Wrappers rotatifs, détournement du dossier Downloads et contournement d’AMSI : une étude sur 3 000 charges utiles ClickFix décrit une chaîne d’infection qui mise sur la crédulité plutôt que sur l’exploit. La technique n’a rien d’un tour de force technique. Elle transforme simplement l’utilisateur en complice involontaire de sa propre infection.
Le travail, relayé le 1 juillet 2026 par The Hacker News, repose sur l’examen de 3 000 payloads ClickFix en conditions réelles. Le chercheur y décrit des enveloppes de diffusion changeantes et une méthode passant par le dossier Downloads pour esquiver AMSI (Antimalware Scan Interface), le mécanisme de Windows chargé d’inspecter certains scripts avant leur exécution.
Points clés
- 3 000 payloads ClickFix ont été analysés en conditions réelles.
- La technique repose sur des wrappers rotatifs et l’abus d’outils Windows légitimes.
- Une méthode via le dossier Downloads vise à contourner AMSI, le scanner antimalware de Windows.
- Microsoft a publié le 24 juin 2026 une détection dédiée (AmsiSuspClickfix.H).
Un mode opératoire qui vise l’humain, pas la machine
ClickFix désigne une technique d’ingénierie sociale qui pousse la victime à exécuter elle-même une commande. Le décor habituel : un faux CAPTCHA, une fausse page d’assistance ou une prétendue correction système. L’utilisateur copie-colle un script dans Win+R, PowerShell ou le terminal, puis lance sans le savoir une chaîne qui télécharge et exécute une seconde charge utile.
Les cas documentés ces dernières semaines confirment le schéma. Microsoft a publié le 24 juin 2026 une entrée de détection pour VirTool:Script/AmsiSuspClickfix.H, plaçant AMSI au cœur des tentatives d’évasion observées. D’autres campagnes récentes ont détourné des utilitaires Windows légitimes et des installations silencieuses pour récupérer leurs charges sans faire sonner la moindre alarme.
Wrappers tournants et contournement d’AMSI
L’étude insiste sur deux points. D’abord des wrappers tournants, ces enveloppes de diffusion qui changent régulièrement pour semer les signatures statiques. Ensuite une technique fondée sur le dossier Downloads, pensée pour tirer parti des comportements plus permissifs de Windows et réduire les chances de détection.
Le fil rouge ne varie pas : les attaquants déplacent la phase la plus sensible de l’infection vers des composants déjà présents sur la machine. Fini le gros binaire bruyant. La chaîne combine script, raccourcis système, téléchargement furtif et chargement en mémoire ou via des installateurs légitimes. Autrement dit, on cambriole la maison avec ses propres outils.
- 3 000 payloads ClickFix analysés en conditions réelles.
- Des wrappers rotatifs pour échapper aux signatures statiques.
- Une méthode basée sur le dossier Downloads pour contourner AMSI.
Une industrialisation en marche
Les publications de juin 2026 montrent que ClickFix alimente déjà plusieurs chaînes d’infection distinctes. The Hacker News rapportait le 4 juin une activité liée à DriveSurge, qui diffuse des leurres ClickFix et FakeUpdates sur des milliers de sites compromis. D’autres rapports décrivent des chargeurs comme BabaDeda, Lorem Ipsum et Potemkin, avec des charges secondaires allant de l’outil d’accès à distance au voleur d’identifiants.
L’analyse des 3 000 payloads offre surtout une vue d’ensemble sur la mécanisation du procédé. Les opérateurs adaptent les enveloppes, déplacent les scripts, multiplient les points d’entrée et s’appuient sur les réflexes Windows pour faire tourner le code par la cible elle-même. La meilleure parade tient en une phrase : ne collez jamais dans une console une commande que vous n’avez pas écrite.
