Contexte et propagation
Le phénomène ClickFix, décrit comme «exotique» il y a peu, est aujourd'hui répandu sur les sites légitimes. Le chercheur indépendant Kevin Beaumont cite une multiplication des signalements sur Reddit, où chaque jour de nouveaux comptes partagent des captures d'écran d'infections. Le texte indique que même des groupes soutenus par le Kremlin ont intégré la technique, ce qui montre une adoption au-delà des cybercriminels opportunistes.
Mécanisme d’injection via CAPTCHA
Le vecteur repose sur la compromission d'un site web, souvent par injection de scripts côté serveur. Une fois le serveur contrôlé, l'attaquant superpose un fake CAPTCHA qui imite l'apparence de services comme Cloudflare. L'utilisateur, en résolvant le défi visuel, déclenche l'affichage d'une ligne de texte masquée contenant la commande malveillante. Cette approche exploite la fatigue des utilisateurs face aux interstitiels et aux CAPTCHAs complexes, les incitant à copier sans vérifier.
La commande apparaît dans un champ de texte obscurci, parfois avec des caractères de couleur similaire au fond ou des espaces invisibles, afin de réduire la visibilité d'éventuels indicateurs de danger. Le texte est présenté comme une instruction légitime, par exemple «exécuter le script pour débloquer le contenu», ce qui augmente le taux d'acceptation.
Analyse des commandes malveillantes
Les victimes sont invitées à coller la chaîne dans Windows Run, PowerShell ou le terminal macOS. Ces environnements offrent un accès direct au système d'exploitation, contournant les protections du navigateur. Une fois exécutée, la commande télécharge généralement un chargeur depuis un serveur distant via Invoke-WebRequest ou curl, puis lance un exécutable ou un script PowerShell qui installe un cheval de Troie.
Sur macOS, la même logique s'applique : la commande utilise curl -O pour récupérer un binaire, suivi de chmod +x et d'une exécution en arrière-plan. Le recours à une seule ligne de code simplifie la diffusion, car aucune interaction supplémentaire n'est requise après le collage.
Contremesures et limites
La prévention repose d'abord sur la sécurisation des sites web. L'utilisation de CSP (Content‑Security‑Policy) stricte et de SRI (Subresource Integrity) réduit les possibilités d'injection de scripts tiers. Au niveau du client, les navigateurs peuvent désactiver l'exécution de commandes copiées depuis des champs non sécurisés ou afficher un avertissement lorsqu'un texte contenant des caractères typiques de scripts est collé dans le presse‑papiers.
Les systèmes d'exploitation offrent des filtres d'exécution (AppLocker, Gatekeeper) qui bloquent les binaires non signés. Cependant, la réussite d'une attaque ClickFix dépend de la confiance accordée à la source du texte ; tant que l'utilisateur accepte de lancer la commande, les contrôles restent limités. Une sensibilisation ciblée, combinée à des solutions de filtrage de contenu au niveau du réseau, constitue la réponse la plus efficace contre ce vecteur en pleine expansion.
