Pourquoi vos utilisateurs collent des malwares directement dans PowerShell

Un responsable marketing d'une entreprise de taille moyenne passe un mardi frustrant. Un lien Zoom pour une réunion client critique ne parvient pas à se charger correctement, affichant une erreur de navigateur concernant un codec manquant. Une fenêtre contextuelle utile apparaît avec un bouton « Réparer ». Elle demande au responsable de copier une ligne de code, d'ouvrir PowerShell et de coller la commande pour résoudre le problème. En quelques secondes, le responsable est de retour dans la réunion, ignorant qu'il vient d'inviter un acteur malveillant dans le réseau interne de l'entreprise. C'est le cœur de la tactique d'ingénierie sociale ClickFix, et sa dernière évolution est une campagne que Microsoft appelle TerminalFix.

J'ai récemment analysé un échantillon de cette campagne dans mon laboratoire. La sophistication technique du malware est remarquable, mais la manipulation psychologique est le véritable moteur de l'attaque. Les attaquants sont passés des exploits techniques à ce que j'appelle « l'exécution assistée par l'humain ». Ils n'ont plus besoin de trouver une vulnérabilité zero-day dans un navigateur lorsqu'ils peuvent simplement convaincre un humain de contourner chaque contrôle de sécurité sur sa propre machine. Du point de vue du risque, cela contourne tout le concept de périmètre réseau.

Le piège psychologique du faux captcha

La campagne TerminalFix commence par un site web compromis ou une publicité malveillante. Lorsqu'un utilisateur arrive sur la page, il voit une superposition réaliste qui imite un CAPTCHA Cloudflare ou une notification de mise à jour du navigateur. C'est un choix astucieux car les utilisateurs sont conditionnés à faire confiance à ces interfaces. On nous dit depuis une décennie que les CAPTCHAs sont le moyen de prouver que nous sommes humains et en sécurité. L'attaquant subvertit cette confiance en transformant un rituel de sécurité en vecteur d'infection.

Dans la variante TerminalFix, l'utilisateur est invité à effectuer une série d'étapes manuelles pour « vérifier » son identité ou corriger une erreur d'affichage. Les instructions disent à l'utilisateur d'appuyer sur une combinaison de touches spécifique, comme la touche Windows + R, ou d'ouvrir directement le Terminal Windows. Pendant que l'utilisateur suit ces étapes, le site web copie silencieusement une commande malveillante dans le presse-papiers du système. Lorsque l'utilisateur colle ce qu'il pense être une clé de vérification, il colle en réalité une commande PowerShell d'une seule ligne qui initie une infection en plusieurs étapes.

En observant le paysage des menaces, cette méthode est remarquablement efficace car elle évite de nombreux filtres de passerelle de messagerie traditionnels. Il n'y a pas de pièce jointe malveillante à analyser ni de lien suspect dans une boîte de réception. L'interaction se produit entièrement dans le navigateur et l'environnement local de l'utilisateur. Par conception, la commande est souvent obscurcie ou utilise des outils système légitimes comme « powershell.exe » ou « msiexec.exe » pour télécharger l'étape suivante, ce qui rend difficile le signalement de l'exécution initiale par les logiciels antivirus de base.

Passage de Windows Run au terminal

Les campagnes ClickFix précédentes reposaient souvent sur la boîte de dialogue Exécuter de Windows pour exécuter des commandes courtes. Bien qu'efficace pour de simples stubs de téléchargement, la boîte de dialogue Exécuter a une limite de caractères qui restreint la complexité du script initial. TerminalFix cible plutôt le Terminal Windows ou PowerShell. Ce changement n'est pas seulement une préférence cosmétique. Une fenêtre de terminal peut accepter des scripts multilignes nettement plus longs qui incluent une logique intégrée pour les vérifications d'environnement et les routines anti-analyse.

