Google ajoute Protection Chrome contre ClickFix: détecte les commandes copiées dans le presse-papiers et avertit

Google a annoncé Mardi qu'il intégrera de nouvelles défenses dans Chrome pour atténuer une technique d'ingénierie sociale connue comme Cliquez surFix, dans lequel les attaquants convainquent les victimes de coller et d'exécuter des commandes diaboliques sur la console Windows ou le terminal MacOS. Selon l'entreprise, ces améliorations sont activées lorsque l'utilisateur a activé l'option de Protection renforcée et visent à détecter et bloquer les commandes suspectes copiées dans le presse-papiers avant que l'utilisateur appuie sur Entrée et déclenche la chaîne d'infection.

Les faits confirmés par Google sont les suivants: ClickFix redirige les navigateurs vers des pages qui fend les vérifications légitimes (par exemple, reCAPTCHA de Google ou Cloudflare) ou afficher des erreurs présumées, et demander à l'utilisateur de copier et exécuter une commande dans la zone Exécuter Windows ou Terminal pour "corriger" le problème. Lorsqu'elles sont exécutées, ces commandes invoquent souvent des outils du système lui-même - PowerShell, cmd.exe ou d'autres "livraison-off-the-land" (LotL) - pour télécharger et exécuter des charges utiles ultérieures telles que les chevaux de Troie à distance ou les voleurs d'informations. Chrome va maintenant détecter des commandes potentiellement dangereuses copiées par les utilisateurs avec une protection renforcée, "propre" données personnelles du contenu du presse-papiers et envoyer le reste à Safe Browsing pour analyse; si Safe Browsing détermine qu'il est malveillant, il montrera un avertissement à l'utilisateur.

Techniquement, cliquez L'efficacité de Fix réside dans sortir du canal protégé du navigateur et apporter le téléchargement et l'exécution dans le contexte du système d'exploitation. Les défenses classiques du navigateur (listes de téléchargement noir, contrôles d'intégrité du téléchargement HTTP / HTTPS) ne s'appliquent pas si le navigateur n'a servi que de vecteur pour demander à l'utilisateur d'exécuter manuellement quelque chose en dehors du processus de téléchargement du navigateur. Les attaquants exploitent la confiance et l'urgence : ils demandent à copier des commandes en utilisant Power Shell ou curl / wget pour télécharger une charge utile à partir d'une URL contrôlée par l'attaquant, souvent enchaîné avec des instructions pour exécuter le binaire téléchargé.

Les contre-mesures de Google sont différentes et différentes. La fonction décrite plus précisément est la détection des commandes copiées dans le presse-papiers et l'envoi - après suppression des données personnelles - à Safe Browsing pour une analyse qui peut donner lieu à un avertissement. Google ajoute également une taxonomie des avertissements (sites "Suspects" vs "Dangereux") et l'utilisation de modèles LLM sur l'appareil pour identifier des pages avec une forte probabilité d'escroquerie technique. L'entreprise indique que lorsqu'elle envoie du texte de l'appareil, elle le fait de manière éphémère et sans le retenir pour la formation, et que la protection de vérification des annonceurs financiers va s'étendre aux États-Unis. Les États-Unis et le Canada devraient réduire la suprématie dans les publicités.

Ce qui est confirmé: Google implémente ces fonctions à l'intérieur de Chrome et les limite aux utilisateurs avec une protection améliorée; Apple pour sa part a signalé dans des mesures parallèles sur Safari / WebKit pour bloquer ce qu'il appelle "résolution d'identité", une méthode différente de suivi qui associe les courriels avec des identifiants persistants. Ce qui reste dans le domaine de l'estimation ou de l'incertitude: l'efficacité réelle dans le domaine contre les campagnes adaptées, le taux de détection automatique fausse positive / négative, et dans quelle mesure les attaquants changeront de tactique (par exemple, convertir des commandes en images ou demander une machine à écrire manuelle complète) pour éviter l'inspection du presse-papiers.

Conséquences pratiques: tout utilisateur qui reçoit des instructions d'un web, d'une annonce ou d'un appel pour exécuter une commande sur son système est en danger; les agresseurs peuvent atteindre à la fois les consommateurs et les entreprises. Pour les organisations, ClickFix est attrayant car il peut se moquer des contrôles de navigation traditionnels et des postes de travail cibles avec des privilèges suffisants pour télécharger et exécuter le code. La vérification des annonceurs financiers vise à réduire un canal (annonces mensongères) utilisé pour atteindre les victimes, mais n'éliminera pas en soi les campagnes qui se propagent par des moyens organiques ou des sites engagés.

Recommandations spécifiques et vérifiables pour les lecteurs et les administrateurs: Activer une protection améliorée dans Chrome si vous utilisez déjà ce navigateur - l'option est dans Paramètres > Confidentialité et sécurité > Google Services et sécurité -; Google documents Safe Browsing et politiques connexes sur son portail de développeur (voir développés) et sur les pages d'aide de Chrome (par exemple, Support Chrome sur une protection améliorée). Deuxièmement, ne collez jamais ou n'exécutez jamais des commandes dans le terminal qui proviennent de fenêtres émergentes, d'annonces, de conversations non vérifiées ou de pages qui n'appartiennent pas aux canaux officiels : confirmez toujours l'origine par des canaux indépendants (téléphone officiel, site d'entreprise vérifié). Troisièmement, implémenter les contrôles techniques dans des environnements gérés : politiques d'exécution, contrôle d'application AppLocker ou Microsoft Defender, restrictions PowerShell (Mode de Langue Constrained) et blocage de l'outil LotL, ainsi que règles EDR qui alertent sur les processus enfants inhabituels initiés à partir de navigateurs ou d'outils d'automatisation.

Pour les utilisateurs concernés par la confidentialité de la nouvelle détection: Google déclare qu'il supprime les informations personnelles du presse-papiers et effectue une analyse éphémère; même ainsi, si vous préférez ne rien envoyer hors de l'appareil, la seule garantie est de ne pas activer la catégorie de protection améliorée ou de revoir les paramètres de confidentialité de Chrome . Notez que désactiver ces protections laisse l'utilisateur plus exposé à ClickFix et autres escroqueries basées sur le contenu malveillant.

Enfin, n'oubliez pas que ces mesures d'atténuation ne sont pas définitives : les attaquants évoluent. Il est plausible qu'après ces mesures nous assistions à une augmentation des tactiques alternatives (images textuelles, instructions de machine à écrire manuelle, attaques de messagerie directe) pour éviter une inspection automatisée du contenu copié. Une sécurité efficace combine les outils du navigateur, les commandes de la plate-forme et, surtout, la formation continue des utilisateurs afin qu'ils n'ouvrent pas la porte quand quelqu'un demande.

Liens utiles pour étendre et configurer les protections : La documentation de Google sur la navigation en toute sécurité ( développés) et le blog WebKit / Apple sur la confidentialité du Web ( webkit.org / blog), qui détaille les initiatives visant à bloquer les techniques de suivi telles que la résolution d'identité.