même parti des vidéos TikTok ou des tutoriels YouTube pour atteindre des milliers de victimes.

Qu'est-ce qu'une attaque ClickFix exactement ?

ClickFix est une technique d'ingénierie sociale relativement récente (popularisée depuis 2024) qui repose sur un principe très simple : convaincre l'utilisateur de copier et d'exécuter des commandes sur son propre système pour « résoudre » un prétendu problème technique ou effectuer une vérification.

Au lieu de télécharger directement un programme malveillant, le site Web malveillant injecte un script ou une commande dans le presse-papiers (par exemple, des commandes PowerShell sous Windows ou MSHTA) puis affiche des instructions étape par étape pour que la victime le colle et l'exécute dans une console, une boîte de dialogue Exécuter ou un terminal.

Cette tactique exploite ce que de nombreux chercheurs appellent la « fatigue de vérification » : les utilisateurs ont l'habitude de cliquer rapidement sur des boutons comme « Je suis humain », « Corriger » ou « Mettre à jour maintenant » sans trop analyser le message, ce qui les rend très vulnérables lorsque l'écran ressemble à une vérification Cloudflare, à un CAPTCHA Google ou à une erreur Google Meet ou Zoom.

Le nom ClickFix provient précisément des boutons qui apparaissent généralement dans ces appâts , avec des textes comme « Réparez-le », « Comment réparer », « Réparez maintenant » ou « Résolvez le problème », qui donnent l’impression à l’utilisateur d’appliquer une solution rapide, alors qu’en réalité il copie et exécute un script qui télécharge un logiciel malveillant.

Comment fonctionne une attaque ClickFix étape par étape

Bien qu'il existe de nombreuses variantes, presque toutes les attaques ClickFix suivent une séquence commune qui combine des sites web compromis, des scripts JavaScript malveillants et l'intervention « forcée » de l'utilisateur pour exécuter le code.

La première étape consiste généralement à visiter un site web légitime qui a été compromis ou une page directement malveillante , à laquelle la victime accède via un lien dans un courriel d'hameçonnage, des résultats de moteurs de recherche manipulés (référencement malveillant), des publicités malveillantes ou même une vidéo TikTok ou YouTube présentant de prétendues astuces pour activer un logiciel payant.

Sur cette page apparaît un faux avertissement ou une fausse vérification simulant un problème technique : erreur de chargement d’un document, échec de la mise à jour du navigateur, problèmes de microphone ou de caméra dans Google Meet/Zoom, ou un prétendu contrôle anti-bot comme Cloudflare ou reCAPTCHA qui vous empêche de continuer tant que le problème n’est pas « résolu ».

Dès que l'utilisateur clique sur le bouton « corriger » ou coche la case « Je suis humain » , un script JavaScript injecte automatiquement une commande malveillante dans le presse-papiers, généralement une commande PowerShell ou MSHTA obfusquée qui téléchargera ensuite un autre logiciel malveillant depuis un serveur distant.

Le site web affiche un guide détaillé à l'intention de la victime pour exécuter cette commande , par exemple :

• Cliquez sur le bouton « Corriger » pour « copier le code de la solution »..
• Appuyez sur les touches Win+R pour ouvrir la fenêtre Exécuter sous Windows.
• Appuyez sur Ctrl+V pour coller le contenu du presse-papiers. (la commande malveillante).
• Appuyez sur Entrée pour « corriger le problème » ou poursuivre la vérification..

Dans les variantes plus avancées, l'astuce se fait avec Win+X ou avec la console du navigateur : l'utilisateur est invité à ouvrir un terminal PowerShell avec des privilèges d'administrateur à partir du menu rapide (Win+X) ou à utiliser la console du navigateur (F12 ou Ctrl+Shift+I) et à y coller un bloc de code JavaScript ou une fonction de « vérification ».

Une fois la commande exécutée, le reste de l'infection se développe en arrière-plan : le script télécharge d'autres éléments à partir de serveurs de commande et de contrôle (C2), décompresse des fichiers, exécute des DLL malveillantes par chargement latéral et finit par installer des voleurs d'informations ou des RAT en mémoire ou sur disque.

