# ClickFix : l’évolution des attaques au-delà du presse-papiers

_Publié le 11 novembre 2026 — https://ip73.fr/2026/11/11/clickfix-l-evolution-des-attaques-au-dela-du-presse-papiers/_

Huntress annonce que l'usage de la tactique ClickFix, connue pour inciter les utilisateurs à exécuter des commandes malveillantes via le presse-papiers, devient exponentiellement plus élaboré. Loin de se cantonner au simple téléchargement de scripts, les acteurs de la menace intègrent désormais des mécanismes de tromperie très poussés, allant de l'empoisonnement de moteurs de recherche à l'utilisation de modèles de langage personnalisés.

La sophistication des attaques observées récemment est frappante. Les chercheurs de Huntress notent que ClickFix est désormais employé comme étape d'accès initial menant au mouvement latéral au sein d'un réseau. Ils signalent aussi l'usage de chaînes de livraison basées sur le cache du navigateur, permettant de déployer des *remote access trojans* (RAT) exploitant Node.js, ou encore de reconstituer des charges utiles exécutables à partir de données dissimulées dans des fichiers image.

## Les nouvelles portes d'entrée numériques

Le vecteur d'infection initial s'est diversifié. Si le hameçonnage classique reste présent, les acteurs exploitent activement le *malvertising* pour rediriger les cibles vers des pages d'atterrissage contrôlées. Ces pages sont souvent hébergées sur des infrastructures contrôlées par les attaquants, mais Huntress a vu des acteurs utiliser des services basés sur le cloud pour contourner les systèmes de détection.

Le *typosquatting* est utilisé avec une précision chirurgicale. Par exemple, une recherche Bing pour « Westlaw » peut amener l'utilisateur à un domaine légèrement orthographié, qui redirige ensuite vers un faux site de connexion, appliquant le flux ClickFix.

Une autre méthode, l'empoisonnement SEO, cible des requêtes générales, comme celles concernant LinkedIn ou l'immobilier, pour diriger les utilisateurs vers des sites compromis. Sur ces sites, l'utilisateur est présenté avec ce qui ressemble à un tour de vérification Cloudflare, et le simple fait de cocher une case lance le processus ClickFix.

## L'art de la simulation de légitimité

Le niveau de finition des tentatives d'escroquerie augmente de façon spectaculaire. Des attaques se sont déroulées sur des sites légitimes, comme le cas d'une clinique dentaire temporairement compromise, où le pop-up de gestion des consentements servait de leurre initial. Cliquer sur « Accepter » introduisait alors le faux tour de vérification Cloudflare.

Lorsque l'utilisateur coche la case dans ces fausses fenêtres de vérification, un puissant script PowerShell est placé dans le presse-papiers. Et c'est là que la tromperie devient une performance. Les attaquants ne se contentent plus d'afficher la commande ; ils ajoutent des éléments visuels rassurants. Les scripts affichent des messages colorés dans un terminal, simulant le déroulement d'une vérification légitime. Certains scripts vont jusqu'à créer une fenêtre complète avec des barres de progression animées qui passent au vert, donnant l'impression que le processus de sécurité est en cours d'exécution, alors que, en réalité, le payload est en cours de téléchargement et d'exécution.

## Sources

- [Beyond the clipboard: The evolving tradecraft of ClickFix](https://www.huntress.com/blog/the-evolving-tradecraft-of-clickfix), Huntress, 10 novembre 2026
- [On the hunt for ARTEX: understanding agentic attacks in AWS environments](https://securitylabs.datadoghq.com/articles/artex-agentic-attacks-aws-environments/), Datadog, 9 novembre 2026

## Crédits photo

- Image en une : [Computer hardware close up](https://www.rawpixel.com/image/6026453/photo-image-public-domain-technology-lines), par auteur inconnu, [CC0](https://creativecommons.org/publicdomain/zero/1.0/), via Rawpixel via Openverse (recadrée)