Une nouvelle vague d’attaques cible les postes de travail
Les campagnes ClickFix représentent une évolution inquiétante de l’ingénierie sociale. Plutôt que d’exploiter une vulnérabilité technique, les attaquants incitent les utilisateurs à exécuter eux-mêmes des commandes malveillantes via la touche Win+R ou le Terminal, en se faisant passer pour des pages de support légitimes ou des fils ChatGPT.
Comment fonctionne ClickFix ?
Le scénario est redoutablement simple :
- Leurre convaincant : une fausse page d’erreur ou un faux assistant demande de copier-coller une commande.
- Exécution volontaire : la victime ouvre elle-même l’invite de commandes et colle le code malveillant.
- Charge utile variée : sur Windows, montage de partages WebDAV distants pour des apps Electron trojanisées. Sur macOS, le malware MacSync vole identifiants, trousseau et crypto.
Pourquoi c’est dangereux pour les PME
ClickFix s’appuie sur la confiance de l’utilisateur. Les EDR classiques détectent difficilement une action initiée volontairement.
- Les collaborateurs non formés sont les plus vulnérables.
- Les environnements BYOD multiplient la surface d’attaque.
- Le contournement de Defender via des LOLBIN complique la détection.
Recommandations
- Sensibilisation : ne jamais exécuter de commandes copiées depuis un site web.
- Restreindre Win+R et PowerShell via GPO pour les non-administrateurs.
- Bloquer les connexions WebDAV sortantes non autorisées au pare-feu.
- Déployer un SIEM comme Wazuh pour détecter les exécutions suspectes.
- Activer le MFA pour bloquer l’accès même si les identifiants sont volés.