ClickFix est une technique d’ingénierie sociale qui ne cherche plus à faire cliquer sur une pièce jointe, mais à faire exécuter soi-même une commande malveillante. Une campagne récente, qui a détourné le compte Reddit officiel d’HBO Max pendant 48 heures, illustre concrètement comment cette méthode contourne les réflexes de vigilance habituels et livre des logiciels voleurs de données.
ClickFix : une technique qui détourne le copier-coller #
Le principe de ClickFix consiste à présenter à la victime un faux message d’erreur, une fausse vérification CAPTCHA ou une fausse étape d’installation, puis à lui demander de « corriger » le problème en collant elle-même une commande dans la fenêtre Exécuter de Windows, dans PowerShell ou dans le Terminal macOS. Contrairement à un fichier joint ou à un exécutable téléchargé, c’est l’utilisateur qui déclenche l’action malveillante, souvent sans se rendre compte qu’il vient de lancer un script.
À retenir : aucune page web légitime, aucun antivirus et aucune mise à jour Windows ou macOS ne demande jamais de coller une commande dans un terminal ou dans la fenêtre Exécuter.
L’exemple récent : le compte Reddit d’HBO Max détourné #
Selon BleepingComputer, des attaquants ont pris le contrôle du compte Reddit vérifié d’HBO Max (u/hbomax) et l’ont utilisé pour diffuser 108 publicités frauduleuses sur environ 48 heures. La méthode précise de compromission du compte n’a pas été rendue publique. Les annonces pointaient vers plusieurs faux sites, dont un imitant HBO Max lui-même ainsi que des pages se présentant comme des outils de développement ou des utilitaires de nettoyage de disque, avant de rediriger les visiteurs vers une page ClickFix. Les chercheurs qui ont analysé la campagne l’ont rattachée à une opération plus large, surnommée « PasteSwitch », qui cible à la fois les utilisateurs Windows et macOS.
Comment se déroule concrètement une attaque ClickFix #
Dans les cas documentés par les chercheurs, la victime tombe sur une publicité qui semble légitime, clique, puis atterrit sur une page reproduisant une vérification de sécurité ou une invite d’installation. La page l’invite à ouvrir un terminal ou la fenêtre Exécuter et à y coller un texte déjà copié dans le presse-papiers en un clic. Sur macOS par exemple, une commande encodée en Base64 a été utilisée pour télécharger et exécuter un script depuis une infrastructure contrôlée par les attaquants, une fois collée dans le Terminal. L’utilisateur ne voit ni fichier téléchargé, ni alerte de sécurité classique : l’action ressemble à une manipulation qu’il aurait lui-même initiée pour résoudre un problème.
Quels programmes malveillants ont été livrés #
La campagne HBO Max a distribué plusieurs familles de logiciels malveillants selon l’analyse publiée par les chercheurs :
| Menace | Fonction |
|---|---|
| MacSync (macOS) | Vol d’identifiants de navigateur, de profils Firefox, de données Telegram |
| AMOS helper (macOS) | Persistance et réception de commandes supplémentaires |
| Amatera Stealer (Windows) | Chargement en mémoire, vol d’informations |
| AnimateClipper / ZigClipper | Détournement du presse-papiers pour le vol de cryptomonnaies |
| Faux portefeuilles crypto | Imitation de Ledger, Trezor Suite et Exodus pour voler les phrases de récupération |
Pourquoi cette technique contourne les défenses classiques #
ClickFix échappe en partie aux protections habituelles pour plusieurs raisons : la commande n’est pas jointe à un e-mail et ne transite donc pas par un filtre anti-spam, l’exécutable n’est pas téléchargé directement, ce qui réduit les déclenchements de certains antivirus basés sur la signature de fichiers, et surtout, c’est la victime elle-même qui colle et valide la commande, ce qui peut désactiver le réflexe de méfiance normalement associé à un lien ou une pièce jointe suspecte. Cette technique s’appuie sur les mêmes ressorts psychologiques que le hameçonnage classique analysé dans notre guide pour analyser un e-mail de phishing : urgence, autorité apparente et contournement d’une étape de vérification.
Comment se protéger et réagir en cas de doute #
- Ne collez jamais une commande dans la fenêtre Exécuter, PowerShell ou le Terminal à la demande d’une page web, quelle que soit l’urgence affichée.
- Fermez l’onglet si un site vous demande de « vérifier » un CAPTCHA ou une erreur en ouvrant un terminal.
- Téléchargez les logiciels uniquement depuis le site officiel de l’éditeur, jamais depuis une publicité.
- Si une commande a été collée par erreur, déconnectez la machine du réseau, changez les mots de passe sensibles (banque, messagerie, portefeuilles crypto) depuis un autre appareil et lancez une analyse antimalware complète.
- En entreprise, sensibilisez les équipes à ce type de manipulation et surveillez les processus enfants inhabituels lancés depuis
powershell.exe,cmd.exeou le Terminal macOS.
Pour les équipes techniques qui souhaitent examiner un script ou une commande suspecte sans l’exécuter sur un poste de production, l’outil sandbox d’analyse de ForenShield permet d’observer son comportement dans un environnement isolé, et le décodeur aide à lire le contenu d’une commande encodée en Base64 avant toute exécution. Cette campagne rappelle aussi les mécanismes des voleurs d’informations déjà décrits dans notre article sur l'infostealer Storm et le vol de sessions, une famille de menaces aux objectifs similaires : récupérer identifiants, cookies de session et portefeuilles numériques.
Points clés #
- ClickFix est une technique d’ingénierie sociale qui fait exécuter une commande malveillante par la victime elle-même, via un faux CAPTCHA ou une fausse erreur.
- Une campagne a détourné le compte Reddit vérifié d’HBO Max pour diffuser 108 publicités frauduleuses en 48 heures, selon BleepingComputer.
- Les charges livrées incluent des infostealers (MacSync, Amatera Stealer) et des détourneurs de presse-papiers visant les cryptomonnaies.
- Aucun site légitime ne demande de coller une commande dans un terminal : ce geste doit systématiquement alerter.
- En cas de doute après avoir collé une commande, isolez la machine, changez vos mots de passe sensibles et lancez une analyse antimalware.