Une nouvelle vague de cyberattaques, identifiée sous le nom de « ClickFix », cible les utilisateurs de Windows et de macOS en les manipulant pour qu'ils installent eux-mêmes des logiciels malveillants. Cette technique sophistiquée utilise des publicités frauduleuses sur des plateformes populaires pour contourner les défenses antivirus traditionnelles.
Le mécanisme de la tromperie par terminal
Le mode opératoire de ClickFix repose sur l'ingénierie sociale. Les attaquants dirigent les victimes vers des sites web compromis ou factices affichant une interface simulant un test de sécurité type CAPTCHA. Une fois l'interaction initiée, l'utilisateur est invité à copier et coller une ligne de commande dans le terminal de son système d'exploitation (Windows Command Prompt ou macOS Terminal). En validant cette instruction, l'utilisateur autorise l'installation immédiate d'un logiciel malveillant capable de dérober des mots de passe, des accès à des comptes personnels et des portefeuilles de cryptomonnaies.
L'exploitation de comptes officiels sur Reddit
La menace a pris une ampleur internationale, illustrée récemment par une campagne visant les utilisateurs de Reddit. Des pirates ont compromis le compte officiel de HBO Max sur le réseau social pour diffuser des centaines de publicités frauduleuses. Ces annonces, paraissant légitimes, redirigeaient les internautes vers des pages imitant le service de streaming, où le piège ClickFix était activé. À ce jour, l'ampleur réelle des compromissions reste indéterminée, les entreprises concernées n'ayant pas communiqué sur l'incident.
Stratégies de défense et prévention
La dangerosité de ces attaques réside dans leur capacité à échapper aux outils de sécurité classiques, car elles utilisent les fonctions natives du système d'exploitation. Pour les entreprises gérant des parcs informatiques sous Windows, une solution préventive consiste à restreindre l'accès au terminal ou à PowerShell au niveau du domaine. Pour les utilisateurs individuels sur macOS, des outils de surveillance comme BlockBlock peuvent aider à détecter et bloquer les tentatives d'exécution de commandes suspectes. La vigilance reste toutefois la première ligne de défense : toute demande invitant à manipuler le terminal système à partir d'un site web doit être considérée comme une tentative d'intrusion critique.