Les chercheurs de Microsoft soutiennent que le fait de diriger les utilisateurs vers PowerShell augmente la probabilité que des scripts complexes s'exécutent avec succès. Les versions modernes de Windows ouvrent souvent le Terminal dans une session PowerShell par défaut, offrant à l'attaquant un environnement de script puissant dès le départ. Cette complexité permet à l'attaquant de mener une reconnaissance initiale avant que toute charge utile secondaire n'atteigne le disque. Le script peut vérifier si la machine est jointe à un domaine, rechercher des logiciels de sécurité spécifiques ou déterminer s'il s'exécute à l'intérieur d'une machine virtuelle utilisée par des chercheurs en logiciels malveillants.

Dans les coulisses, la commande PowerShell initiale télécharge une archive ZIP. À l'intérieur de cette archive se trouvent un exécutable légitime et une DLL malveillante. L'attaquant utilise une technique appelée DLL sideloading (chargement latéral de DLL). Lorsque le programme légitime s'exécute, il recherche les fichiers de bibliothèque spécifiques dont il a besoin pour fonctionner. L'attaquant place un fichier malveillant portant le même nom dans le même dossier. Le système charge le code malveillant au lieu de la bibliothèque réelle. C'est un moyen furtif de cacher une activité malveillante sous le nom de processus d'une application de confiance.

Stéganographie et l'implant de tunnel inversé

La chaîne d'attaque ne s'arrête pas à la simple exécution de fichiers. TerminalFix utilise la stéganographie pour cacher ses charges utiles secondaires à l'intérieur de fichiers image PNG apparemment inoffensifs. Il s'agit d'une mesure réactive contre l'inspection du trafic réseau. Un pare-feu pourrait bloquer le téléchargement direct d'un fichier exécutable, mais il est peu probable qu'il signale une série de téléchargements d'images à partir d'un domaine d'apparence légitime. La DLL malveillante extrait le code caché de ces images et assemble la charge utile finale en mémoire.

L'un des composants les plus dangereux de cette campagne est l'implant C2 de tunnel inversé basé sur Python. Cet implant établit une connexion persistante vers l'infrastructure de l'attaquant à l'aide d'un canal WebSocket chiffré. Il tunnelise le trafic TCP arbitraire via ce canal. De manière proactive, c'est un cauchemar pour les intervenants en cas d'incident. Cela place effectivement l'attaquant à l'intérieur du réseau interne comme s'il était physiquement branché sur un port Ethernet dans le bureau.

En cas de violation impliquant ce tunnel inversé, l'attaquant a une vue directe sur les contrôleurs de domaine, les partages de fichiers et les applications internes de l'organisation. Ils peuvent contourner de nombreux contrôles de sécurité orientés vers l'extérieur car leur trafic provient d'un hôte interne de confiance. Les chercheurs de Microsoft ont observé des attaquants utilisant cet accès pour augmenter leurs privilèges et exfiltrer des données sensibles. Dans certains cas, cet accès mène directement au déploiement de ransomwares dans toute l'entreprise.

Débat sur la nouveauté du nom TerminalFix

Il existe un débat sain dans la communauté de la sécurité pour savoir si TerminalFix est une menace réellement distincte. Certains chercheurs, dont Tommy Madjar de Proofpoint, soutiennent que l'utilisation de fenêtres de terminal n'est pas un nouveau développement. Ils soulignent que les premières activités de ClickFix dès le début de 2024 utilisaient déjà des fenêtres de terminal pour exécuter des charges utiles. De ce point de vue, TerminalFix n'est qu'une autre itération de clusters établis comme ClearFake ou ErrTraffic.

Je communique avec plusieurs analystes de renseignement sur les menaces via Signal qui partagent ce scepticisme. Ils voient ces campagnes comme une évolution continue des leurres d'ingénierie sociale plutôt que comme un ensemble de menaces distinctes et marquées. Que nous l'appelions TerminalFix ou une variante de ClearFake, la réalité technique reste la même. Les attaquants s'éloignent avec succès des exploits automatisés au profit de la manipulation du comportement des utilisateurs. Ce changement nous oblige à repenser la manière dont nous défendons le point de terminaison.

