Comment fonctionne ClickFix : la supercherie en quatre étapes

L'attaque suit un schéma cohérent dans presque toutes les campagnes documentées :

1. Le leurre : l'utilisateur visite un site web compromis ou malveillant et tombe sur une fausse invite de vérification — un faux Google reCAPTCHA, une copie de la page Cloudflare « Vérifiez que vous êtes humain », un faux message de mise à jour du navigateur, ou un écran d'erreur frauduleux imitant QuickBooks ou Booking.com .
2. L'instruction copier-coller : la page affiche des instructions comme : « Appuyez sur Win + R, puis sur Ctrl + V, puis sur Entrée » pour effectuer la vérification .
3. La charge utile cachée : ce qui a été copié dans le presse-papiers de l'utilisateur est une commande PowerShell, mshta ou curl malveillante qui télécharge et exécute un chargeur de malware depuis un serveur distant .
4. L'exécution : la commande s'exécute avec les privilèges de l'utilisateur lui-même. Comme c'est l'utilisateur qui a collé et lancé la commande, les outils de détection des points de terminaison ne la signalent souvent pas comme une intrusion .

Cette technique est également connue sous le nom de pastejacking car elle exploite le presse-papiers comme vecteur d'infection .

Charges utiles livrées dans les campagnes ClickFix

Les attaquants ont utilisé les leurres ClickFix pour distribuer un large éventail de malwares, souvent dans des chaînes d'infection en plusieurs étapes :

• HijackLoader : un chargeur de première étape observé dans les chaînes ClickFix depuis au moins juin 2025, souvent suivi par le voleur d'informations DeerStealer .
• CastleLoader (alias CastleBot) : un framework de malware en tant que service actif depuis début 2025. Une campagne a utilisé un faux site web de suppression d'arrière-plan pour distribuer CastleLoader, qui a ensuite installé NetSupport RAT et un voleur .NET personnalisé ciblant les identifiants de navigateur, les portefeuilles de cryptomonnaies et les sessions Telegram .
• NetSupport RAT : un outil d'administration à distance légitime détourné par les attaquants pour un accès furtif persistant .
• StealC : un cheval de Troie voleur d'informations qui cible les identifiants de navigateur et les portefeuilles de cryptomonnaies .
• Amatera : un voleur d'informations distribué via une campagne ClickFix combinant de faux CAPTCHA avec des scripts Microsoft App-V signés .
• Voleur basé sur Rust : documenté dans des campagnes ClickFix polymorphes qui ont commencé fin 2025 .
• DeerStealer : observé comme charge utile exécutable finale après HijackLoader .
• ResiLoader : un nouveau chargeur documenté, conçu spécifiquement pour terminer plus de 140 processus d'antivirus et d'outils de sécurité sur la machine de la victime, désactivant ainsi les défenses avant l'exécution de la charge utile finale .

Méthodes de distribution

Les attaquants exploitent un large éventail d'infrastructures pour héberger et diffuser les attaques ClickFix :

• Stockage Cloudflare R2 : utilisé pour héberger des binaires de charge utile malveillante .
• Sous-domaines Cloudflare Pages : exploités pour servir de fausses pages CAPTCHA avec le certificat de confiance de Cloudflare .
• Hébergement Dedik Services Limited : observé comme fournisseur d'hébergement pour l'infrastructure de commande et de contrôle de ClickFix .
• Domaines expirés : domaines enregistrés ou ré-enregistrés utilisés pour la récolte d'identifiants et la livraison de charges utiles .
• Sites web compromis : le vecteur initial le plus courant. Les attaquants injectent du JavaScript malveillant ou des iframes dans des sites légitimes (souvent via des vulnérabilités de plug-in ou des exploits CMS) qui redirigent les visiteurs vers des pages d'atterrissage ClickFix .
• Empoisonnement SEO et malvertising : faux sites d'installation et portails de logiciels piratés poussés via les résultats des moteurs de recherche .
• Exploitation de la vulnérabilité Ghost CMS : en mai 2026, des attaquants ont exploité une vulnérabilité critique d'injection SQL dans Ghost CMS (CVE‑2026‑26980) pour détourner plus de 700 sites web éducatifs et technologiques légitimes et y injecter des invites ClickFix .

Importance de la menace : pourquoi ClickFix domine

• Le rapport 2025 sur la défense numérique de Microsoft a identifié ClickFix comme la méthode d'accès initial n°1, responsable de 47 % de toutes les attaques observées par Microsoft Defender Experts au cours de l'année précédente, surpassant le hameçonnage traditionnel (35 %) .
• La télémétrie d'ESET a enregistré une augmentation de 517 % des attaques ClickFix au cours du seul premier semestre 2025 .
• Dans une campagne documentée par Menlo Labs, ClickFix a livré des charges utiles multiplateformes : commandes PowerShell pour Windows, scripts .command pour macOS et scripts Bash pour Linux à partir d'un seul leurre JavaScript polymorphe .
• Le département américain de la Santé et des Services sociaux (HHS) a émis une alerte sectorielle sur ClickFix en juillet 2026, confirmant la portée de la technique dans les infrastructures critiques .
• Le groupe Insikt de Recorded Future a estimé en mars 2026 que ClickFix restera très probablement le vecteur d'accès initial dominant tout au long de l'année 2026 .

