Microsoft a décrit une nouvelle variante de l’attaque ClickFix. Le principe ne change pas : on demande à la victime de coller une commande pour « prouver qu’elle n’est pas un robot » ou « réparer un problème ». La nouveauté, c’est que le code malveillant est déjà sur le poste, rangé dans le cache du navigateur sous l’apparence d’une image.
Ce qui s’est passé
Le 6 octobre 2026, The Hacker News a relayé une publication de l’équipe de renseignement sur les menaces de Microsoft (The Hacker News). Des sites web légitimes, mais piratés, déposent un script dans le cache du navigateur de leurs visiteurs. Le cache est le dossier où le navigateur garde une copie des fichiers pour afficher les pages plus vite. Le script y est rangé en se faisant passer pour une image.
La page affiche ensuite un faux contrôle, du type « vérifiez que vous êtes humain », imitant celui de Cloudflare selon iTnews. Elle invite l’utilisateur à ouvrir la boîte « Exécuter » de Windows (touches Windows + R), à coller une commande et à valider.
Les victimes, le nombre de sites piratés et l’auteur de la campagne ne sont pas publiés à ce stade.
Comment l’attaque a fonctionné
- Le dépôt discret. En visitant le site piraté, le navigateur télécharge sans le savoir le script déguisé en image. Les outils qui surveillent les téléchargements ne voient passer qu’une image.
- Le piège. La victime colle une commande courte. Cette commande ne télécharge rien : elle fouille le cache du navigateur, retrouve le fichier piégé grâce à sa taille exacte, le copie ailleurs et le lance.
- La suite. Ce premier script récupère d’autres programmes, notamment des scripts PowerShell (l’outil d’administration en ligne de commande de Windows). Le code final tourne directement en mémoire, caché dans un processus Windows légitime.
- L’objectif. Voler les identifiants enregistrés dans le navigateur et sur le poste.
Pourquoi passer par le cache ? La boîte « Exécuter » coupe les commandes au-delà d’environ 260 caractères. Ranger le code à l’avance permet de garder une commande très courte, donc moins suspecte.
La technique n’est pas totalement nouvelle : la société Expel avait décrit ce type de « contrebande par le cache » en octobre 2025, dans un cas identifié ensuite comme un exercice d’attaque simulée. Ce qui change, c’est son usage observé par Microsoft dans une vraie campagne.
Ce qui la rend difficile à repérer : pas de pièce jointe, pas de téléchargement d’un programme au moment où la victime agit, et c’est l’utilisateur lui-même qui lance la commande, avec ses propres droits. Les protections pensées contre les pièces jointes ou les programmes inconnus ne jouent pas.
Ce que ça change pour une PME
ClickFix ne force aucune serrure : il convainc l’utilisateur d’ouvrir la porte. La réponse est donc à la fois humaine et technique.
- Diffusez une règle d’or simple : aucun site, aucun contrôle « anti-robot », aucun support technique ne vous demandera de coller une commande dans la boîte Exécuter, PowerShell ou le Terminal. Si cela arrive, on ferme la page et on prévient.
- Limitez les outils de script sur les postes qui n’en ont pas besoin. La plupart des salariés n’utilisent jamais PowerShell ni les scripts Windows : votre prestataire informatique peut en restreindre l’usage par des règles centralisées.
- Protégez les identifiants, cible finale de l’attaque. Préférez un gestionnaire de mots de passe à l’enregistrement dans le navigateur, et activez la double authentification sur les comptes importants (messagerie, banque, outils en ligne).
- Activez la journalisation des scripts sur les postes (Microsoft la recommande), pour pouvoir comprendre ce qui s’est passé en cas d’incident.
Dossier : Pièges tendus aux utilisateurs
Cet article prolonge notre bulletin de veille du 7 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.