Anatomie du leurre « faux CAPTCHA → ClickFix »
Un tour d'horizon de 90 secondes de l'une des chaînes d'ingénierie sociale les plus efficaces de cette année, avec la transcription MITM complète d'une détection réelle.
ClickFix est une technique par laquelle une fausse page CAPTCHA convainc l'utilisateur de coller une commande depuis le presse-papiers dans la boîte de dialogue « Exécuter » de Windows. La commande dans le presse-papiers est généralement un one-liner PowerShell qui télécharge un loader de second niveau.
L'infrastructure impressionne par sa simplicité : un plugin WordPress compromis injecte un script conditionnel qui remplace la page par le leurre lorsque le visiteur correspond au profil cible (Windows + IP non-entreprise + première visite).
Notre pipeline capture cela au niveau de la chaîne de redirections. Le JS injecté effectue un fetch same-origin vers /wp-content/plugins/<name>/api.php, qui retourne le HTML du leurre. Ce fetch est invisible pour les scanners passifs, mais incontestable lors d'une ré-exécution dans un vrai navigateur.
La bonne nouvelle : chaque détection confirmée au cours du dernier trimestre partageait le même en-tête à trois caractères dans la réponse d'api.php. Nous marquons désormais cet en-tête au niveau réseau pour une alerte précoce.