Le ClickFix s’impose comme une menace majeure en 2025 en détournant la confiance des utilisateurs pour les pousser à infecter eux-mêmes leur système. Cette stratégie d’ingénierie sociale utilise des interfaces familières, comme de faux contrôles de sécurité. Le but ? Inciter à l’exécution manuelle de scripts malveillants, contournant ainsi les protections logicielles classiques par une action humaine directe et volontaire.
Avec les dispositifs de cybersécurité sophistiqués, les attaquants choisissent désormais de cibler le maillon le plus imprévisible : l’humain. Cette méthode illustre parfaitement un changement de paradigme, transformant une victime potentielle en un exécutant actif du logiciel malveillant. En simulant des pannes techniques ou des vérifications de routine, les cybercriminels parviennent à faire sauter les verrous de sécurité sans avoir besoin de brèches technologiques complexes.
Cette approche repose sur un principe simple : amener l’individu à copier-coller lui-même le code de sa propre compromission sous un faux prétexte d’assistance technique immédiate. Le succès de cette méthode réside dans sa capacité à briser les réflexes de prudence habituels des internautes.
Une stratégie de manipulation globale par l’ingénierie sociale
Le concept de ClickFix repose sur l’exploitation systématique du geste de confiance. L’offensive débute généralement par une phase d’approche multicanale :
- Publicités infectées ;
- Campagnes de phishing par courriel ;
- Sites officiels compromis par les hackers.
Une fois sur la page de destination, un travailleur porté ou un internaute lambda se retrouve face à un écran simulant un problème de navigation ou une mise à jour nécessaire.
Le terminal système : le cheval de Troie manuel
La dangerosité de ClickFix réside dans le fait que la victime devient l’acteur de sa propre infection. Pour résoudre cet incident fictif, le site propose une manipulation technique simple :
- Copier un script (souvent via un bouton « Réparer »).
- Ouvrir le terminal système (via le raccourci Win+R pour ouvrir l’outil PowerShell).
- Injecter et exécuter le code manuellement.
En acceptant de suivre ces instructions, l’utilisateur déclenche manuellement l’installation du malware. Cela rend les antivirus traditionnels souvent inopérants puisque l’action est perçue comme légitime par le système d’exploitation.
Les facteurs clés du succès industriel
Depuis la fin de l’année 2024 et tout au long de 2025, cette méthode a atteint un stade de maturité industrielle reposant sur trois piliers :
|
Facteur de réussite |
Description de l’impact |
|
Rentabilité accrue |
Automatisation totale de la création de pages frauduleuses personnalisables. |
|
Marché noir structuré |
Les « kits d’attaque » sont vendus clé en main sur des forums spécialisés, facilitant la prolifération. |
|
Taux de conversion élevé |
L’usage d’interfaces familières (faux CAPTCHA, fenêtres système) neutralise les réflexes de vigilance. |
Un arsenal polyvalent au service de divers acteurs criminels
De l’espionnage d’État au rançongiciel
L’efficacité redoutable de la méthode ClickFix a séduit un large panel de malfaiteurs numériques, allant des groupements étatiques aux rançonneurs professionnels. En 2025 et début 2026, ce vecteur est devenu le standard pour des opérations aux objectifs variés :
- Dans le secteur du tourisme, la campagne PHALT#BLYX : Envoi de fausses alertes d’annulation de réservation, menant les employés vers des répliques parfaites de sites de réservation. Cela les pousse à exécuter des scripts de « correction ».
- Le groupe Lazarus a également adopté ce vecteur pour des opérations financières. Sous couvert d’entretiens d’embauche pour la FinTech, ils utilisaient la ruse « ClickFake Interview » pour déployer des portes dérobées et subtiliser des actifs en cryptomonnaies.
- De son côté, le groupe de ransomware Interlock s’en sert pour diffuser des logiciels de vol de données comme LummaStealer avant de verrouiller les fichiers de ses victimes.
Panorama des menaces distribuées via ClickFix
Le canal ClickFix sert de « rampe de lancement » pour une grande variété de charges virales :
|
Type de menace |
Exemples de logiciels malveillants |
|
Infostealers (Voleurs de données) |
Lumma Stealer, Lampion, BerserkStealer |
|
RAT (Outils d’accès à distance) |
AsyncRAT, NetSupport RAT |
|
Loaders (Chargeurs de malwares) |
MintsLoader, Latrodectus |
|
Acteurs d’Espionnage |
Groupes TA427 (Kimsuky) et TA450 (MuddyWater) |
Malgré la sophistication, des moyens de défense subsistent. Certains hackers tentent de masquer leurs traces en utilisant des chemins détournés comme le menu d’accès rapide (Win+X).
Pour tout expert en sécurité — en local ou travailleur porté — la vigilance repose sur deux piliers : l’analyse comportementale et l’analyse des journaux d’événements pour repérer la création de processus suspects suite à une telle manipulation.