Il n'y a pas si longtemps, les attaques ClickFix étaient considérées comme exotiques. Désormais, la technique est devenue courante alors que les attaquants exploitent sa simplicité et son efficacité pour infecter les utilisateurs de PC et de Mac.

Tout ce dont ils ont besoin, c'est d'un site web compromis — une tâche assez simple —, d'une fausse superposition de CAPTCHA et de l'inclusion d'une seule commande de terminal. Tant de visiteurs se font piéger au point de coller et d'exécuter la commande que pratiquement tous les diffuseurs de logiciels malveillants ont adopté cette méthode. Même les groupes de pirates soutenus par le Kremlin s'y mettent.

"Reddit croule sous les publications de personnes dont l'ordinateur a été infecté via ClickFix", a observé jeudi le chercheur indépendant Kevin Beaumont. "Partout, des sites légitimes sont piratés pour afficher de faux messages CAPTCHA."

Combien d'entre nous aggravent la situation ? Les internautes plus chevronnés — dont un bon nombre parmi les lecteurs de ce site — ont tendance à rejeter rapidement cette attaque. Ils blâment généralement les personnes qui tombent dans ces pièges et s'étonnent de leur crédulité et de leur manque d'attention.

La réalité est que pour les utilisateurs plus occasionnels, l'utilisation des ordinateurs et d'Internet est devenue si complexe — entre les interstitiels impossibles à fermer, les CAPTCHA comportant une série interminable d'images à analyser et les interfaces en constante évolution qui masquent les fonctionnalités recherchées — qu'ils sont devenus insensibilisés à des instructions qui semblent ridicules et fastidieuses.

Les pirates de ClickFix capitalisent sur cette fatigue. Typiquement, les attaques débutent par une simple image de CAPTCHA, se faisant souvent passer pour un service de Cloudflare. Après avoir interagi avec la boîte, l'utilisateur voit apparaître une ligne de texte, souvent obscurcie pour masquer toute commande malveillante.

Ensuite, il est demandé à l'utilisateur de copier le texte, de le coller dans le terminal Windows Run, PowerShell ou macOS, puis de cliquer sur Entrée. Les instructions proviennent de sites Web utilisés depuis des années par les internautes. Ces consignes ne paraissent pas plus suspectes que celles exigées depuis une décennie.

Pourquoi une personne n'ayant pas de solides notions en cybersécurité aurait-elle des raisons d'hésiter ? Pour les concepteurs de ces attaques, ClickFix facilite grandement leur tâche.

Une méthode précédente utilisée par les responsables de l'installation de logiciels malveillants, suivis sous le nom de Lorem Ipsum, nécessitait selon la société de sécurité BlueVoyant une infrastructure lourde en ressources. Cela incluait des portails de téléchargement manipulés par le référencement et la publicité malveillante, des certificats de signature de confiance Microsoft et des domaines continuellement renouvelés pour diffuser des packages d'installation Microsoft.

"Le passage à ClickFix fin mai 2026 élimine complètement l'exigence de signature de code, remplaçant la légitimité d'un programme d'installation valablement signé par une autre forme de légitimité : un utilisateur exécutant volontairement la commande malveillante dans son propre terminal", a déclaré BlueVoyant.

"Bien que le modèle ClickFix élargisse le bassin de victimes, passant des utilisateurs recherchant spécifiquement Microsoft Teams à n'importe quel internaute naviguant sur un site web compromis..." La situation n'est pas meilleure pour les utilisateurs de macOS.

La société de sécurité Mac Jamf et un chercheur ont tous deux documenté des variantes macOS de ClickFix capables de contourner les protections Gatekeeper. Les attaquants utilisant ClickFix continuent de trouver de nouveaux moyens d'exploiter les services publics, notamment des feuilles de calcul Google Sheets publiées publiquement, selon Cisco Talos.

D'autres attaquants, dont le groupe russe Sandworm parrainé par l'État, hébergent leur infrastructure de contrôle dans des contrats intelligents basés sur la blockchain. La société de sécurité Netskope a récemment découvert une autre campagne utilisant la même approche.

L'entreprise de sécurité a dénombré 5 400 sites émettant des balises vers cette infrastructure, témoignant de l'ampleur et de la portée de cette campagne. Et tandis que les fabricants de systèmes d'exploitation et les défenseurs déploient de nouvelles protections, les pirates continuent de trouver des moyens documentés de les contourner.

Le résultat de tout cela est que ClickFix constitue un moyen hautement efficace et efficiant de propager toutes sortes de logiciels malveillants. Cette menace ne va pas disparaître, et blâmer ou stigmatiser les victimes ne fait qu'aggraver le problème.

Il existe un certain nombre de plugins, de produits autonomes et de défenses intégrées conçus pour atténuer le succès des attaques ClickFix. Par exemple, BlockBlock, le logiciel qui surveille sur Mac les processus cherchant à s'installer de manière permanente, peut bloquer les attaques ClickFix dès qu'un utilisateur appuie sur les touches ⌘+V. UBlock a été mis à jour pour accomplir une action similaire.

Au-delà de ces correctifs, ceux d'entre nous qui possèdent une plus grande formation en sécurité devraient sensibiliser leurs voisins, membres de la famille et amis moins expérimentés. L'adoption massive de ClickFix démontre son succès, et cette technique n'est pas près de disparaître.