L'évolution des techniques ClickFix
La technologie ClickFix est devenue l'une des méthodes de cyberattaque les plus répandues depuis son apparition en 2024, évoluant pour inclure une large famille de sous-méthodes telles que FileFix, InstallFix et TerminalFix. Selon les données de la société Push Security, ces attaques ont représenté 67 % du total des détections de sécurité d'ici août 2026, surpassant ainsi les méthodes de phishing traditionnelles telles que l'AiTM.
L'intelligence artificielle comme outil d'attraction
Les attaquants exploitent actuellement l'engouement des utilisateurs pour les outils d'intelligence artificielle (GenAI) pour mener leurs attaques. Cette stratégie repose sur deux réalités : la première est l'habitude des employés de copier les commandes d'installation directement depuis les pages Web vers l'interface de commande (Terminal), et la seconde est la dépendance croissante aux moteurs de recherche pour accéder aux outils d'IA au lieu de visiter directement leurs sites Web officiels.
Mécanismes d'attaque innovants
- InstallFix : Les attaquants créent de fausses pages d'installation simulant des outils populaires tels que Claude Code. En cliquant sur le bouton « Copier », la véritable commande de programmation est remplacée par une commande malveillante qui exécute un script directement en mémoire sans nécessiter l'enregistrement de fichiers sur le disque, ce qui rend la détection difficile.
- LLMshare : Exploitation des fonctionnalités de partage sur des plateformes telles que ChatGPT et Claude. Les attaquants créent des conversations ou des « Artifacts » contenant des liens malveillants, ce qui leur confère une grande crédibilité en raison de leur hébergement sur le domaine des plateformes officielles.
- Custom GPTs : Utilisation de modèles GPT personnalisés qui interagissent avec l'utilisateur comme s'il s'agissait d'un service de support technique, pour l'orienter finalement vers des pages externes contenant des charges utiles malveillantes.
Pourquoi les défenses traditionnelles échouent-elles ?
Les attaques ClickFix réussissent à contourner les systèmes de sécurité pour plusieurs raisons fondamentales :
- Contournement des passerelles de messagerie : La plupart de ces attaques commencent par des moteurs de recherche ou des publicités trompeuses, loin de l'analyse des e-mails.
- Utilisation d'une infrastructure légitime : Les attaquants s'appuient sur des sites Web fiables ou compromis, et utilisent des techniques telles que EtherHiding pour stocker les configurations d'attaque dans des contrats intelligents sur la blockchain, rendant la fermeture des serveurs impossible.
- Exécution en mémoire : Étant donné que les commandes sont exécutées dans une interface de commande légitime, elles ne déclenchent pas les alertes des logiciels de protection traditionnels qui recherchent des schémas spécifiques d'opérations suspectes.
Qu'est-ce que cela signifie pour les utilisateurs ?
Ces attaques prouvent que la sensibilisation à la sécurité traditionnelle n'est plus suffisante. L'utilisateur n'est plus en sécurité simplement en se trouvant sur un site Web de confiance ou en utilisant un outil d'intelligence artificielle bien connu. Le recours au « copier-coller » pour les commandes d'installation provenant du Web représente une faille de sécurité critique, car les attaquants peuvent manipuler ce que l'utilisateur copie réellement dans le presse-papiers de l'appareil, ce qui fait de la vérification des commandes avant leur exécution une nécessité technique absolue.