Fausses attaques CAPTCHA : comment le malware ClickFix exploite la confiance des internautes et ce qu’il faut savoir pour se protéger

Comprendre la progression des attaques par de faux CAPTCHA

Les systèmes CAPTCHA — ces énigmes familières qui demandent d’identifier des lettres déformées ou de sélectionner des images — sont un pilier de la sécurité en ligne. Ils sont conçus pour distinguer les humains des robots et protéger les sites web contre le spam, les abus automatisés et les attaques par bourrage d’identifiants. Cependant, à mesure que ces systèmes se sont généralisés, les cybercriminels ont trouvé le moyen d’exploiter la confiance que les internautes leur accordent, donnant naissance à une nouvelle forme d’ingénierie sociale particulièrement efficace : les campagnes de diffusion de malwares par de faux CAPTCHA, notamment au moyen d’une méthode appelée ClickFix.

Cet article explique le fonctionnement des attaques par de faux CAPTCHA, les astuces techniques et psychologiques sur lesquelles elles reposent, les malwares qu’elles diffusent (comme Lumma Stealer) et les mesures concrètes que les particuliers et les organisations peuvent prendre pour s’en protéger.

Qu’est-ce qu’une attaque par faux CAPTCHA ?

Dans une attaque par faux CAPTCHA, les cybercriminels créent une page web ou une fenêtre contextuelle qui imite de près des systèmes CAPTCHA légitimes, comme reCAPTCHA de Google ou les pages de vérification de Cloudflare. Ces contrefaçons sont si convaincantes que même des internautes expérimentés peuvent ne rien remarquer d’anormal. L’attaque se déroule généralement ainsi :

• La victime est attirée sur un site malveillant, souvent par des courriels d’hameçonnage, de fausses publicités ou des sites légitimes compromis.
• Le site affiche un faux CAPTCHA et demande à l’internaute de prouver qu’il n’est pas un robot.
• Après que l’internaute a interagi avec le CAPTCHA, d’autres instructions lui sont présentées, par exemple copier-coller une commande dans la fenêtre Exécuter ou le terminal de son ordinateur.
• En suivant ces instructions, l’internaute exécute du code malveillant qui infecte son appareil.

Cette méthode est particulièrement insidieuse, car elle exploite les actions de l’internaute lui-même pour contourner les dispositifs de sécurité, ce qui complique la détection et la prévention.

ClickFix : le moteur d’ingénierie sociale derrière l’attaque

Le terme ClickFix désigne une technique d’ingénierie sociale qui pousse les internautes à exécuter eux-mêmes des commandes malveillantes. Contrairement aux malwares traditionnels, qui exploitent des vulnérabilités logicielles ou incitent les internautes à télécharger des fichiers infectés, ClickFix les manipule pour qu’ils lancent des commandes qui installent un malware, souvent au moyen d’étapes apparemment anodines.

Par exemple, un faux CAPTCHA peut demander à l’internaute de :

• Appuyer sur Windows Key + R pour ouvrir la fenêtre Exécuter.
• Coller une commande fournie (souvent un script PowerShell ou mshta.exe).
• Appuyer sur Enter pour l’exécuter.

Ces étapes, qui semblent faire partie d’un processus de vérification normal, entraînent en réalité le téléchargement et l’exécution de malwares comme Lumma Stealer, AsyncRAT ou d’autres chevaux de Troie voleurs d’informations.

Comment les attaques par de faux CAPTCHA se propagent : exemples concrets

Des attaques par de faux CAPTCHA ont été observées dans des contextes variés, ciblant des particuliers et des organisations partout dans le monde. Parmi les campagnes notables :

• Hameçonnage usurpant Booking.com : Des attaquants se sont fait passer pour le célèbre site de réservation d’hôtels et ont envoyé des courriels d’hameçonnage redirigeant les internautes vers une fausse page Booking.com dotée d’un CAPTCHA contrefait. Les victimes qui ont suivi les instructions ont installé un malware qui a dérobé leurs identifiants et leurs données personnelles.
• Publicités malveillantes et empoisonnement du référencement : Des cybercriminels ont eu recours à des techniques d’optimisation pour les moteurs de recherche (SEO) et à des publicités malveillantes pour mettre en avant de faux sites proposant des téléchargements de logiciels, de musique ou de films populaires. Ces sites affichent de faux CAPTCHA avant l’infection.
• Sites légitimes compromis : Même des sites web de confiance peuvent être compromis et afficher de fausses fenêtres contextuelles CAPTCHA, ce qui renforce encore la crédibilité de l’attaque.

Selon la société de sécurité LAC, des incidents liés à ClickFix ont été détectés dans plusieurs environnements clients depuis la fin de 2024, avec une nette hausse en 2025. Les attaques ne se limitent pas au Japon : elles ont été signalées aux États-Unis, en Europe et en Asie, dans des secteurs allant des télécommunications et de la santé à la finance et à l’hôtellerie.

Pourquoi ces attaques sont-elles si efficaces ?

