ClickFix : du faux CAPTCHA au rançongiciel, une règle Sigma RunMRU réutilisable

Le 16 juillet 2026, Microsoft a documenté deux chaînes d'intrusion distinctes reposant sur la même amorce : ClickFix. Le principe est d'une simplicité désarmante et c'est ce qui le rend redoutable. Une page web affiche un faux CAPTCHA ou un faux message d'erreur, puis demande à l'internaute de « prouver qu'il est humain » en appuyant sur Windows plus R, en collant un texte et en validant. Ce texte est une commande, et la victime vient de l'exécuter elle-même sur son poste. Aucune pièce jointe piégée, aucune macro, aucun binaire inconnu au départ : juste un utilisateur qui suit des instructions.

Cette technique, référencée T1204.004 (User Execution: Malicious Copy and Paste), sert aujourd'hui de porte d'entrée aussi bien à des voleurs d'informations comme ACR Stealer qu'à des opérations de rançongiciel comme Interlock, dont la CISA a détaillé les modes opératoires dans l'alerte AA25-203A. Pour une PME, le risque est double : un poste compromis peut voir ses mots de passe et jetons de session siphonnés en quelques minutes, ou servir de point de départ à un chiffrement de tout le parc.

Pourquoi ClickFix contourne les défenses classiques

La force de ClickFix est qu'il déplace l'exécution du côté de l'utilisateur légitime. La commande n'arrive pas par un canal réseau surveillé, elle est tapée dans la boîte de dialogue Exécuter de Windows. Le filtrage de pièces jointes ne voit rien. Le bac à sable de la messagerie ne voit rien. L'antivirus ne voit souvent qu'un PowerShell lancé par l'utilisateur courant, ce qui est banal.

Les deux chaînes observées par Microsoft illustrent la variété des charges qui suivent l'amorce. La première enchaîne WebDAV, rundll32.exe, PowerShell et un chargeur Python. La seconde passe par mshta.exe, du PowerShell obfusqué et une charge dissimulée dans une image, une technique de stéganographie. Dans les deux cas, la finalité est identique : voler les mots de passe enregistrés dans le navigateur, les cookies, les jetons d'authentification et les documents sensibles.

Le point de détection stable : la clé RunMRU

Chercher à détecter chaque charge finale est une course sans fin. Le point commun invariant de toutes les variantes ClickFix se trouve en amont : quand la victime tape une commande dans la boîte Exécuter, Windows enregistre cette commande dans la clé de registre HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU. Cette clé conserve l'historique des commandes lancées via Windows plus R. Un utilisateur normal y stocke cmd, mmc, \\serveur\partage. Une victime de ClickFix y stocke une ligne PowerShell longue, souvent encodée en base64 ou comportant iwr, Invoke-Expression, curl, un chemin distant.

Voici une règle Sigma centrée sur cet artefact, portable sur tout SIEM qui ingère les événements de modification de registre (Sysmon Event ID 13) :

title: Commande suspecte via la boite Executer (RunMRU) evoquant ClickFix
id: 3d6a9c21-7f04-4b8e-9c2a-1e5f7b0d8a44
status: experimental
description: >
  Detecte l ecriture dans la cle RunMRU d une commande contenant des marqueurs
  d execution PowerShell distante, schema typique d une amorce ClickFix.
references:
  - https://www.microsoft.com/en-us/security/blog/2026/07/16/acr-stealer-two-observed-intrusion-chains-amid-increased-threat-activity/
logsource:
  category: registry_set
  product: windows
detection:
  selection_key:
    TargetObject|contains: '\Explorer\RunMRU\'
  selection_markers:
    Details|contains:
      - 'powershell'
      - 'pwsh'
      - 'mshta'
      - 'curl'
      - 'iwr'
      - 'Invoke-Expression'
      - 'IEX'
      - 'FromBase64String'
      - '-enc'
      - '-e '
  condition: selection_key and selection_markers
falsepositives:
  - Administrateurs lancant des scripts PowerShell via Executer (rare, a documenter)
level: high
tags:
  - attack.execution
  - attack.t1204.004
  - attack.t1059.001

Compléter avec la ligne de commande PowerShell

La clé RunMRU signale l'amorce. La deuxième règle vise l'exécution elle-même, quand la commande collée lance un PowerShell encodé. C'est la technique T1059.001 (PowerShell). Le signal fort est la présence de l'argument -EncodedCommand (ou ses abréviations -enc, -e) suivi d'une longue chaîne base64, surtout quand le processus parent est explorer.exe, signe d'un lancement via la boîte Exécuter plutôt que par un terminal administrateur.

title: PowerShell encode lance depuis Explorer (post ClickFix)
id: b7e2f4a8-91c3-4d6e-8a1f-5c9d2b7e0a13
status: experimental
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    Image|endswith: '\powershell.exe'
    ParentImage|endswith: '\explorer.exe'
    CommandLine|contains:
      - '-enc'
      - '-EncodedCommand'
      - 'FromBase64String'
  condition: selection
falsepositives:
  - Deploiements logiciels lancant du PowerShell encode via Explorer
level: high
tags:
  - attack.execution
  - attack.t1059.001

Les autres binaires à surveiller dans la même chaîne

Les deux chaînes documentées s'appuient sur des binaires signés Microsoft détournés. mshta.exe est référencé T1218.005 et rundll32.exe T1218.011. Une fois l'amorce ClickFix détectée, ces exécutions confirment le passage à la charge suivante, tout comme l'accès aux magasins d'identifiants du navigateur (T1555.003). Les domaines de commande et contrôle liés à ACR Stealer observés lors de ces campagnes présentent un schéma reconnaissable de noms générés, à intégrer en indicateurs sur la résolution DNS et le proxy.

Ce qu'une PME peut mettre en place cette semaine

Trois mesures réduisent immédiatement la surface. Premièrement, sensibiliser : aucun site web légitime ne demande jamais d'ouvrir Windows plus R et de coller une commande. C'est le signal d'alarme le plus simple à transmettre à des utilisateurs non techniques. Deuxièmement, restreindre PowerShell aux comptes qui en ont réellement besoin, via une stratégie de groupe. Troisièmement, activer la journalisation de la ligne de commande dans les événements de création de processus, sans quoi les règles ci-dessus reçoivent bien l'événement mais avec un champ CommandLine vide.

La détection de ClickFix ne se joue pas sur la charge finale, qui change à chaque campagne, mais sur l'artefact d'amorce, la clé RunMRU, qui reste stable quelle que soit la suite. C'est exactement l'approche du feed Sigma ThreatClaw : des règles construites sur les invariants comportementaux et la ligne de commande, testées contre un corpus d'usages administrateurs légitimes avant publication, et livrées avec leurs conditions d'exclusion documentées plutôt qu'un simple nom de binaire à bannir.