Contexte et portée
Le titre de l’article indique que 186 noms de domaine, exploités sous l’étiquette « IA », sont utilisés pour rediriger les visiteurs vers des pages de phishing baptisées ClickFix, ainsi que vers des logiciels malveillants et des hijackers de recherche. Aucun détail supplémentaire n’est fourni dans la source, ce qui limite la visibilité sur la période d’activité, les pays d’enregistrement ou les acteurs derrière le réseau. La simple existence de près de deux cents domaines suggère une campagne automatisée, probablement orchestrée à l’aide de scripts de création de domaines à bas coût et de services d’hébergement bon marché.
Le recours à l’appellation « IA » constitue un leurre sémantique : les utilisateurs, en quête d’outils d’intelligence artificielle, sont incités à cliquer sur des liens qui semblent légitimes. Cette technique de « brand‑jacking » s’appuie sur la notoriété croissante de l’IA pour augmenter le taux de clics, sans que l’on dispose d’informations précises sur le trafic généré.
Mécanismes de redirection et d’infection
Les redirections observées sont typiquement implémentées via des réponses HTTP 301/302, des balises ou des scripts JavaScript qui modifient la propriété window.location. Une fois l’utilisateur redirigé vers la page ClickFix, le site agit comme un point d’appât : il peut afficher un formulaire de connexion factice, inciter à télécharger un « outil de réparation » ou déclencher un téléchargement silencieux de charge utile. Les malwares associés sont souvent des chevaux de Troie de type « browser hijacker », capables de modifier les paramètres du moteur de recherche, d’injecter des publicités ou de réécrire les requêtes DNS.
Techniquement, le hijacker s’installe via un exécutable Windows (souvent nommé setup.exe ou update.exe) qui, une fois exécuté, crée des clés de registre sous HKCU\Software\Microsoft\Windows\CurrentVersion\Run pour assurer la persistance. Il modifie également les paramètres du navigateur (Chrome, Edge, Firefox) en ajoutant des extensions ou en altérant les fichiers de configuration Preferences afin de rediriger les recherches vers des sites publicitaires. Le processus d’injection repose sur l’accès aux API de gestion des extensions, ce qui nécessite des privilèges d’administrateur ou l’exploitation de vulnérabilités de type UAC bypass.
Analyse des risques et contre‑mesures
Le principal risque réside dans la compromission de la chaîne de confiance du navigateur. Une fois le hijacker installé, l’utilisateur voit ses requêtes de recherche détournées, ce qui génère du trafic factice et expose les données de navigation à des tiers. De plus, le téléchargement de logiciels factices augmente la surface d’attaque, car les exécutables peuvent contenir des modules de key‑logging ou de ransomware.
Pour atténuer ces menaces, les organisations doivent mettre en place plusieurs couches de défense : filtrage DNS pour bloquer les résolutions de domaines suspects, inspection du trafic HTTP(S) afin de détecter les redirections multiples, et déploiement de solutions EDR capables d’intercepter les modifications de registre et les ajouts d’extensions non autorisées. Les navigateurs modernes offrent des fonctions de protection contre les téléchargements non sécurisés (SmartScreen, Safe Browsing) ; il convient de les activer et de maintenir les listes de réputation à jour.
Enfin, la sensibilisation des utilisateurs reste indispensable. Les campagnes de phishing basées sur l’IA exploitent la curiosité et la méconnaissance des outils d’IA. Un message d’avertissement clair, couplé à une formation régulière sur la vérification d’URL et la méfiance envers les offres de « réparation » gratuites, réduit significativement le taux de clics sur ces domaines factices.