Mesures défensives : ce que recommandent les chercheurs

Parce que ClickFix exploite le comportement humain plutôt qu'une vulnérabilité logicielle, la défense repose fortement sur des contrôles techniques et la sensibilisation des utilisateurs :

• Restreindre l'exécution de PowerShell : empêcher les utilisateurs non administratifs d'exécuter des scripts PowerShell. Définir la stratégie d'exécution sur Restricted via la stratégie de groupe et consigner tous les événements d'exécution de PowerShell .
• Désactiver la boîte de dialogue Exécuter de Windows : une modification du registre (stratégie NoRun) peut empêcher l'utilisation de Win+R pour coller et exécuter des commandes .
• Considérer les instructions non sollicitées d'invite de commande comme des signaux d'alarme : aucun site web ou service légitime ne demande à un utilisateur d'appuyer sur Win+R, de coller une commande et d'appuyer sur Entrée. Cela devrait être le premier élément de la formation des utilisateurs .
• Bloquer l'exécution de mshta, cscript et curl à partir du contexte utilisateur : utiliser AppLocker ou Windows Defender Application Control pour restreindre les interpréteurs de scripts .
• Déployer des règles de détection des points de terminaison : surveiller les processus parents inhabituels de powershell.exe -ep bypass, la lignée de processus de explorer.exe vers les interpréteurs de scripts, et les artefacts de registre RunMRU .
• Utiliser les fonctions de sécurité du presse-papiers : les protections du presse-papiers au niveau du navigateur peuvent empêcher le mécanisme de copier-coller de base sur lequel ClickFix repose.

Fonctionnalité Paste Protect d'Opera

Opera a introduit une fonctionnalité native Paste Protect (disponible dans Opera 100+ sur Windows, macOS et Linux) qui intercepte et bloque les attaques par pastejacking. Lorsqu'un site web tente d'écrire programmatiquement une charge utile suspecte dans le presse-papiers, puis invite l'utilisateur à la coller, Paste Protect avertit l'utilisateur et bloque l'opération. Cela atténue directement la technique de base de ClickFix sans nécessiter l'installation d'une extension.

Comment fonctionne ClickFix : la supercherie en quatre étapes

L'attaque suit un schéma cohérent dans presque toutes les campagnes documentées :

1. Le leurre : l'utilisateur visite un site web compromis ou malveillant et tombe sur une fausse invite de vérification — un faux Google reCAPTCHA, une copie de la page Cloudflare « Vérifiez que vous êtes humain », un faux message de mise à jour du navigateur, ou un écran d'erreur frauduleux imitant QuickBooks ou Booking.com .
2. L'instruction copier-coller : la page affiche des instructions comme : « Appuyez sur Win + R, puis sur Ctrl + V, puis sur Entrée » pour effectuer la vérification .
3. La charge utile cachée : ce qui a été copié dans le presse-papiers de l'utilisateur est une commande PowerShell, mshta ou curl malveillante qui télécharge et exécute un chargeur de malware depuis un serveur distant .
4. L'exécution : la commande s'exécute avec les privilèges de l'utilisateur lui-même. Comme c'est l'utilisateur qui a collé et lancé la commande, les outils de détection des points de terminaison ne la signalent souvent pas comme une intrusion .

Cette technique est également connue sous le nom de pastejacking car elle exploite le presse-papiers comme vecteur d'infection .

Charges utiles livrées dans les campagnes ClickFix

Les attaquants ont utilisé les leurres ClickFix pour distribuer un large éventail de malwares, souvent dans des chaînes d'infection en plusieurs étapes :

• HijackLoader : un chargeur de première étape observé dans les chaînes ClickFix depuis au moins juin 2025, souvent suivi par le voleur d'informations DeerStealer .
• CastleLoader (alias CastleBot) : un framework de malware en tant que service actif depuis début 2025. Une campagne a utilisé un faux site web de suppression d'arrière-plan pour distribuer CastleLoader, qui a ensuite installé NetSupport RAT et un voleur .NET personnalisé ciblant les identifiants de navigateur, les portefeuilles de cryptomonnaies et les sessions Telegram .
• NetSupport RAT : un outil d'administration à distance légitime détourné par les attaquants pour un accès furtif persistant .
• StealC : un cheval de Troie voleur d'informations qui cible les identifiants de navigateur et les portefeuilles de cryptomonnaies .
• Amatera : un voleur d'informations distribué via une campagne ClickFix combinant de faux CAPTCHA avec des scripts Microsoft App-V signés .
• Voleur basé sur Rust : documenté dans des campagnes ClickFix polymorphes qui ont commencé fin 2025 .
• DeerStealer : observé comme charge utile exécutable finale après HijackLoader .
• ResiLoader : un nouveau chargeur documenté, conçu spécifiquement pour terminer plus de 140 processus d'antivirus et d'outils de sécurité sur la machine de la victime, désactivant ainsi les défenses avant l'exécution de la charge utile finale .