Les attaques par de faux CAPTCHA exploitent plusieurs facteurs psychologiques et techniques :

• Familiarité et confiance : Les internautes sont habitués aux CAPTCHA et remettent rarement en question leur légitimité.
• Fatigue liée aux tâches répétitives : L’exposition fréquente aux CAPTCHA peut entraîner une « fatigue de l’authentification » et rendre les internautes moins vigilants.
• Ingénierie sociale : Les instructions détaillées sont présentées comme nécessaires à la vérification, ce qui réduit la méfiance.
• Contournement des dispositifs de sécurité : Comme la commande est lancée par l’internaute, les solutions de sécurité des terminaux peuvent interpréter l’action comme légitime, ce qui complique la détection.

Le malware derrière le masque : Lumma Stealer et ses équivalents

L’une des charges utiles les plus souvent diffusées par les attaques utilisant de faux CAPTCHA est Lumma Stealer, un malware voleur d’informations (infostealer) qui a rapidement gagné en popularité auprès des cybercriminels depuis son apparition en 2022. Lumma Stealer est vendu sur des forums du dark web et des chaînes Telegram, souvent sous forme de malware en tant que service (MaaS), ce qui le rend accessible à un large éventail d’attaquants.

Que fait Lumma Stealer ?

Une fois installé, Lumma Stealer peut :

• Récupérer les mots de passe et les cookies enregistrés dans les navigateurs.
• Dérober les identifiants de portefeuilles de cryptomonnaies (par exemple MetaMask, Binance).
• Extraire des données d’authentification à deux facteurs (2FA) et des extensions de navigateur.
• Collecter des données système et applicatives, notamment des identifiants de connexion à un bureau à distance.
• Exfiltrer des fichiers et des informations sensibles vers des serveurs distants contrôlés par les attaquants.

D’autres familles de malwares ont été observées dans ces campagnes, notamment AsyncRAT, Vidar Stealer, XWorm et divers chevaux de Troie d’accès à distance (RAT). La chaîne d’infection peut également faire appel à des scripts obfusqués, à des fichiers image (.png, .gif) contenant du code dissimulé et à des charges utiles en plusieurs étapes pour échapper à la détection.

Détails techniques : déroulement de l’attaque

Des chercheurs en sécurité ont documenté le déroulement technique suivant :

• La page contenant le faux CAPTCHA est chargée, souvent depuis un lien d’hameçonnage ou une publicité malveillante.
• Après avoir résolu le CAPTCHA, l’internaute est invité à exécuter une commande (par exemple dans la fenêtre Exécuter de Windows ou le terminal de macOS).
• La commande fait généralement appel à PowerShell ou à mshta.exe pour télécharger et exécuter un script depuis un serveur distant.
• Le script télécharge la charge utile du malware (par exemple, un fichier ZIP contenant Lumma Stealer), qui est ensuite exécutée sur l’ordinateur de la victime.
• Le malware commence à exfiltrer des données, souvent au moyen de connexions HTTPS chiffrées pour échapper à la surveillance du réseau.

Certaines campagnes ont utilisé du JavaScript obfusqué intégré à des fichiers en apparence inoffensifs (comme des fichiers MP3 ou PDF) pour mieux dissimuler l’attaque.

Impact mondial et incidents notables

Les attaques par de faux CAPTCHA ont entraîné d’importantes pertes financières et de données partout dans le monde. Selon Gen Digital (maison mère de Norton et Avast), les attaques par hameçonnage et par malware utilisant de faux CAPTCHA ont augmenté de plus de 600 % au Japon en 2024, une tendance similaire ayant été observée à l’échelle mondiale. Le montant total des pertes déclarées liées à ces attaques atteint plusieurs centaines de millions de dollars.

Les secteurs les plus touchés sont notamment :

• Télécommunications – Ciblées pour les données relatives aux clients et aux infrastructures.
• Santé – Attaques visant les portails médicaux et les données des patients.
• Finance et banque – Le vol d’identifiants entraîne des transactions non autorisées.
• Hôtellerie – Booking.com et des plateformes similaires servent d’appâts.

Des groupes APT (menace persistante avancée), notamment des acteurs étatiques de Corée du Nord, d’Iran et de Russie, ont également adopté des attaques de type ClickFix à des fins d’espionnage et pour maintenir leur accès aux réseaux d’entreprise.

Comment reconnaître et prévenir les attaques par de faux CAPTCHA

Face à la sophistication de ces attaques, des mesures de défense techniques et comportementales sont indispensables. Voici ce qu’il faut savoir :

Signaux d’alerte : comment repérer un faux CAPTCHA

• Instructions inhabituelles : Les CAPTCHA légitimes ne demandent jamais d’exécuter des commandes système, d’ouvrir la fenêtre Exécuter ou de coller du code dans le terminal.
• Demandes de téléchargement ou d’installation de logiciels : Méfiez-vous des CAPTCHA qui vous invitent à télécharger des fichiers ou des extensions de navigateur.
• Fenêtres contextuelles inattendues : Méfiez-vous des CAPTCHA qui apparaissent sur des sites inconnus ou suspects, en particulier après avoir cliqué sur des publicités ou des liens contenus dans des courriels non sollicités.
• URL suspectes : Vérifiez attentivement l’adresse du site. Les faux CAPTCHA apparaissent souvent sur des domaines dont le nom est mal orthographié ou sans rapport avec le service attendu.

