Un nom de domaine utilisé depuis des années comme exemple dans des documentations techniques, mais non réservé, sert une fausse page de vérification de type ClickFix aux utilisateurs Windows. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité : mode opératoire, correspondance avec MITRE ATT&CK, raisons d’une détection tardive, questions d’audit ISO 27001 et pistes de sensibilisation. Les éléments viennent de Manifold Security, relayés et en partie vérifiés par BleepingComputer et The Hacker News ; nous n’avons pas consulté directement le billet de Manifold, la charge finale n’est pas connue et aucune victime n’est identifiée publiquement.
Pour une lecture orientée dirigeant, voir notre décryptage « Domaine d’exemple piégé : quand une habitude de développeur ouvre la porte aux pirates ».
Par précaution, nous ne citons pas les domaines malveillants en cause. Ils figurent dans les articles sources.
Contexte
- Victimes potentielles : toute personne sous Windows qui visite le domaine, par exemple en cliquant sur un lien d’exemple dans une documentation, ou via un code ou un test copié tel quel. Potentiellement aussi des agents d’IA qui suivent des liens présents dans des « skills » ou des documentations MCP.
- Secteur : transversal, avec une exposition particulière des équipes de développement et des utilisateurs d’outils d’IA.
- Date : page malveillante active depuis au moins juin 2026 (Manifold). Un scan VirusTotal du 2 mai 2026 montre déjà le serveur de charge, un domaine contrôlé par les attaquants, distribuant un script PowerShell (BleepingComputer). Divulgation publique le 23 septembre 2026.
- Type : ingénierie sociale (ClickFix, ou « pastejacking ») hébergée sur un domaine auquel on fait confiance « par habitude ».
- Sources : BleepingComputer, 23 septembre 2026 ; The Hacker News, 24 septembre 2026.
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce qui est rapporté | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Préparation de l’infrastructure | Contrôle du domaine d’exemple, enregistré en 1996 et utilisé comme exemple dans la documentation. Quand et comment le contrôle a changé de mains : inconnu. | T1583.001 Acquire Infrastructure: Domains |
| Mise en place de la charge | Serveur de téléchargement séparé, qui distribuait en mai 2026 un script PowerShell téléchargeant une archive de 131 Mo. | T1608.001 Stage Capabilities: Upload Malware |
| Filtrage des cibles | Page différente selon le système : piège pour Windows, simple erreur pour macOS et Linux. Le piège échappe ainsi aux analyses automatisées lancées depuis des serveurs Linux. | Pas d’identifiant retenu (filtrage par user-agent, ou « cloaking ») |
| Leurre | Fausse page Cloudflare de vérification « anti-robot » (« Verify you are human »). | T1204.004 User Execution: Malicious Copy and Paste |
| Exécution | Au clic, une commande PowerShell est copiée dans le presse-papiers ; la page demande Windows + R, Ctrl+V, puis Entrée. La commande reconstruit l’adresse de la charge, télécharge un script et l’exécute. | T1059.001 PowerShell, T1105 Ingress Tool Transfer |
| Charge finale | Non déterminée : l’archive n’est plus disponible, et le domaine de charge ne répondait plus lors des tests de BleepingComputer. | – |
La colonne MITRE est une lecture de notre part. Ce n’est pas une classification publiée par les chercheurs.
Ce qu’on ne sait pas
La progression dans le système d’information et l’exfiltration ne sont pas documentées publiquement. Aller plus loin serait spéculatif. On peut seulement rappeler que ClickFix sert en général à installer des voleurs d’informations ou des outils d’accès à distance, et que l’ENISA note, dans son Threat Landscape 2026, une hausse de l’usage de ClickFix.
Point d’attention : les agents d’IA
Selon Manifold, repris par The Hacker News, un domaine d’exemple piégé dans une « skill » ou une documentation MCP peut devenir un point d’entrée pour de l’injection de prompt, ou pour des comportements non prévus d’un agent qui suit le lien. Un scan statique du fichier ne le montre pas, car le contenu dépend de qui fait la requête.
Détection : pourquoi le piège est passé inaperçu
- Comment il a été vu : au fil d’une analyse. Manifold Security étudiait des « skills » d’IA et de la documentation MCP publiques, et a constaté le comportement de la page depuis un navigateur Windows.
- Pourquoi pas plus tôt : trois raisons, documentées ou directement déduites des sources :
- La confiance par habitude : un nom d’exemple n’est pas perçu comme un site réel.
- Le cloaking : un analyste ou un outil qui teste depuis Linux ou macOS ne voit qu’une page d’erreur.
- Pas de fichier malveillant à télécharger au départ : c’est l’utilisateur qui lance la commande, ce qui peut contourner certains antivirus (BleepingComputer).
- État actuel : le domaine est classé dangereux par Google Safe Browsing et VirusTotal (The Hacker News). Mais il reste en ligne et pourrait pointer vers une nouvelle charge à tout moment (BleepingComputer).
Questions d’audit ISO 27001:2022
- A.8.28 et A.8.4 (codage sécurisé, accès au code source) : « Avez-vous une règle qui impose l’usage des seuls domaines réservés (example.com, example.net, example.org, ou les TLD .test et .example) dans la documentation, les tests et les exemples de code ? Pouvez-vous me montrer une recherche dans vos dépôts sur les domaines d’exemple non réservés ? »
- A.5.19 et A.5.21 (relations avec les fournisseurs, chaîne d’approvisionnement TIC) : « Quand vos équipes intègrent des “skills” d’agents d’IA, des connecteurs MCP ou des bibliothèques externes, qui vérifie les adresses et les domaines qu’ils appellent ? Cette vérification porte-t-elle sur le comportement réel au moment de la requête, ou seulement sur la lecture du fichier ? »
- A.8.7 et A.8.19 (protection contre les programmes malveillants, installation de logiciels) : « Les utilisateurs standards peuvent-ils lancer PowerShell ou mshta depuis la boîte Exécuter (Windows + R) ? Quelles mesures techniques limitent cette possibilité (mode de langage contraint, règles de réduction de la surface d’attaque, AppLocker ou WDAC) ? Montrez-moi la GPO ou la politique EDR correspondante. »
- A.8.16 (activités de surveillance) : « Votre SOC ou votre EDR a-t-il une règle de détection sur l’enchaînement “explorer.exe vers powershell.exe” avec téléchargement distant, typique de ClickFix ? Quand a-t-elle été testée ? »
Pistes de sensibilisation
- Une règle d’or à répéter : « Aucun site légitime, aucune vérification “anti-robot”, aucun support ne vous demandera de coller une commande dans Windows + R ou dans un terminal. » Montrer une capture de la fausse page Cloudflare, comme celle publiée par BleepingComputer, et faire repérer les indices.
- Module pour les développeurs et les équipes IA : un exercice court où l’on recherche des domaines d’exemple dans un dépôt de test, puis on explique la différence entre un domaine réservé (IANA, RFC 2606) et un domaine « qui a l’air d’un exemple ». Message clé : un exemple dans une documentation est aussi du code, qui peut être exécuté ou suivi par un agent.
À lire aussi : notre décryptage pour les dirigeants, « Domaine d’exemple piégé : quand une habitude de développeur ouvre la porte aux pirates », et le bulletin de veille du 25 septembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.