Une campagne ClickFix récemment documentée s'est discrètement transformée en un vaste réseau de plus de 250 domaines, tous conçus pour inciter les utilisateurs Mac à infecter leur propre machine. Ce qui rend cette opération notable n'est pas seulement son ampleur. C'est le fait que les attaquants utilisent le fingerprinting de navigateur, la même technique de pistage que les annonceurs et les courtiers de données exploitent, pour décider à qui afficher un leurre malveillant et à qui présenter une page inoffensive.

Comment la campagne ClickFix brouille les pistes

Les attaques ClickFix suivent un schéma connu : un faux site web informe ses visiteurs que leur navigateur ou leur système comporte une erreur, puis leur demande de copier et coller une commande dans le Terminal pour la « réparer ». En réalité, cette commande installe un malware, ici une variante liée à AMOS, un infostealer macOS bien connu conçu pour dérober les mots de passe enregistrés, les données de navigation et les informations des portefeuilles de cryptomonnaies.

Ce qui distingue cette campagne, c'est le fingerprinting côté serveur. Au lieu de présenter le leurre malveillant à chaque visiteur, l'infrastructure des attaquants inspecte les détails du navigateur entrant – résolution d'écran, polices installées, chaînes user-agent et d'autres signaux de configuration subtils – avant de décider quoi afficher. Les scanners de sécurité, les robots d'indexation automatisés et les chercheurs qui examinent les domaines reçoivent généralement une page propre et sans particularité. Ce sont les véritables utilisateurs de Mac naviguant normalement qui sont redirigés vers le leurre ClickFix.

Il s'agit d'une évolution significative dans la manière dont les campagnes de malware échappent à la détection. Plutôt que de s'appuyer uniquement sur du code obscurci ou des domaines éphémères, les opérateurs utilisent des techniques d'identification passive pour filtrer leur audience avant même le début de l'attaque. Avec plus de 250 domaines impliqués selon les rapports, la campagne bénéficie d'une redondance telle que la suppression de sites individuels ne la ralentit guère dans son ensemble.

Le fingerprinting : un outil tant pour les annonceurs que pour les attaquants

Le fingerprinting de navigateur n'est pas nouveau et n'est pas intrinsèquement malveillant. Les sites web et les réseaux publicitaires utilisent des techniques similaires depuis des années pour suivre les utilisateurs d'une session à l'autre sans recourir aux cookies. Ce que démontre cette campagne, c'est la façon dont ces mêmes méthodes de profilage passif utilisées pour le pistage commercial peuvent être détournées pour diffuser sélectivement un malware tout en échappant à la détection.

Ce chevauchement mérite qu'on s'y attarde. Chaque fois qu'un navigateur expose des détails techniques granulaires à un site web, cela crée une opportunité pour que ces données soient utilisées d'une manière que le visiteur n'a jamais anticipée, que ce soit par une plateforme publicitaire qui construit un profil ou, comme ici, par un opérateur de malware qui décide qui vaut la peine d'être attaqué. Les lecteurs qui souhaitent approfondir la manière dont le fingerprinting et d'autres mécanismes de pistage fonctionnent, et ce que les outils de confidentialité standards peuvent ou non empêcher, pourraient trouver utile de consulter ce qu'est un VPN et comment il fonctionne, car le fingerprinting est l'une des méthodes de pistage qu'un VPN seul ne neutralise pas complètement.

Pourquoi c'est important au-delà de macOS

Bien que cette campagne particulière cible les utilisateurs de Mac avec des infostealers de type AMOS, la technique sous-jacente – utiliser le fingerprinting pour masquer sélectivement le contenu malveillant aux défenses automatisées – n'est pas propre à une plateforme. Elle reflète une tendance plus large des opérateurs de malware à emprunter des outils au monde de la publicité en ligne et de l'analyse de données pour rendre leur infrastructure plus résiliente. Une logique de camouflage similaire est apparue dans d'autres campagnes récentes qui dissimulent des charges utiles malveillantes à l'intérieur de services d'apparence légitime, comme la technique msaRAT du groupe de ransomware Chaos, qui cache le trafic de commande et contrôle au sein de processus de navigateur de confiance. Le fil conducteur est l'évasion par la légitimité : les attaquants se cachent de plus en plus en pleine lumière au lieu de s'appuyer sur une infrastructure manifestement suspecte.

Ce que cela signifie pour vous

Si vous utilisez un Mac, le risque pratique est simple : tout site web qui vous demande d'ouvrir le Terminal et d'y coller une commande pour « réparer » une erreur, vérifier que vous êtes humain ou résoudre un prétendu problème de sécurité doit être considéré comme un signal d'alarme. Les mises à jour légitimes de logiciels et les procédures de dépannage ne fonctionnent pas ainsi. Aucun véritable correctif, mise à jour de navigateur ou vérification CAPTCHA ne nécessite d'exécuter manuellement des commandes shell.

Étant donné que cette campagne s'appuie sur le fingerprinting pour cibler sélectivement les véritables utilisateurs, les outils de scan de sécurité standard peuvent ne pas toujours la détecter rapidement, ce qui met davantage l'accent sur la vigilance de l'utilisateur. C'est aussi un rappel que le pistage basé sur le fingerprinting, du type employé à la fois par les annonceurs et les attaquants, est largement invisible lors d'une session de navigation ordinaire, à moins que vous n'utilisiez activement des protections de confidentialité conçues pour limiter ce que votre appareil révèle.

Mesures concrètes à adopter

  • Ne collez jamais une commande dans le Terminal ou Exécuter parce qu'un site web vous l'a demandé, quelle que soit l'apparence officielle de la page.
  • Maintenez macOS et votre navigateur à jour, et soyez sceptique face aux fenêtres pop-up affirmant que des correctifs urgents sont nécessaires.
  • Utilisez des paramètres de navigateur ou des extensions qui réduisent la surface du fingerprinting, par exemple en limitant l'énumération des polices et l'accès au canvas lorsque c'est possible.
  • Si vous cherchez à comprendre comment le chiffrement et les outils de protection de la vie privée s'intègrent dans une stratégie de défense plus large, comprendre le chiffrement VPN est un bon point de départ, tout en gardant à l'esprit que les défenses contre le fingerprinting nécessitent des protections distinctes au niveau du navigateur.

Cette campagne ClickFix constitue une étude de cas utile sur la manière dont les attaquants s'adaptent : non pas en inventant de nouveaux malwares, mais en empruntant l'infrastructure de pistage du web moderne pour rendre les vieilles astuces plus difficiles à repérer. Rester prudent face aux instructions non sollicitées du type « réparez-le vous-même » demeure la défense la plus simple et la plus efficace.