Bonnes pratiques pour les particuliers

• Ne suivez jamais les instructions d’une source non fiable vous demandant d’exécuter des commandes. Si un CAPTCHA vous demande d’ouvrir la fenêtre Exécuter ou le terminal, fermez immédiatement la page.
• Vérifiez la légitimité du site web. Accédez directement aux sites en saisissant leur URL, plutôt qu’en cliquant sur des liens dans des courriels ou des publicités.
• Maintenez vos logiciels et votre système d’exploitation à jour. Les correctifs de sécurité peuvent contribuer à empêcher l’exploitation de vulnérabilités.
• Utilisez un logiciel de sécurité reconnu. Activez la protection en temps réel et maintenez les bases de détection à jour.
• Informez-vous et sensibilisez votre entourage. La vigilance est la meilleure défense contre l’ingénierie sociale.

Bonnes pratiques pour les organisations

• Déployez des mesures de contrôle techniques : Limitez la possibilité pour les utilisateurs non administrateurs d’exécuter des commandes PowerShell ou mshta.exe à l’aide de la stratégie de groupe ou d’outils de gestion des terminaux.
• Surveillez les activités suspectes : Utilisez des solutions de détection et de réponse sur les terminaux (EDR) pour repérer l’exécution inhabituelle de commandes et le trafic réseau suspect.
• Bloquez les domaines et les URL malveillants connus : Tenez à jour vos listes de blocage et utilisez des solutions de filtrage web.
• Imposez l’authentification multifacteur (MFA) : Réduisez les conséquences du vol d’identifiants.
• Organisez régulièrement des formations de sensibilisation à la sécurité : Apprenez aux salariés à reconnaître les techniques d’hameçonnage et d’ingénierie sociale.
• Préparez des plans de réponse aux incidents : Assurez-vous de pouvoir isoler et examiner rapidement les terminaux infectés.

Que faire en cas de suspicion d’infection

Si vous pensez avoir été victime d’une attaque par faux CAPTCHA :

• Déconnectez-vous immédiatement du réseau afin d’empêcher toute exfiltration supplémentaire de données.
• Contactez votre équipe informatique ou de sécurité si vous travaillez dans une organisation.
• Lancez une analyse complète à la recherche de malwares à l’aide d’un logiciel de sécurité reconnu.
• Changez tous les mots de passe des comptes utilisés depuis l’appareil infecté, en particulier ceux de services sensibles comme les services bancaires, la messagerie et le stockage dans le cloud.
• Surveillez vos comptes pour repérer toute activité suspecte et envisagez d’activer des mesures de sécurité supplémentaires, comme l’authentification multifacteur.

Pourquoi les attaques par de faux CAPTCHA annoncent une nouvelle ère de la cybercriminalité

Les attaques par de faux CAPTCHA, en particulier celles qui utilisent ClickFix, marquent une évolution importante de la cybercriminalité. En exploitant la confiance accordée aux mécanismes de sécurité familiers et en recourant à l’ingénierie sociale, les attaquants peuvent contourner nombre de défenses traditionnelles. Ces attaques sont difficiles à détecter, car elles reposent sur des actions déclenchées par les internautes, et les malwares diffusés sont de plus en plus sophistiqués et modulaires.

À mesure que les cybercriminels affinent leurs techniques, la frontière entre expériences en ligne légitimes et malveillantes devient toujours plus floue. Cette tendance souligne l’importance d’associer les mesures de contrôle techniques à la sensibilisation et à la vigilance des internautes.

En résumé

• Les attaques par de faux CAPTCHA utilisent des énigmes de sécurité contrefaites et convaincantes pour inciter les internautes à exécuter des malwares sur leurs propres appareils.
• La méthode ClickFix manipule les internautes pour qu’ils exécutent des commandes malveillantes, contournant ainsi de nombreux dispositifs de sécurité.
• Lumma Stealer et les malwares similaires peuvent dérober des mots de passe, des données financières et bien plus encore, entraînant des pertes considérables pour les particuliers et les organisations.
• Ces attaques se propagent dans le monde entier et ciblent un large éventail de secteurs et de personnes.
• Parmi les signaux d’alerte figurent les CAPTCHA qui demandent d’exécuter des commandes système ou de télécharger des fichiers : les CAPTCHA légitimes ne le font jamais.
• La prévention repose sur une combinaison de mesures de contrôle techniques, de logiciels de sécurité à jour et de sensibilisation des internautes.
• En cas d’infection, déconnectez-vous du réseau, lancez une analyse antivirus, changez vos mots de passe et demandez l’aide d’un professionnel.
• Rester vigilant et se méfier des instructions inattendues en ligne est la meilleure défense contre cette nouvelle vague de cybermenaces.