ClickFix s'impose comme technique phare des APT étatiques

ClickFix : l'ingénierie sociale qui rend la victime complice de sa propre compromission

Un rapport publié par l'équipe de recherche en threat intelligence de The Hacker News le 18 juillet 2026, recoupant des analyses indépendantes de Proofpoint, Elastic et de plusieurs CERT nationaux, confirme que ClickFix s'est imposé comme la technique d'accès initial la plus dynamique de l'année 2026. Ce qui distingue cette technique des vecteurs classiques est sa simplicité apparente et son efficacité redoutable : plutôt que d'exploiter une vulnérabilité logicielle, ClickFix exploite la psychologie humaine, en convaincant la victime d'exécuter elle-même le code malveillant sous prétexte de résoudre un problème technique.

Le fonctionnement de base est le suivant : la victime est attirée vers un site web malveillant via un email de phishing, une publicité malveillante (malvertising) ou un lien partagé sur les réseaux sociaux. Une fois sur le site, une fenêtre surgissante affiche un message d'erreur apparemment légitime — par exemple : « Erreur lors du chargement du document. Veuillez appuyer sur le bouton Corriger pour résoudre le problème. » En cliquant sur le bouton, la victime déclenche une instruction qui copie automatiquement une commande PowerShell dans le presse-papiers et l'invite à l'exécuter dans la boîte de dialogue Exécuter de Windows (Win+R) ou, dans les versions les plus récentes, dans le Terminal Windows. La commande exécutée télécharge et installe silencieusement le malware.

L'efficacité de ClickFix repose sur plusieurs facteurs convergents. Premièrement, la commande PowerShell est exécutée directement par l'utilisateur légitime, avec ses propres droits système — elle n'exploite aucune vulnérabilité, ne déclenche aucune alerte d'exécution de fichier suspect, et dans de nombreux environnements d'entreprise, passe sous les radars des solutions EDR configurées pour autoriser PowerShell aux utilisateurs standards. Deuxièmement, les messages d'erreur sont conçus pour imiter fidèlement les interfaces des logiciels les plus courants (Microsoft Office, Adobe Reader, Chrome, Zoom), rendant la mise en scène crédible pour des utilisateurs non formés. Troisièmement, la technique ne laisse pas de trace dans la clé de registre RunMRU (historique de la boîte Exécuter) lorsqu'elle utilise le Terminal Windows — un contournement délibéré des artefacts forensiques classiques.

Un chercheur analysant 3 000 payloads ClickFix actifs a par ailleurs documenté une évolution majeure côté infrastructure : les serveurs de commande et contrôle utilisent désormais des APIs qui génèrent dynamiquement des variantes du payload pour chaque visiteur, présentant le même malware sous une forme légèrement différente à chaque requête. Cette mutation automatique rend les signatures statiques basées sur les hashes de payload quasi inutilisables, et contraint les solutions de détection à s'appuyer sur des indicateurs comportementaux plutôt que sur des signatures de fichiers.

Trois groupes étatiques majeurs ont confirmé leur adoption de ClickFix dans leurs opérations d'espionnage actives. Le groupe russe APT28 (Sofacy, Fancy Bear), affilié au GRU, a été le premier APT étatique confirmé à utiliser la technique dans une campagne opérationnelle, ciblant des entités ukrainiennes en octobre 2024. L'attaque impliquait un email de phishing mimant une communication de CERT-UA avec un lien vers un faux tableau Google, suivi d'un écran reCAPTCHA qui, une fois cliqué, fournissait une commande PowerShell créant un tunnel SSH vers un serveur contrôlé par l'attaquant et lançant Metasploit pour le post-exploitation. La sophistication du scénario de leurre — exploiter la relation de confiance des entités ukrainiennes envers CERT-UA — témoigne d'une reconnaissance préalable approfondie.

Le groupe nord-coréen Kimsuky (TA427, Emerald Sleet) a adopté ClickFix dans des campagnes ciblant des organisations de think-tank spécialisées dans les affaires nord-coréennes. Le vecteur de leurre impliquait l'usurpation d'identité d'un diplomate japonais — l'ambassadeur Shigeo Yamada — dans des invitations à des réunions fictives. Les victimes qui répondaient favorablement à ces invitations étaient dirigées vers un faux site de conférence demandant d'installer un « plugin de conférence » en réalité implémenté via ClickFix. Le payload final installait QuasarRAT, un outil d'accès à distance open-source fréquemment weaponisé par des acteurs nord-coréens pour l'exfiltration de données de recherche et de politique étrangère.

