ClickFix : le faux captcha qui demande de coller une commande et vole les mots de passe

Vous arrivez sur un site et une fenêtre ressemblant à un captcha s'affiche. Elle indique qu'il faut vérifier que vous êtes humain et donne trois étapes : appuyez sur la touche Windows et R, appuyez sur Ctrl et V, appuyez sur Entrée. Cela ressemble à une vérification de plus, comme il y en a tant sur Internet. Ce n'en est pas une. Vous venez d'exécuter sur votre ordinateur une commande que quelqu'un a copiée dans votre presse-papiers.

C'est l'attaque connue sous le nom de ClickFix, et elle est devenue très fréquente sur les sites compromis, boutiques en ligne comprises.

Comment elle fonctionne

1. Le site est compromis. Quelqu'un a injecté du JavaScript dans un template, un module ou un fichier du thème.
2. Le script affiche une couche plein écran qui ressemble à un captcha ou à une erreur de vérification, imitant parfois le style de services connus.
3. Au clic sur le bouton, il copie une commande dans le presse-papiers sans que l'utilisateur la voie. C'est généralement une commande PowerShell ou d'un autre outil système qui télécharge et exécute un programme.
4. Les instructions amènent l'utilisateur à l'exécuter lui-même dans la boîte de dialogue Exécuter de Windows. Certaines variantes demandent d'ouvrir le terminal sur Mac.
5. Le programme téléchargé s'installe, généralement un infostealer.

Ce qu'elle cherche

La cible n'est pas le serveur de la boutique : c'est l'ordinateur de la personne qui la visite. Ce qui s'installe sert généralement à voler :

• Les mots de passe enregistrés dans le navigateur.
• Les cookies de session, qui permettent d'entrer dans des comptes sans le mot de passe, en contournant parfois la double authentification.
• Les profils des clients FTP avec leurs mots de passe.
• Les portefeuilles de cryptomonnaies et les données de formulaires remplies automatiquement.

Pensez maintenant à qui visite votre boutique plus que quiconque : vous et votre équipe. Si le faux captcha apparaît dans le back-office ou sur la boutique pendant que vous l'administrez, ce qui est volé, ce sont les identifiants du panneau d'hébergement, du FTP, de la messagerie de l'entreprise et du back-office lui-même. C'est un moyen très efficace de transformer une petite infection en contrôle total, et cela explique certaines compromissions par FTP qui ne laissent aucune trace dans les journaux web.

Pour vos clients, le préjudice est autre : on leur vole des données sur leur propre machine via votre site. En plus du problème pour eux, c'est un problème de réputation et, selon le cas, d'obligations de notification.

Comment le reconnaître

En tant que visiteur, il existe une règle simple que toute votre équipe devrait connaître :

Aucune vérification légitime ne vous demande d'ouvrir la boîte de dialogue Exécuter, le terminal ou PowerShell pour y coller quelque chose. Ni Google, ni Cloudflare, ni aucune banque. Si un captcha vous donne des instructions au clavier, c'est une attaque. Fermez l'onglet.

Autres signes :

• Le prétendu captcha apparaît sur un site qui n'en avait jamais eu.
• Il occupe tout l'écran et masque le site en dessous.
• Il mentionne des erreurs de « vérification DNS », de « mise à jour du navigateur » ou similaires.
• Quelque chose est copié dans le presse-papiers sans que vous ayez cliqué sur un bouton de copie.

Si quelqu'un de votre équipe l'a déjà exécuté : déconnectez cet ordinateur du réseau, ne l'utilisez pour vous connecter à aucun service et, depuis une autre machine saine, changez les mots de passe de tout ce qui y était enregistré et fermez les sessions ouvertes. Ensuite, la machine touchée a besoin d'un nettoyage professionnel ou d'une réinstallation.

Comment savoir si votre boutique le diffuse

Le script peut ne s'afficher qu'à une partie des visiteurs : uniquement sous Windows, uniquement à la première visite, uniquement depuis certains pays ou uniquement à ceux qui ne sont pas identifiés comme administrateurs. C'est pourquoi il ne suffit pas d'ouvrir la boutique et de ne rien voir.

• Vérifiez les fichiers JavaScript du thème et des modules à la recherche de modifications récentes, surtout des lignes très longues ajoutées au début ou à la fin.
• Vérifiez les templates du thème au cas où une balise <script> chargeant quelque chose d'externe aurait été ajoutée.
• Regardez la configuration des modules qui permettent d'insérer du HTML (blocs personnalisés, champs de code dans l'en-tête), car l'injection peut se trouver dans la base de données et non dans un fichier.
• Testez depuis un navigateur propre, en navigation privée et sans session, ainsi que depuis un mobile.
• Écoutez vos clients. Un message du type « j'ai eu un captcha bizarre » doit être pris au sérieux.

Si vous le trouvez, rappelez-vous que le script est la conséquence, pas la cause. Quelqu'un a eu un accès pour le placer là : il faut chercher la porte par laquelle il est entré, comme pour toute autre infection, et la fermer. Maintenir PrestaShop et les modules à jour réduit fortement les voies par lesquelles quelqu'un peut injecter un tel script.

Gardez aussi à l'esprit que ces scripts changent souvent : le même chargeur demande à chaque fois son contenu à un serveur externe, et ce qui est aujourd'hui un faux captcha peut devenir demain une alerte de mise à jour du navigateur ou un formulaire de paiement. C'est pourquoi il ne suffit pas de retirer la fenêtre que vous avez vue : il faut retirer le chargeur et découvrir comment il est arrivé jusqu'à vos fichiers ou votre base de données.

Ce qu'il faut dire à l'équipe

• Ne jamais coller quoi que ce soit dans Exécuter, PowerShell ou le terminal parce qu'un site le demande.
• Ne pas enregistrer les mots de passe du FTP ou du panneau dans le navigateur ni dans le client FTP.
• Utiliser la double authentification dans le back-office, le panneau d'hébergement et la messagerie.
• Signaler immédiatement tout ce qui paraît étrange sur la boutique, même si cela semble anodin.

Comment le résoudre dans PrestaShop

RKR Security Alert comprend une sentinelle qui examine la page telle qu'elle est rendue dans le navigateur, là où apparaissent les injections qui ne laissent aucune trace sur le disque. Contre ClickFix, elle surveille l'écriture dans le presse-papiers : elle alerte quand un site y écrit sans que l'utilisateur ait d'abord cliqué sur un bouton de copie, et chaque fois que ce qui est copié est une commande système ; elle détecte aussi la couche plein écran qui demande d'ouvrir la boîte de dialogue Exécuter. Elle a été testée pour ne pas se déclencher avec les bandeaux cookies, les fenêtres d'inscription à la newsletter ni le reCAPTCHA légitime de Google. Côté serveur, son scanner recherche le JavaScript injecté et surveille les modifications des fichiers et des templates, pour que vous trouviez aussi par où le script est entré.