ClickFix et faux CAPTCHA : que faire après avoir exécuté une commande ?

Un collègue appelle le support : un site lui a demandé de prouver qu’il était humain, puis d’ouvrir une fenêtre système et d’y coller du texte. Il a suivi les instructions. La page fonctionne désormais, l’ordinateur semble normal et il souhaite savoir s’il faut intervenir.

Si vous avez exécuté une commande provenant d’une page de vérification suspecte, cessez d’utiliser cet appareil, déconnectez ses connexions réseau et contactez votre équipe informatique ou sécurité depuis un autre appareil. Utilisez un appareil de confiance pour récupérer vos comptes. Décrivez vos actions, notamment si vous avez appuyé sur Entrée, installé un programme ou saisi un mot de passe. Un bureau d’apparence normale ne permet pas de conclure.

Ce guide explique les attaques ClickFix par faux CAPTCHA et propose une réponse pratique pour les PME luxembourgeoises. La procédure ci-dessous constitue notre approche recommandée ; elle ne suppose pas que chaque exposition entraîne la même infection.

Qu’est-ce que ClickFix, et pourquoi en parler maintenant ?

ClickFix pousse une personne à exécuter une commande sous prétexte de corriger une erreur ou de terminer une vérification. L’étape déterminante est le passage du site web à un outil système. Un logo familier, un message rassurant ou une page déjà visitée ne suffisent pas à autoriser cette action.

Dans son analyse TerminalFix d’août 2026, Microsoft décrit des sites compromis conduisant les visiteurs vers PowerShell, puis vers l’installation d’un tunnel inverse. Il s’agit d’une campagne étudiée, et non de la preuve que chaque faux CAPTCHA installe cette charge.

Microsoft a également documenté une campagne ClickFix sur macOS. Sa diffusion conditionnelle explique pourquoi un lien suspect peut paraître inoffensif lorsqu’une autre personne le vérifie. La procédure de support doit donc couvrir les utilisateurs Windows comme Mac.

Déterminer d’abord jusqu’où l’interaction est allée

Commencez par une conversation calme. Demandez à la personne de raconter les étapes avec ses propres mots avant de lui présenter une liste. Notez l’heure approximative et l’appareil. Ne transformez pas une incertitude en certitude : « je crois avoir seulement copié » appelle une vérification, pas une case « sans danger ».

Ces distinctions facilitent le triage ; elles ne constituent pas un diagnostic à distance. Un téléchargement, une permission du navigateur ou la saisie d’un mot de passe peut créer un autre problème sans exécution de commande. Les conseils d’ESET d’octobre 2026 distinguent également la copie du texte de son exécution. Ne demandez pas de reproduire l’événement pour lever le doute.

Contenir l’appareil sans perdre le fil des événements

Si un ordinateur professionnel est soupçonné d’avoir exécuté la commande, déconnectez le Wi-Fi et le réseau filaire, ou faites utiliser l’isolation à distance par l’équipe sécurité. Prévenez-la par téléphone ou depuis un autre appareil. N’utilisez plus le poste pour la messagerie, la banque ou l’administration en attendant.

Sur un parc administré, le responsable doit vérifier que l’isolation a réellement abouti. La documentation Microsoft sur les actions de réponse décrit les fonctions d’isolation et leurs limites. Une action en attente sur un appareil hors ligne ne démontre pas son confinement.

Conservez la chronologie : utilisateur, identifiant du poste, fuseau horaire, adresse de la page, actions réalisées et alertes disponibles. Une capture déjà disponible peut aider ; ne revisitez pas la page pour en obtenir une. Transmettez les éléments par le canal approuvé, sans diffuser des commandes suspectes dans les discussions générales.

Après l’isolation, laissez au responsable les décisions d’arrêt, de redémarrage, de collecte et de réinstallation. Une réinitialisation précipitée peut effacer des informations utiles pour comprendre l’exposition des comptes. À l’inverse, préserver les preuves ne justifie pas de maintenir une infection suspectée sur le réseau professionnel.

Récupérer les comptes depuis un appareil de confiance

Établissez avec l’utilisateur une liste d’exposition : messagerie professionnelle, sessions du navigateur, comptes administrateurs, VPN, gestionnaire de mots de passe, identifiants de développement et systèmes clients utilisés sur ce poste. Cela définit le périmètre ; cela ne signifie pas que tout a été volé. Priorisez les comptes donnant le contrôle d’autres comptes ou permettant des paiements.

Pour les comptes considérés comme exposés, coordonnez changement des mots de passe, révocation des sessions et renouvellement des secrets. Recherchez les ajouts inexpliqués dans les méthodes d’authentification et applications connectées. Vérifiez les règles de transfert de messagerie pertinentes et l’activité récente. Utilisez un autre appareil fiable et les interfaces officielles, sans suivre les liens de la page suspecte.

Le guide Microsoft sur la révocation des accès explique que celle-ci peut prendre du temps et dépendre de l’application. Ne supposez pas qu’un changement de mot de passe ferme instantanément toutes les sessions existantes. Consignez les services vérifiés et la manière dont l’accès a été invalidé.