Pourquoi ClickFix est-il si difficile à détecter ?

L'un des grands avantages de ClickFix pour les attaquants est qu'il contourne de nombreuses barrières de sécurité traditionnelles , car la chaîne d'infection semble commencer par l'utilisateur lui-même et non par un fichier téléchargé ou une exploitation classique.

Il n'y a pas forcément de pièce jointe suspecte ou de fichier exécutable téléchargé directement depuis le navigateur , ce qui signifie que de nombreux filtres de messagerie, bloqueurs de téléchargement et vérifications de réputation d'URL ne détectent rien d'ouvertement malveillant lors de cette première phase.

La commande est exécutée depuis un « shell de confiance » du système, tel que PowerShell, cmd.exe ou la console du navigateur , ce qui donne au logiciel malveillant l'apparence d'une activité légitime et complique le travail des programmes antivirus basés sur les signatures et de certaines solutions de sécurité qui ne sont pas très performantes en matière d'analyse comportementale.

Les produits de sécurité détectent généralement la menace lorsque la charge utile a déjà été exécutée ou tente de s'intégrer à des processus protégés, de modifier des fichiers critiques tels que le fichier hosts, d'établir une persistance ou de communiquer avec un serveur C2 ; c'est-à-dire dans une phase post-exploitation.

À ce moment-là, l'attaquant aura peut-être déjà obtenu un accès important au système : élévation de privilèges, vol d'identifiants, déplacement latéral au sein du réseau d'entreprise, voire tentative de désactivation de l'antivirus et d'autres niveaux de défense.

Où ClickFix est vu en pratique : canaux et leurres courants

Des recherches menées par différents laboratoires de sécurité ont montré que ClickFix est utilisé dans un très large éventail de campagnes , ciblant à la fois les particuliers et les entreprises de secteurs critiques.

Les attaquants utilisent souvent ces canaux pour déployer leurs leurres ClickFix :

• Des sites web légitimes compromis, dans lesquels ils injectent des frameworks JavaScript comme ClearFake pour afficher de fausses notifications de mise à jour ou de vérification.
• Publicité malveillante (malvertising)notamment les bannières et les publicités sponsorisées qui redirigent vers de fausses pages de téléchargement de logiciels ou de validation de navigateur.
• Tutoriels et vidéos sur YouTube ou TikTok, avec des astuces présumées permettant d'activer des logiciels ou de débloquer gratuitement des fonctionnalités premium.
• Faux forums et sites web d'assistance technique imitant les portails d'aide, où il est « recommandé » d'exécuter des commandes pour corriger les erreurs système.

En Amérique latine, des cas ont déjà été documentés où des sites officiels et universitaires ont été compromis : par exemple, le site web de l'École d'ingénierie industrielle de l'Université catholique du Chili ou le site web du Fonds de logement de la police du Pérou, qui ont fini par afficher des flux ClickFix à leurs visiteurs.

Les agences de sécurité américaines ont mis en garde contre des campagnes ciblant les utilisateurs recherchant des jeux, des lecteurs PDF, des navigateurs Web3 ou des applications de messagerie , en exploitant les recherches quotidiennes pour les rediriger vers des pages utilisant ClickFix.

Des campagnes ont également été observées qui utilisent de prétendues pages Google Meet, Zoom, DocuSign, Okta, Facebook ou Cloudflare , où une erreur de navigateur ou une vérification CAPTCHA s'affiche, obligeant l'utilisateur à suivre une séquence de copie et d'exécution de commandes.

Les logiciels malveillants les plus courants distribués avec ClickFix

ClickFix est rarement le seul élément de l'attaque ; il ne s'agit généralement que du vecteur initial permettant le déploiement d'une chaîne d'infection à plusieurs étapes avec une grande variété de logiciels malveillants.

