Microsoft Threat Intelligence a décrit une campagne ClickFix dans laquelle le code malveillant est déposé à l’avance dans le cache du navigateur, déguisé en image. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité : déroulé de l’attaque, correspondance avec MITRE ATT&CK, pistes de détection, questions d’audit ISO 27001 et pistes de sensibilisation. Limite importante : nous n’avons pas lu la publication originale de Microsoft (publiée sur X) ; tout ce qui suit vient de l’article de The Hacker News qui la cite. Les victimes, le nombre de sites compromis dans cette campagne, l’acteur et les dates précises ne sont pas publiés à ce stade.
Pour une lecture orientée dirigeant, voir notre décryptage « ClickFix : quand c’est l’utilisateur qui lance lui-même le programme malveillant ».
Contexte
- Victimes : non nommées. Internautes sous Windows qui visitent des sites légitimes compromis.
- Secteur : pas de ciblage spécifique selon les informations disponibles (information non confirmée).
- Date : publication de Microsoft relayée le 6 octobre 2026 (The Hacker News, 6 octobre 2026). Début de la campagne : non précisé.
- Type : ingénierie sociale (ClickFix), évasion par mise en cache de la charge, puis vol d’identifiants (infostealer).
- Acteur : non attribué dans les sources consultées.
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce qui est rapporté | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| 1. Accès initial | La victime visite un site légitime compromis. | T1189 Drive-by Compromise |
| 2. Préparation | Le site précharge un script dans le cache du navigateur, déguisé en fichier PNG. | T1036.008 Masquerade File Type |
| 3. Leurre | Un faux contrôle (CAPTCHA, message d’erreur) demande de coller une commande dans la boîte « Exécuter » de Windows (Win+R). | T1204.004 User Execution: Malicious Copy and Paste |
| 4. Exécution | La commande lance l’interpréteur de commandes Windows, qui parcourt le cache du navigateur Firefox, repère le bon fichier grâce à sa taille exacte, le recopie comme script VBScript dans un dossier temporaire et l’exécute avec wscript.exe, sorties et erreurs masquées. |
T1059.003 Windows Command Shell, T1059.005 Visual Basic |
| 5. Reconnaissance | Le VBScript collecte des informations sur le poste via WMI. | T1047 Windows Management Instrumentation, T1082 System Information Discovery |
| 6. Chargement | Téléchargement d’un script PowerShell, puis d’un étage intermédiaire et d’une charge finale, exécutés en fenêtre cachée. | T1059.001 PowerShell, T1105 Ingress Tool Transfer, T1564.003 Hidden Window |
| 7. Évasion | Des assemblies .NET sont chargées en mémoire et injectées dans timeout.exe, un processus Windows légitime. |
T1620 Reflective Code Loading, T1055 Process Injection |
| 8. Objectif | Vol des identifiants du navigateur et du poste ; nouvel étage en mémoire et connexions sortantes vers l’infrastructure de l’attaquant. | T1555.003 Credentials from Web Browsers, T1071.001 Web Protocols |
La colonne MITRE est une lecture de notre part, pas celle de Microsoft. Des indicateurs (domaines) ont été publiés : nous ne les reproduisons pas ici. Ils sont à récupérer dans la source originale et à vérifier avant tout blocage.
Ce qui est nouveau
- Une commande courte qui ne télécharge rien. La boîte Win+R tronque au-delà d’environ 260 caractères. La commande collée par la victime se contente donc d’aller chercher une charge déjà présente sur le disque, arrivée dans le cache comme une « image ».
- Un repérage par la taille. Contrairement à une variante précédente, le script ne cherche pas un marqueur dans le contenu du fichier, mais sa taille exacte, qui change selon les variantes.
Ce qu’on ne sait pas
Les victimes, le nombre de sites compromis dans cette campagne, l’acteur, la date de début de la campagne et la façon exacte dont Microsoft l’a repérée. Nous ne spéculons pas sur ces points.
Détection : pourquoi l’attaque passe sous les radars
La campagne a été repérée par Microsoft Threat Intelligence. Par quel moyen exactement (télémétrie Defender ou autre) : non précisé dans la source.
Pourquoi elle est difficile à détecter :
- Pas de pièce jointe, pas d’exécutable téléchargé au moment où l’utilisateur agit : la charge est déjà dans le cache.
- L’exécution vient d’un geste de l’utilisateur, et non d’une faille.
- Le code final tourne en mémoire, dans un processus légitime.
ReversingLabs, cité par The Hacker News, note que ClickFix présente « moins de signaux » que ce que les défenses classiques savent repérer.
Pistes de chasse données par Microsoft :
- la clé de registre RunMRU, qui garde l’historique des commandes tapées dans Win+R ;
- les processus wscript.exe ou powershell.exe lancés comme enfants de
explorer.exeoucmd.exe; - les tâches planifiées et l’activité inhabituelle du navigateur ;
- à compléter par la journalisation des blocs de scripts PowerShell.
Questions d’audit ISO 27001:2022
- A.8.18 et A.8.19 (programmes utilitaires à privilèges, installation de logiciels) : « Pour les postes utilisateurs standards, quels outils de scripts et d’exécution (PowerShell, wscript/cscript, mshta, boîte Exécuter) sont autorisés ? Montrez-moi la GPO ou la règle de contrôle applicatif qui les restreint, et la justification des exceptions. »
- A.8.15 et A.8.16 (journalisation, surveillance) : « La journalisation des blocs de scripts PowerShell est-elle activée sur le parc ? Ces journaux remontent-ils au SIEM ou au SOC, et existe-t-il une règle de détection sur les lancements de wscript ou powershell depuis l’Explorateur, ou sur l’historique RunMRU ? Montrez-moi une alerte récente et son traitement. »
- A.6.3 (sensibilisation) : « Le programme de sensibilisation couvre-t-il explicitement les attaques de type ClickFix (faux CAPTCHA, fausses erreurs qui demandent de coller une commande) ? Quand ce thème a-t-il été traité pour la dernière fois, et comment mesurez-vous son efficacité ? »
- A.8.23 et A.5.7 (filtrage web, renseignement sur les menaces) : « Comment les indicateurs publiés par les éditeurs (domaines, adresses IP) sont-ils intégrés dans le filtrage web ? Quel délai entre la publication et le blocage effectif ? »
Pistes de sensibilisation
- Une règle d’or à faire mémoriser, plutôt qu’un long module : « Aucun site, aucun CAPTCHA, aucun support ne vous demandera de coller une commande dans Win+R, PowerShell ou le Terminal. Si on vous le demande, fermez la page et signalez-le. » À afficher sur l’intranet et à rappeler pendant le mois européen de la cybersécurité (octobre).
- Exercice de simulation ClickFix inoffensif : une fausse page de vérification demande de coller une commande ; cette commande ouvre seulement une page « Vous venez de vous faire piéger, voici pourquoi ». On mesure le taux de clic et, surtout, le taux de signalement.
À lire aussi : notre décryptage pour les dirigeants, « ClickFix : quand c’est l’utilisateur qui lance lui-même le programme malveillant », et le bulletin de veille du 7 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.