Au niveau architectural, le problème est que nous avons construit des systèmes qui fournissent une puissance massive à un utilisateur standard via la ligne de commande. Alors que les développeurs et les administrateurs système ont besoin de ces outils, un employé de bureau typique a rarement besoin de toucher à PowerShell. La campagne TerminalFix exploite ce sur-provisionnement de capacités. Si un utilisateur a le pouvoir d'exécuter un script qui crée un tunnel réseau persistant, alors la sécurité de toute l'organisation dépend du fait que cet utilisateur unique ne soit pas trompé.

Défense pratique et pare-feu humain

La défense contre TerminalFix nécessite une combinaison de restrictions techniques et d'éducation des utilisateurs. Outre les correctifs, la contre-mesure technique la plus efficace est la restriction de PowerShell et de la boîte de dialogue Exécuter de Windows pour les utilisateurs qui n'en ont pas besoin. Les organisations peuvent utiliser les stratégies de groupe (GPO) ou AppLocker pour créer une posture de « refus par défaut » pour ces outils. Si le responsable marketing de mon exemple précédent avait essayé d'ouvrir PowerShell et avait reçu un message « Cette action est restreinte par votre administrateur », l'attaque aurait échoué immédiatement.

Cependant, des restrictions larges ne sont pas toujours réalisables. De nombreux outils logiciels modernes s'appuient sur l'exécution du terminal pour l'installation et les mises à jour. Comme l'a noté Tommy Madjar, même les outils de développement légitimes comme Claude Code suggèrent des méthodes d'installation qui impliquent de coller des commandes dans un terminal. Cela crée un environnement déroutant pour les utilisateurs. On leur dit de ne jamais coller de commandes provenant d'un site web, mais leurs outils d'entreprise officiels leur demandent de faire exactement cela. C'est pourquoi l'éducation est la composante critique du pare-feu humain.

La formation doit aller au-delà du simple conseil « ne cliquez pas ». Les utilisateurs doivent comprendre le concept de source de confiance et le danger spécifique du presse-papiers. Je recommande aux organisations de mener des simulations de phishing qui imitent spécifiquement la technique ClickFix. Voir avec quelle facilité un faux CAPTCHA peut mener à une invite de terminal est une expérience révélatrice pour la plupart des employés. Lorsque les utilisateurs comprennent le « comment » derrière l'attaque, ils sont plus susceptibles d'être résilients lorsqu'ils font face à la réalité.

D'un point de vue médico-légal, les équipes de sécurité doivent surveiller les relations processus parent-enfant inhabituelles. Il est rare qu'un navigateur web comme Chrome ou Edge soit le processus parent d'une session PowerShell qui engendre ensuite un interpréteur Python actif sur le réseau. Ces signaux sont des indicateurs granulaires d'une intrusion TerminalFix. L'établissement d'une base de référence de l'utilisation normale du terminal permet au SOC d'identifier ces anomalies avant que l'attaquant ne puisse se déplacer latéralement dans le réseau.

Points clés pour la sécurité en entreprise

• Auditez l'utilisation de PowerShell et du Terminal Windows dans toute l'organisation et restreignez l'accès pour les utilisateurs standard via GPO ou AppLocker.
• Surveillez les indicateurs de DLL sideloading, en particulier les exécutables légitimes s'exécutant à partir de répertoires inhabituels ou chargeant des DLL non signées.
• Mettez en œuvre une surveillance réseau pour détecter le trafic WebSocket persistant et à haut volume vers des IP externes inconnues, ce qui peut indiquer un tunnel inversé.
• Mettez à jour la formation de sensibilisation à la sécurité pour inclure les leurres de style « ClickFix » et les dangers de coller des commandes du presse-papiers dans les fenêtres de terminal.
• Évaluez l'utilisation de solutions de contrôle d'applications capables d'empêcher l'exécution de scripts non autorisés, même s'ils sont collés dans un shell légitime.

Sources : Microsoft Threat Intelligence, MITRE ATT&CK (Techniques T1547.001, T1574.002, T1027.003), Proofpoint Threat Research.

Cet article est à titre informatif et éducatif uniquement et ne remplace pas un audit de cybersécurité professionnel ou un service d'intervention en cas d'incident.