Les campagnes ClickFix reprennent de la vigueur. Cette technique d’ingénierie sociale pousse l’internaute à s’auto-infecter en copiant puis en exécutant une commande présentée comme la solution à un faux problème. Ces derniers jours, des chercheurs ont observé une montée en gamme inquiétante: vidéos explicatives intégrées, minuteur anxiogène, détection automatique du système d’exploitation et diffusion via sites compromis et publicités piégées sur les moteurs de recherche. Le but est simple: augmenter le taux de réussite du dépôt de malwares, qu’il s’agisse d’infostealers ou d’outils d’accès à distance.
ClickFix en 2025: comment l’arnaque fonctionne
Le scénario est désormais rodé. L’utilisateur arrive sur une page d’apparence légitime. Un message l’alerte d’un prétendu blocage ou lui demande de résoudre une vérification pour accéder au contenu. La page fournit alors des instructions très précises: ouvrir la boîte de dialogue d’exécution système ou un terminal, coller une commande et valider. Cette commande télécharge un chargeur qui récupère ensuite le véritable malware. L’élément clé est l’implication active de la victime. Comme elle exécute elle-même la commande, de nombreuses protections automatisées sont contournées.
La nouveauté, c’est l’habillage. Des vidéos pas à pas guident l’utilisateur, une horloge d’une minute crée l’urgence et le site choisit automatiquement les instructions adaptées à Windows, macOS ou Linux. Cette mise en scène réduit les doutes, accélère le clic et rend l’attaque plus crédible.
Une diffusion plus large grâce aux sites compromis
Les opérateurs hébergent ces faux pop-ups sur des sites bien réels mais détournés. Ils les poussent ensuite dans les résultats sponsorisés des moteurs de recherche. L’internaute qui cherche une mise à jour, un outil système ou un lecteur vidéo tombe sur une annonce au-dessus des résultats classiques et suit le lien sans se méfier. La chaîne d’attaque démarre alors depuis cette page piégée, souvent masquée par un faux captcha, une fenêtre d’erreur ou un faux assistant de réparation.
Les observations sur le Terrain des équipes de sécurité
En 2025, les rapports techniques signalent une multiplication des campagnes ClickFix et l’emploi de familles bien connues de malwares. On voit notamment des infostealers comme Lumma voler les mots de passe, ou des RAT comme NetSupport donner un contrôle à distance à l’attaquant. D’autres variantes proches, regroupées sous des noms comme FileFix, déplacent la manipulation vers l’explorateur de fichiers pour exécuter du PowerShell en douce. Les chiffres varient selon les sources, mais la tendance est claire: la part des intrusions où la victime exécute elle-même la commande malveillante grimpe.
ça marche encore :
Quatre ressorts psychologiques sont habilement exploités.
- L’urgence. Le minuteur et le ton alarmiste incitent à agir vite, pas à réfléchir.
- L’autorité. Vidéos tutorielles, faux compteurs d’utilisateurs qui auraient déjà vérifié, logos et éléments de marque rassurants.
- La familiarité. Les instructions utilisent des boîtes de dialogue natives et des raccourcis connus, ce qui donne l’illusion d’un processus normal.
- L’effort minimal. Copier coller une ligne paraît anodin. C’est précisément l’action qui franchit la barrière de sécurité.
Qui est visé
Particuliers, joueurs, streamers, petites entreprises et services publics. Les campagnes massives tapent large, mais certaines visent des profils précis via des pages thématiques et des mots-clés d’achat sponsorisés. Les environnements Windows restent la cible la plus fréquente, mais les opérateurs adaptent désormais leurs scripts à plusieurs systèmes.
Comment reconnaître un piège ClickFix
- Un site inconnu affirme détecter un problème local et propose une commande à exécuter manuellement.
- Un minuteur impose un décompte avec un langage pressant.
- Une vidéo pas à pas explique comment ouvrir Exécuter ou Terminal et coller une ligne.
- Des fautes subtiles, une ergonomie approximative, ou au contraire un enrobage trop lisse pour un message d’erreur improvisé.
- Un compteur affichant un nombre de validations récentes censées prouver la légitimité.
Les bons réflexes de défense
Ralentir et interrompre la chaîne. Ne collez jamais une commande issue d’un site inconnu dans Exécuter, PowerShell, Terminal ou l’adresse de l’explorateur. Fermez l’onglet, videz l’historique récent si nécessaire, relancez le navigateur.
Mettre à jour, partout. Navigateur, extensions, OS et antivirus. Beaucoup d’attaques s’appuient sur des lacunes de configuration qui ont déjà un correctif.
Télécharger depuis l’éditeur seulement. Pour un logiciel, tapez son nom puis accédez au site officiel via les résultats naturels. Méfiez-vous des annonces sponsorisées au-dessus des résultats.
Activer les protections natives. Bloqueur de fenêtres pop-up, navigation sécurisée, contrôle des applications et restrictions d’exécution de scripts non signés.
Segmenter et sauvegarder. Sauvegardes régulières déconnectées, comptes distincts sans privilèges admin pour l’usage quotidien et double authentification pour les services sensibles.
Former et simuler. En entreprise, sensibilisez les équipes au copier coller malveillant. Des outils côté navigateur peuvent détecter l’injection de commandes suspectes dans les champs système.
Victime potentielle: que faire si vous avez collé une commande
- Coupez le réseau pour empêcher les communications du malware.
- Ne redémarrez pas sans réfléchir. Notez l’heure et ce que vous avez exécuté.
- Lancez un scan complet avec votre solution de sécurité, puis un second avis avec un outil réputé.
- Vérifiez les tâches planifiées, services et clés Run qui assurent la persistance.
- Changez vos mots de passe depuis un autre appareil sain, en priorisant email, banques, boutiques et réseaux sociaux.
- Surveillez vos comptes pour repérer connexions suspectes et paiements inhabituels.
- En entreprise, isolez la machine, ouvrez un ticket d’incident et suivez la procédure interne d’escalade.
La check-list anti ClickFix
- Jamais de commande système copiée depuis un site tiers.
- Toujours vérifier l’URL et la réputation du domaine.
- Ne jamais se sentir obligé d’agir vite parce qu’un minuteur l’exige.
- Mises à jour et antivirus actifs en permanence.
- Sauvegardes hors ligne régulières.
- Authentification multifacteur sur vos comptes clés.
Plus d’infos sur ClickFix sur le Site du CERN