L’authentification multifacteur reste utile, mais protéger les comptes et rétablir la confiance dans un poste sont deux tâches distinctes. Notre guide sur le MFA résistant à l’hameçonnage traite de l’authentification. Ici, il faut déterminer si l’ordinateur et les identifiants accessibles depuis celui-ci restent fiables.

Demander une conclusion d’enquête, pas seulement un scan sans alerte

Le responsable doit reconstituer ce qui s’est exécuté, les communications, les fichiers créés et une éventuelle persistance. Si les données sont disponibles, rapprochez événements du poste, journaux DNS ou proxy et journaux d’identité autour de l’heure signalée. Élargissez l’analyse si des éléments montrent un accès à d’autres systèmes.

Une analyse antivirus apporte un élément utile. À elle seule, elle n’explique ni les comptes accessibles, ni l’usage d’une session ailleurs, ni l’achèvement du téléchargement initial. Réciproquement, l’absence d’alerte ne permet pas d’affirmer qu’une compromission a eu lieu. Précisez ce que les éléments démontrent et ce qui reste inconnu.

Avant restitution, documentez la décision de remédiation et les contrôles d’acceptation. Il peut s’agir d’une réinstallation, de données professionnelles restaurées, d’une protection vérifiée, de mises à jour fonctionnelles et du renouvellement des identifiants nécessaires. Offrez une solution de travail sûre pendant l’enquête, faute de quoi la pression opérationnelle favorisera une reconnexion prématurée.

Réduire les possibilités d’exécution sans bloquer l’activité

Commencez par recenser qui a besoin d’outils de script et pour quel usage. Un poste de comptabilité et un portable d’administration n’ont pas les mêmes besoins. Définissez logiciels et chemins d’exécution autorisés par rôle, puis testez les restrictions avec des utilisateurs représentatifs avant généralisation.

Ne présentez pas la stratégie d’exécution PowerShell comme une barrière complète. Microsoft en décrit explicitement les limites. Examinez ensemble contrôle applicatif, gestion des privilèges, protection du navigateur et détection sur les postes, avec un administrateur capable d’en tester les effets.

Pour une petite équipe, un premier livrable utile est une fiche précisant ce qui est autorisé, bloqué, comment une exception est approuvée et qui traite une alerte. Intégrez les Mac et les prestataires. Une politique limitée aux portables Windows achetés par l’entreprise laisse un manque évident dans le support.

Nos services de sécurité peuvent aider à cadrer cette revue. Gardez un objectif concret : le poste d’un utilisateur représentatif résiste à un chemin d’exécution non autorisé, le travail légitime reste possible et le support reçoit un événement exploitable.

Donner aux équipes une règle utilisable sous pression

Un site demandant de prouver que vous êtes humain ne vous autorise pas à exécuter une commande système. Arrêtez-vous et utilisez le contact habituel du support.

Enseignez cette limite plutôt qu’un raccourci clavier particulier. La demande peut citer Exécuter, PowerShell, Terminal ou une autre application. Elle peut provenir d’un résultat de recherche, d’un lien partagé ou d’un site légitime compromis. Les équipes ne doivent pas identifier la famille du logiciel malveillant avant de demander de l’aide.

Utilisez une capture sans danger ou une démonstration sans exécution dans les formations de sécurité. Répétez le signalement autant que la reconnaissance : numéro à appeler, informations à fournir et manière de poursuivre le travail. N’intégrez pas de commande malveillante active dans un exercice destiné au personnel.

Dans une entreprise luxembourgeoise multilingue, fournissez les consignes de signalement dans les langues de travail. L’objectif est une réaction rapide et praticable quand une personne hésite. Blâmer un signalement tardif rendra le prochain incident plus difficile à examiner.

Vérifiez aussi le circuit en dehors des heures ouvrées. Une personne travaillant tard doit savoir s’il faut déconnecter son portable, appeler un prestataire ou attendre le prochain jour ouvré. Convenez de qui peut autoriser le confinement et fournir un appareil de remplacement. Testez les coordonnées par un exercice de signalement inoffensif avant d’en dépendre pendant un incident.

Ce que la direction doit demander

Demandez une courte fiche de clôture indiquant point d’entrée connu, appareils concernés, récupération des comptes, limites de l’enquête et responsables du suivi. Distinguez faits confirmés et précautions. « Nous avons tout réinitialisé » ne définit ni le périmètre ni la preuve d’une récupération complète.

Examinez le passage de relais entre support, prestataire sécurité et administrateur des identités. Le fournisseur des postes ne contrôle pas nécessairement les sessions cloud ; l’administrateur cloud n’accède pas forcément à la télémétrie des appareils. Désignez le coordinateur avant que ce manque ne retarde la réponse.

Pour évaluer un signalement ClickFix ou améliorer les contrôles des postes, contactez ObsidianCorps avec le type d’appareil, l’heure approximative et les actions réalisées. Nous pouvons convenir du périmètre d’analyse et des prochaines étapes pratiques sans transformer l’incertitude en argument commercial.