Méthodes de distribution

Les attaquants exploitent un large éventail d'infrastructures pour héberger et diffuser les attaques ClickFix :

• Stockage Cloudflare R2 : utilisé pour héberger des binaires de charge utile malveillante .
• Sous-domaines Cloudflare Pages : exploités pour servir de fausses pages CAPTCHA avec le certificat de confiance de Cloudflare .
• Hébergement Dedik Services Limited : observé comme fournisseur d'hébergement pour l'infrastructure de commande et de contrôle de ClickFix .
• Domaines expirés : domaines enregistrés ou ré-enregistrés utilisés pour la récolte d'identifiants et la livraison de charges utiles .
• Sites web compromis : le vecteur initial le plus courant. Les attaquants injectent du JavaScript malveillant ou des iframes dans des sites légitimes (souvent via des vulnérabilités de plug-in ou des exploits CMS) qui redirigent les visiteurs vers des pages d'atterrissage ClickFix .
• Empoisonnement SEO et malvertising : faux sites d'installation et portails de logiciels piratés poussés via les résultats des moteurs de recherche .
• Exploitation de la vulnérabilité Ghost CMS : en mai 2026, des attaquants ont exploité une vulnérabilité critique d'injection SQL dans Ghost CMS (CVE‑2026‑26980) pour détourner plus de 700 sites web éducatifs et technologiques légitimes et y injecter des invites ClickFix .

Importance de la menace : pourquoi ClickFix domine

• Le rapport 2025 sur la défense numérique de Microsoft a identifié ClickFix comme la méthode d'accès initial n°1, responsable de 47 % de toutes les attaques observées par Microsoft Defender Experts au cours de l'année précédente, surpassant le hameçonnage traditionnel (35 %) .
• La télémétrie d'ESET a enregistré une augmentation de 517 % des attaques ClickFix au cours du seul premier semestre 2025 .
• Dans une campagne documentée par Menlo Labs, ClickFix a livré des charges utiles multiplateformes : commandes PowerShell pour Windows, scripts .command pour macOS et scripts Bash pour Linux à partir d'un seul leurre JavaScript polymorphe .
• Le département américain de la Santé et des Services sociaux (HHS) a émis une alerte sectorielle sur ClickFix en juillet 2026, confirmant la portée de la technique dans les infrastructures critiques .
• Le groupe Insikt de Recorded Future a estimé en mars 2026 que ClickFix restera très probablement le vecteur d'accès initial dominant tout au long de l'année 2026 .

Mesures défensives : ce que recommandent les chercheurs

Parce que ClickFix exploite le comportement humain plutôt qu'une vulnérabilité logicielle, la défense repose fortement sur des contrôles techniques et la sensibilisation des utilisateurs :

• Restreindre l'exécution de PowerShell : empêcher les utilisateurs non administratifs d'exécuter des scripts PowerShell. Définir la stratégie d'exécution sur Restricted via la stratégie de groupe et consigner tous les événements d'exécution de PowerShell .
• Désactiver la boîte de dialogue Exécuter de Windows : une modification du registre (stratégie NoRun) peut empêcher l'utilisation de Win+R pour coller et exécuter des commandes .
• Considérer les instructions non sollicitées d'invite de commande comme des signaux d'alarme : aucun site web ou service légitime ne demande à un utilisateur d'appuyer sur Win+R, de coller une commande et d'appuyer sur Entrée. Cela devrait être le premier élément de la formation des utilisateurs .
• Bloquer l'exécution de mshta, cscript et curl à partir du contexte utilisateur : utiliser AppLocker ou Windows Defender Application Control pour restreindre les interpréteurs de scripts .
• Déployer des règles de détection des points de terminaison : surveiller les processus parents inhabituels de powershell.exe -ep bypass, la lignée de processus de explorer.exe vers les interpréteurs de scripts, et les artefacts de registre RunMRU .
• Utiliser les fonctions de sécurité du presse-papiers : les protections du presse-papiers au niveau du navigateur peuvent empêcher le mécanisme de copier-coller de base sur lequel ClickFix repose.

Fonctionnalité Paste Protect d'Opera

Opera a introduit une fonctionnalité native Paste Protect (disponible dans Opera 100+ sur Windows, macOS et Linux) qui intercepte et bloque les attaques par pastejacking. Lorsqu'un site web tente d'écrire programmatiquement une charge utile suspecte dans le presse-papiers, puis invite l'utilisateur à la coller, Paste Protect avertit l'utilisateur et bloque l'opération. Cela atténue directement la technique de base de ClickFix sans nécessiter l'installation d'une extension.