Parmi les familles les plus en vue observées lors des campagnes récentes, on peut citer :

• Les voleurs d'informations comme Vidar, Lumma, Stealc, Danabot, Atomic Stealer ou Odyssey Stealer, spécialisée dans le vol d'identifiants de navigateur, de cookies, de données de remplissage automatique, de portefeuilles de cryptomonnaies, d'identifiants VPN et FTP, etc.
• Les RAT (chevaux de Troie d'accès à distance) tels que NetSupport RAT ou ARECHCLIENT2 (SectopRAT)qui permettent aux attaquants de contrôler le système, d'exécuter des commandes, d'exfiltrer des informations et de lancer des phases ultérieures, notamment des rançongiciels.
• Chargeurs avancés tels que GHOSTPULSE, Latrodectus ou ClearFakequi servent de colle, téléchargeant, déchiffrant et chargeant les éléments suivants en mémoire, souvent avec des couches d'obfuscation et de chiffrement très élaborées.
• Outils pour le vol d'informations financières et d'entreprise, qui extraient des données à partir de formulaires, de clients de messagerie, de messagerie instantanée et d'applications professionnelles.

Dans les campagnes actives en 2024 et 2025, ClickFix a été vu en train d'alimenter des chaînes complexes : par exemple, un leurre ClickFix qui lance un PowerShell, celui-ci télécharge un fichier ZIP contenant un exécutable légitime (tel que jp2launcher.exe de Java) et une DLL malveillante, et par le biais d'un chargement latéral, finit par exécuter NetSupport RAT sur l'ordinateur.

Un autre cas courant est l'utilisation de MSHTA avec des URL obscurcies vers des domaines comme iploggerco , qui imitent des services légitimes de raccourcissement d'URL ou d'enregistrement ; à partir de là, un script PowerShell encodé en Base64 est téléchargé qui finit par libérer des stagers Lumma Stealer ou similaires.

Études de cas réelles et campagnes phares avec ClickFix

Des rapports provenant de plusieurs équipes d'intervention en cas d'incident et de laboratoires de sécurité ont identifié de multiples campagnes très actives ciblant ClickFix comme point d'entrée.

Dans le secteur des entreprises, un impact notable a été observé dans des domaines tels que les technologies de pointe, les services financiers, la fabrication, le commerce de détail et de gros, l'administration publique, les services professionnels et juridiques, l'énergie et les services publics, entre autres.

Lors d'une campagne menée en mai 2025, des attaquants ont utilisé ClickFix pour déployer NetSupport RAT via de fausses pages imitant DocuSign et Okta, en tirant parti de l'infrastructure associée au framework ClearFake pour injecter du JavaScript qui manipulait le presse-papiers.

Au cours des mois de mars et avril 2025, une augmentation du trafic vers les domaines contrôlés par la famille Latrodectus a été constatée , qui a commencé à utiliser ClickFix comme technique d'accès initiale : un portail compromis redirigeait vers une fausse vérification, la victime exécutait un PowerShell à partir de Win+R et celui-ci téléchargeait un MSI qui déposait la DLL malveillante libcef.dll.

En parallèle, des campagnes de typosquatting liées à Lumma Stealer ont été détectées , dans lesquelles les victimes étaient invitées à exécuter des commandes MSHTA pointant vers des domaines imitant iplogger ; ces commandes téléchargeaient des scripts PowerShell fortement obfusqués qui finissaient par décompresser des packages contenant des exécutables tels que PartyContinued.exe et du contenu CAB (Boat.pst) pour configurer un moteur de script AutoIt responsable du lancement de la version finale de Lumma.

Elastic Security Labs a également décrit des campagnes où ClickFix sert de point d'entrée initial pour GHOSTPULSE , qui charge à son tour un chargeur .NET intermédiaire et injecte finalement ARECHCLIENT2 en mémoire, contournant des mécanismes tels que AMSI grâce à l'interception et à une obfuscation avancée.

