ClickFix LunexStealer : 100 sites piratés via fausses pages Cloudflare

Ce qui s'est passé

Le CERT-UA (Computer Emergency Response Team d'Ukraine) a documenté et rendu public en octobre 2026 une campagne d'attaque sophistiquée exploitant une technique connue sous le nom de ClickFix. Des acteurs malveillants ont réussi à compromettre plus de cent sites web légitimes — notamment des sites d'information, des plateformes e-commerce et des portails institutionnels — pour y injecter du JavaScript malveillant. Ces scripts modifient l'expérience des visiteurs en affichant une fausse page de vérification imitant le système anti-bot de Cloudflare, largement connu et reconnu par les internautes.

La technique ClickFix repose sur un principe d'ingénierie sociale redoutablement efficace : la victime voit une page d'avertissement familière (le spinner Cloudflare ou un faux CAPTCHA) lui indiquant qu'une vérification est nécessaire pour accéder au site. La page lui demande ensuite d'ouvrir une invite de commande Windows (PowerShell ou cmd) et d'y coller et exécuter une commande. Cette commande, présentée comme une étape de sécurité légitime, télécharge et exécute silencieusement le malware LunexStealer sur la machine de la victime.

LunexStealer, également connu sous le nom de Psychedelic Stealer dans certains rapports de threat intelligence, est un logiciel malveillant de type infostealer particulièrement dangereux. Une fois exécuté, il est capable d'extraire les mots de passe sauvegardés dans les navigateurs web (Chrome, Firefox, Edge et autres), les cookies de session et tokens d'authentification permettant de contourner l'authentification à deux facteurs, les fichiers de portefeuilles de cryptomonnaies, les données de formulaires, et de fournir un accès distant persistant aux attaquants sur la machine compromise.

La combinaison d'un vol de credentials et d'un accès distant rend LunexStealer particulièrement redoutable : non seulement les attaquants récupèrent immédiatement les données stockées sur la machine, mais ils conservent également la capacité d'y revenir ultérieurement, d'observer les activités en cours, de déployer des outils supplémentaires ou d'étendre leur présence sur le réseau de l'organisation si la machine infectée appartient à un environnement professionnel.

L'activité est suivie sous le label UAC-0277, un identifiant utilisé par le CERT-UA pour regrouper les opérations de ce groupe de menace. Les sites compromis ont été sélectionnés en fonction de leur trafic organique — les attaquants ciblent des sites bien référencés pour maximiser le nombre de victimes potentielles, les visiteurs arrivant principalement via des requêtes sur Google, Bing et autres moteurs de recherche. Cette approche, connue sous le nom de watering hole combinée à du SEO poisoning, permet d'atteindre des cibles sans avoir à les approcher directement.

La campagne ClickFix-LunexStealer s'inscrit dans une série d'attaques similaires documentées tout au long de 2026. En mai 2026, plus de 700 sites éducatifs et technologiques avaient été compromis via une vulnérabilité SQL injection dans Ghost CMS (CVE-2026-26980) pour diffuser des faux CAPTCHA dans le cadre d'une campagne ClickFix différente. En juillet 2026, des chercheurs de Malwarebytes avaient documenté des campagnes hybrides utilisant des fausses pages Google et Cloudflare pour distribuer plusieurs familles de malwares dont StealC, HijackLoader et NetSupport. Ces incidents répétés confirment que ClickFix est devenu une technique d'attaque consolidée et en expansion.

En octobre 2026 encore, le SANS Institute avait documenté une variante de cette campagne ciblant simultanément les utilisateurs Windows et macOS, indiquant que les attaquants développent activement des payloads multi-plateformes. Pour macOS, les commandes demandées ciblent le terminal et l'installation de composants frauduleux présentés comme des mises à jour système.

Les propriétaires et administrateurs des sites compromis n'étaient souvent pas conscients de l'infection. L'injection JavaScript opère de manière furtive, n'affectant que les visiteurs correspondant à certains critères (système d'exploitation Windows, provenance depuis un moteur de recherche, première visite) pour éviter d'être détectée lors des tests de routine par les administrateurs du site.

Pourquoi c'est important

La technique ClickFix représente une évolution préoccupante dans les vecteurs d'attaque ciblant les utilisateurs finaux. Traditionnellement, les infections par malware passaient par des pièces jointes e-mail ou des téléchargements directs de fichiers — des vecteurs que les solutions de sécurité modernes détectent avec une efficacité croissante. ClickFix contourne ces défenses en faisant exécuter la commande malveillante par l'utilisateur lui-même, dans un contexte qui semble légitime. Les solutions antivirus et EDR ont peu d'occasion d'intervenir avant que l'utilisateur n'ait validé l'action.

L'exploitation de la confiance accordée à la marque Cloudflare est particulièrement retorse. Cloudflare est omniprésent sur internet — ses pages de protection anti-DDoS sont vues des millions de fois par jour par des utilisateurs habitués à les traverser sans y réfléchir. Les attaquants exploitent cette familiarité et cette confiance acquise pour faire passer une action dangereuse (exécuter une commande système inconnue) pour une procédure de sécurité normale. C'est un exemple parfait d'attaque basée sur l'ingénierie sociale qui tire parti des habitudes numériques des victimes.

Pour les organisations, la menace est double. D'une part, leurs employés peuvent être victimes de ces attaques sur leurs postes professionnels en naviguant sur des sites compromis pendant leurs heures de travail. D'autre part, les entreprises possédant des sites web sont susceptibles d'être elles-mêmes les vecteurs involontaires d'une telle campagne si leurs sites sont compromis. Un audit régulier des scripts tiers chargés par les pages web, une politique de Content Security Policy (CSP) stricte, et des mécanismes de monitoring de l'intégrité des fichiers web sont des mesures défensives essentielles.

La récurrence de ces campagnes ClickFix en 2026 — en mai, juillet, octobre, avec des variantes continues — signale une industrialisation de cette technique. Les outils permettant de déployer ces attaques sont vraisemblablement disponibles sur les marchés underground, ce qui signifie que de nombreux groupes de menace différents peuvent les utiliser. La sensibilisation des utilisateurs reste la défense la plus efficace : aucune page web légitime ne demandera jamais à un utilisateur d'ouvrir une invite de commande et d'y exécuter du texte.

Ce qu'il faut retenir

• Plus de 100 sites légitimes compromis diffusent LunexStealer via de fausses pages Cloudflare demandant aux visiteurs d'exécuter une commande PowerShell — technique ClickFix attribuée à UAC-0277.
• LunexStealer vole mots de passe, cookies, tokens 2FA, données crypto et permet un accès distant — toute exécution sur un poste professionnel peut compromettre toute une organisation.
• Aucune page web légitime ne demande jamais d'exécuter une commande dans le terminal ou PowerShell : sensibiliser ses équipes à cette règle absolue est la défense la plus immédiate.