ClickFix, des hackers se faisant passer pour des sociétés de capital-risque, attaquent des utilisateurs de cryptomonnaies, QuickLens détourne et expose malicieusement

La société de cybersécurité Moonlock Lab a publié lundi un rapport révélant la dernière méthode d’attaque des hackers en cryptomonnaies, centrée sur la technique « ClickFix » : les escrocs se font passer pour des sociétés de capital-risque telles que SolidBit ou MegaBit, contactent des professionnels de la cryptographie via LinkedIn pour proposer des collaborations, puis incitent finalement la victime à exécuter elle-même des commandes malveillantes sur son terminal, permettant ainsi de voler des actifs cryptographiques.

Analyse de la méthode d’attaque ClickFix : transformer la victime en exécutant l’attaque

L’innovation principale de l’attaque ClickFix réside dans sa capacité à bouleverser le mode traditionnel d’infection par logiciel malveillant. Le processus d’attaque comprend généralement les étapes suivantes :

Première étape (ingénierie sociale sur LinkedIn) : le hacker contacte la cible en se faisant passer pour une société de capital-risque, proposant une opportunité de partenariat légitime, établissant ainsi une confiance initiale.

Deuxième étape (liens vidéo frauduleux) : la victime est dirigée vers un lien frauduleux imitant Zoom ou Google Meet, menant à une « page d’événement » falsifiée.

Troisième étape (saisie dans le presse-papiers) : la page affiche un faux CAPTCHA Cloudflare « Je ne suis pas un robot », et en cliquant dessus, une commande malveillante est discrètement copiée dans le presse-papiers de l’utilisateur.

Quatrième étape (auto-exécution) : l’utilisateur est invité à ouvrir son terminal et à coller un « code de vérification », qui en réalité exécute la commande d’attaque.

L’équipe de recherche Moonlock Lab indique : « La force de la technique ClickFix réside dans sa capacité à transformer la victime en mécanisme d’exécution de l’attaque. En lui faisant coller et exécuter la commande, l’attaquant contourne les diverses protections que l’industrie de la sécurité a mises en place depuis des années — sans exploiter de vulnérabilités ni déclencher de comportements suspects de téléchargement. »

Détails de l’incident de détournement de QuickLens et liste des fonctionnalités malveillantes

Le cas de détournement de QuickLens présente une autre voie d’attaque — une attaque supply chain ciblant des utilisateurs légitimes existants :

• 1er février : transfert de propriété de l’extension QuickLens (changement de propriétaire)
• Deux semaines plus tard : le nouveau propriétaire publie une mise à jour contenant un script malveillant
• 23 février : le chercheur en sécurité Tuckner révèle que l’extension a été retirée du Chrome Web Store

Liste des fonctionnalités malveillantes :

· Recherche et vol de données de portefeuilles cryptographiques et de phrases de récupération (Seed Phrase)

· Accès au contenu de la boîte mail Gmail de l’utilisateur

· Vol de données de la chaîne YouTube

· Interception des identifiants de connexion et des informations de paiement saisis dans des formulaires web

Selon un rapport d’eSecurity Planet, cette extension détournée déploie simultanément le module d’attaque ClickFix et d’autres outils de vol d’informations, montrant que les opérateurs derrière disposent de capacités de coordination multi-outils.

Contexte de menace plus large de ClickFix

Moonlock Lab souligne que la technique ClickFix s’est rapidement répandue parmi les acteurs malveillants depuis 2025, son avantage principal étant qu’elle exploite le comportement humain plutôt que des vulnérabilités logicielles, évitant ainsi la détection par les outils de sécurité traditionnels.

Le département de renseignement sur les menaces de Microsoft a averti en août 2025 qu’ils suivaient « des activités d’attaque quotidiennes ciblant des milliers d’entreprises et d’appareils finaux à l’échelle mondiale » ; la société de renseignement en cybersécurité Unit42 a confirmé dans un rapport de juillet 2025 que ClickFix impactait plusieurs secteurs, notamment l’industrie manufacturière, la vente en gros et au détail, les gouvernements locaux et étatiques, ainsi que les services publics et l’énergie, dépassant largement le domaine des cryptomonnaies.

Questions fréquentes

Pourquoi l’attaque ClickFix peut-elle contourner les antivirus et logiciels de sécurité ?

Les antivirus traditionnels sont conçus pour détecter et bloquer l’exécution automatique de programmes suspects. La percée de ClickFix réside dans le fait qu’il fait « agir » la personne — en lui faisant volontairement entrer et exécuter la commande — plutôt que d’injecter un logiciel malveillant automatiquement. Cela rend difficile pour les outils de sécurité comportementale de détecter la menace, car l’action effectuée sur le terminal ressemble à une opération normale de l’utilisateur.

Comment reconnaître une attaque de type ClickFix ou une ingénierie sociale similaire ?

Les signes principaux incluent : recevoir une proposition commerciale d’un compte LinkedIn inconnu, cliquer sur un lien de réunion puis être invité à entrer un « code de vérification » ou suivre des « étapes de réparation », toute instruction demandant d’ouvrir le terminal (invite de commandes) et de coller un code, ou encore des interfaces de vérification falsifiées imitant Cloudflare ou CAPTCHA. La règle de sécurité est : aucun service légitime ne demande à l’utilisateur d’exécuter des commandes dans le terminal pour authentifier son identité.

Quelles actions doivent prendre les utilisateurs de QuickLens ?

Si vous avez installé l’extension QuickLens, retirez-la immédiatement du navigateur, changez tous les mots de passe de portefeuilles cryptographiques potentiellement compromis (générez de nouvelles phrases de récupération et transférez vos fonds vers un nouveau portefeuille), et réinitialisez vos mots de passe Gmail et autres comptes. Il est conseillé de vérifier régulièrement les extensions installées dans votre navigateur et de rester vigilant face à tout changement récent de propriété d’une extension.