Du côté de l'utilisateur final, plusieurs fournisseurs ont présenté des exemples simplifiés de l'attaque ClickFix dans laquelle une page de « mise à jour du navigateur » ou un faux CAPTCHA copie silencieusement un script dans le presse-papiers, puis force l'utilisateur à le coller dans PowerShell avec des privilèges d'administrateur, facilitant ainsi la connexion à l'infrastructure C2 et le téléchargement de fichiers exécutables qui modifient le système.

Un phénomène particulièrement inquiétant est l'arrivée de ClickFix sur TikTok : des vidéos générées même avec l'IA font la promotion de « méthodes faciles » pour activer gratuitement des versions payantes d'Office, de Spotify Premium ou de programmes d'édition, mais en réalité, elles incitent les utilisateurs à copier-coller des commandes malveillantes qui installent des voleurs d'informations comme Vidar ou Stealc.

Comment les analystes détectent les infections ClickFix

Bien que cela puisse paraître de la magie noire à l'utilisateur, les infections ClickFix laissent une trace technique que les équipes de chasse aux menaces et les EDR peuvent utiliser pour détecter l'incident.

Dans les environnements Windows, l'un des points d'analyse est la clé de registre RunMRU , qui stocke les commandes récemment exécutées à partir de la fenêtre Exécuter (Win+R) :

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU

Les analystes examinent ces entrées à la recherche de schémas suspects : commandes obscurcies, utilisation de PowerShell ou de MSHTA avec des URL inhabituelles, appels à des domaines inconnus ou références à des outils d’administration que l’utilisateur moyen n’utilise généralement pas.

Lorsque les attaquants utilisent la variante Win+X (menu d'accès rapide) pour lancer PowerShell ou l'invite de commandes , l'indice est recherché dans la télémétrie des processus : événements de création de processus (tels que l'ID 4688 dans le journal de sécurité Windows) où explorer.exe lance powershell.exe juste après la pression sur Win+X.

La corrélation avec d'autres événements, tels que l'accès au dossier %LocalAppData%\Microsoft\Windows\WinX\ ou des connexions réseau suspectes après cette exécution , permet de définir le comportement typique d'une infection ClickFix, en particulier si des processus tels que certutil.exe, mshta.exe ou rundll32.exe apparaissent immédiatement après.

Un autre vecteur de détection est l'abus du presse-papiers : les solutions avancées de filtrage d'URL et de sécurité DNS peuvent identifier le JavaScript qui tente d'injecter des commandes malveillantes dans le tampon du presse-papiers, ce qui a pour effet de bloquer la page avant que l'utilisateur n'ait terminé la séquence.

Que cherchent à obtenir les attaquants avec la technique ClickFix ?

Derrière toutes ces manœuvres d'ingénierie sociale se cache un objectif clair : obtenir des avantages économiques grâce aux informations volées , aussi bien aux utilisateurs individuels qu'aux organisations.

Les logiciels espions déployés via ClickFix sont conçus pour collecter les identifiants, les cookies et les données sensibles stockées dans les navigateurs, les clients de messagerie, les applications d'entreprise ou les portefeuilles de cryptomonnaies, ainsi que les documents internes et les données financières.

Grâce à ce matériel, des individus malveillants peuvent mener de multiples activités criminelles :

• sociétés d'extorsionmenacer de divulguer des informations confidentielles sur l'organisation ou ses clients.
• Commettre une fraude financière directe en exploitant des comptes bancaires compromis, des systèmes de paiement en ligne ou des portefeuilles de cryptomonnaies.
• Se faire passer pour l'entreprise ou ses employés pour commettre des fraudes contre des tiers, telles que la fraude classique au PDG ou les attaques BEC.
• Vente de forfaits d'identifiants et de données sur le dark web que d'autres groupes criminels utiliseront lors de futures attaques.
• Pour mener des activités d'espionnage industriel ou géopolitique lorsque la cible est une organisation spécifique ou un secteur stratégique.

Dans de nombreuses campagnes documentées, ClickFix n'était que la première étape vers des attaques de plus grande envergure , notamment le déploiement de ransomwares après le vol d'identifiants, l'accès prolongé aux réseaux d'entreprise ou l'utilisation de l'infrastructure compromise comme tremplin vers d'autres cibles.