Le groupe iranien MuddyWater (TA450, Mango Sandstorm), affilié au MOIS (ministère du Renseignement iranien), a déployé ClickFix dans une campagne ciblant 39 organisations du secteur financier et gouvernemental au Moyen-Orient en novembre 2024. Le leurre utilisait des emails imitant des alertes de mise à jour de sécurité Microsoft, un prétexte classique mais particulièrement crédible en contexte de Patch Tuesday. La commande PowerShell installait Level RMM (Remote Monitoring and Management), un outil d'administration à distance légitime commercialement, dont l'utilisation abusive permettait aux opérateurs iraniens de maintenir un accès persistant et discret — puisque le trafic RMM est souvent autorisé par les firewalls d'entreprise.

Le fait que trois groupes APT étatiques de nationalités différentes (russe, nord-coréen, iranien) et de mandats distincts (sabotage/renseignement militaire, espionnage économique/politique, renseignement étatique) aient tous convergé vers la même technique en l'espace de quelques mois témoigne d'une dynamique d'apprentissage et d'adoption inter-groupes caractéristique du milieu des APT. Les groupes cybercriminels qui avaient popularisé ClickFix en 2023-2024 ont involontairement fourni un blueprint tactique dont les acteurs étatiques, avec des ressources bien supérieures, ont rapidement amélioré la sophistication et la ciblage.

Pourquoi ClickFix redéfinit les stratégies de défense périmétrique

L'adoption massive de ClickFix par les APT étatiques sonne le glas d'une illusion répandue dans les équipes sécurité : l'idée que le renforcement des défenses techniques (EDR, filtrage de courriels, sandboxing des pièces jointes, désactivation des macros Office) suffit à contrecarrer les attaquants sophistiqués. ClickFix contourne délibérément ces défenses en les rendant non pertinentes — il n'y a pas de macro, pas de pièce jointe, pas de fichier exécutable téléchargé automatiquement. Il y a uniquement un utilisateur humain qui exécute une commande qui lui a été dictée, dans un contexte où il croit résoudre un problème légitime. Face à ce vecteur, les outils techniques ne peuvent pas grand chose ; seule la formation des utilisateurs constitue une défense efficace.

La convergence géopolitique observée — Russie, Corée du Nord et Iran adoptant simultanément la même technique — a des implications opérationnelles importantes pour les équipes de threat intelligence et les SOC. Elle signifie que la prochaine campagne ClickFix observée pourrait provenir d'acteurs aux motivations très différentes : exfiltration de renseignement militaire, vol de propriété intellectuelle, sabotage d'infrastructure critique, ou financement de programmes d'armement. L'attribution des incidents ClickFix ne peut plus se baser sur la technique seule — elle requiert l'analyse du contexte de ciblage, du payload final et de l'infrastructure de C2 pour distinguer les différents groupes.

Pour les RSSI et les équipes SOC, ClickFix représente une priorité de sensibilisation immédiate. Les tableaux de bord de simulation de phishing doivent intégrer des scénarios ClickFix incluant les leurres les plus efficaces documentés (fausses erreurs Chrome, faux reCAPTCHA, faux plugins de conférence Zoom/Teams). Les politiques PowerShell doivent être réévaluées : dans de nombreux environnements, restreindre l'exécution PowerShell aux utilisateurs standards via des stratégies de groupe (GPO) ou des solutions comme Constrained Language Mode est une mitigation efficace, même si elle génère de la friction opérationnelle.

La dynamique d'innovation observée chez les attaquants — remplacement de la boîte Exécuter par le Terminal Windows pour effacer les traces forensiques, APIs de mutation automatique des payloads — indique que ClickFix continuera d'évoluer pour contrecarrer les mesures de détection qui émergent. Les équipes sécurité qui se concentrent uniquement sur la détection des indicateurs actuels (hash de payload, domaine C2 spécifique) seront perpétuellement en retard ; une détection comportementale (utilisateur qui copie-colle et exécute une commande PowerShell longue dans un contexte inhabituel) est plus robuste sur le long terme.

Ce qu'il faut retenir

• Intégrer des scénarios ClickFix dans les programmes de sensibilisation et de simulation de phishing : c'est le vecteur d'accès initial le plus actif de 2026 chez les APT étatiques.
• Restreindre l'exécution de PowerShell aux utilisateurs non-administrateurs via GPO ou Constrained Language Mode, et monitorer les exécutions PowerShell initiées depuis les processus explorer.exe ou cmd.exe.
• Ne jamais exécuter une commande copiée-collée depuis un site web ou un message, quelle que soit l'apparence de légitimité du contexte — aucun logiciel légitime ne demande à l'utilisateur de copier-coller une commande PowerShell pour résoudre une erreur.