Comment les utilisateurs et les entreprises peuvent-ils se protéger contre ClickFix ?

Se défendre contre ClickFix combine technologie, bonnes pratiques et une grande vigilance , car le point faible exploité par cette technique est précisément le comportement de l'utilisateur.

Au niveau individuel, il existe plusieurs règles d'or très simples qui réduisent considérablement le risque de chute :

• Ne collez jamais de code dans une console (PowerShell, cmd, terminal, console du navigateur) simplement parce qu'un site web vous le demande.aussi légitime que cela puisse paraître.
• Méfiez-vous des vérifications Cloudflare, des CAPTCHA ou des pages de « mise à jour du navigateur » qui demandent des étapes étranges. au-delà du simple fait de cliquer sur une case ou un bouton.
• Maintenez votre navigateur, votre système d'exploitation et vos applications toujours à jour.Installez les correctifs à partir de sources officielles et non à partir de bannières ou de fenêtres contextuelles aléatoires.
• Activez l'authentification à deux facteurs (2FA) sur les comptes importants, afin de rendre la vie plus difficile aux attaquants même s'ils parviennent à voler le mot de passe.

Dans le contexte des entreprises, outre ces recommandations, les sociétés devraient aller plus loin et considérer ClickFix comme une menace spécifique au sein de leur stratégie de sécurité.

Voici quelques indicateurs clés pour les organisations :

• Limiter l'utilisation des outils d'exécution de commandes (PowerShell, cmd, MSHTA) par le biais de stratégies de groupe, de listes de contrôle d'applications ou de configurations EDR, afin que seuls les profils techniques les utilisent et que l'activité soit toujours consignée.
• Mettre en œuvre des solutions antimalware et EDR modernes doté de capacités de détection comportementale, capable d'identifier des schémas d'exécution suspects même lorsque l'utilisateur intervient.
• Surveillez le trafic réseau et les connexions sortantes vers les domaines ayant une mauvaise réputation.notamment en ce qui concerne les services de raccourcissement d'URL, les domaines nouvellement enregistrés ou les TLD inhabituels.
• Examinez régulièrement les artefacts tels que les journaux RunMRU, les journaux PowerShell et les événements de sécurité. pour détecter les indicateurs d'utilisation abusive des raccourcis Win+R, Win+X ou des consoles d'administration.

Un pilier fondamental est la formation continue et réaliste du personnel : un cours théorique ne suffit pas, mais il est utile de réaliser des tests d'ingénierie sociale contrôlés qui simulent des campagnes de type ClickFix, des fraudes au PDG, du phishing avancé ou du malvertising.

Ces simulations nous permettent de mesurer le niveau de maturité du personnel concernant ces techniques , d'ajuster la stratégie de sensibilisation, d'identifier les zones à risque plus élevé et de renforcer la culture du « s'arrêter et réfléchir » avant de suivre des instructions suspectes sur un site web ou dans un courriel.

De plus, il est essentiel que les entreprises soient prêtes à réagir rapidement à un incident : disposer de plans d’intervention clairs, d’équipes ou de prestataires spécialisés, et de processus de confinement et d’éradication bien définis pour le cas où un cas potentiel de ClickFix ou tout autre vecteur de compromission est détecté.

La prolifération de la technique ClickFix montre clairement que les attaquants ont trouvé un moyen très efficace de transformer les utilisateurs en complices involontaires , et qu'ils n'hésitent pas à la combiner avec des logiciels malveillants sophistiqués, des infrastructures C2 dynamiques et des campagnes massives sur les réseaux sociaux ou les moteurs de recherche ; comprendre son fonctionnement, reconnaître ses signaux et renforcer à la fois la technologie et la sensibilisation des utilisateurs fait aujourd'hui la différence entre subir une violation grave ou stopper l'attaque à temps.

Article connexe:

Comment se protéger des ransomwares Interlock et Warlock : un guide tactique et pratique