Google déploie dans Chrome une protection destinée à interrompre les attaques ClickFix avant que les utilisateurs n’exécutent des commandes malveillantes en dehors du navigateur. Selon l’annonce de Google, rapportée par The Hacker News, cette mesure ne concerne que les personnes ayant activé Enhanced Protection.
ClickFix repose sur la persuasion plutôt que sur un téléchargement classique depuis le navigateur. Une page d’hameçonnage affiche une fausse étape de vérification ou une erreur fabriquée, puis demande à la victime de copier une commande dans la boîte de dialogue Exécuter de Windows ou dans le Terminal de macOS. Son exécution peut déclencher une infection en plusieurs étapes, qui installe un logiciel espion ou un cheval de Troie d’accès à distance.
Chrome analyse les commandes suspectes copiées depuis les pages web
Les victimes peuvent être redirigées vers des pages ClickFix par de la publicité malveillante ou par des redirections depuis des sites légitimes compromis. Ces pages imitent souvent les vérifications de Cloudflare ou de Google reCAPTCHA et affirment qu’il faut coller une commande fournie pour poursuivre.
Les instructions copiées peuvent faire appel à des utilitaires intégrés comme PowerShell ou cmd.exe pour récupérer les charges utiles de la phase suivante. Cette activité passant par le système d’exploitation et non par le processus habituel de téléchargement de Chrome, Google affirme qu’elle peut échapper aux contrôles de téléchargement déjà en place dans Safe Browsing.
La nouvelle approche de Chrome déplace la détection plus tôt dans la séquence. Lorsqu’un utilisateur couvert par Enhanced Protection copie un script ClickFix potentiel, Google indique que Chrome supprime les informations personnelles du contenu du presse-papiers, puis soumet la commande restante à Safe Browsing pour évaluation. Si le service la classe comme dangereuse, le navigateur affiche un avertissement avant que l’utilisateur ne l’exécute.
La protection ne s’applique pas aux utilisateurs de Chrome qui n’ont pas activé Enhanced Protection. Elle intervient aussi à l’étape du copier-coller, sans rendre les commandes sûres à exécuter. Les utilisateurs doivent considérer toute instruction d’un site leur demandant d’ouvrir la boîte Exécuter ou le Terminal et de coller du code inconnu comme une tentative de compromission potentielle.
La détection des arnaques s’étend au-delà des scripts copiés
Google ajoute également deux classifications de Safe Browsing pour les utilisateurs de Enhanced Protection :
- Sites suspects, qui présentent des caractéristiques trompeuses associées à des pages malveillantes connues.
- Sites dangereux, connus pour être malveillants et présentant un risque élevé de préjudice.
L’entreprise étend son travail sur un grand modèle de langage embarqué à l’identification des arnaques au faux support technique, des fausses alertes antivirus et des fausses invitations à mettre à jour le navigateur. Google indique que le modèle examine la marque que la page prétend représenter, son objectif apparent et une estimation calculée de la probabilité qu’il s’agisse d’une arnaque.
Selon l’entreprise, le texte de la page n’est analysé qu’après qu’un site a présenté des signaux d’arnaque à haute confiance. Google affirme par ailleurs que tout contenu envoyé depuis l’appareil est traité de façon éphémère, sans être journalisé, conservé ni utilisé pour entraîner ses modèles. Ce sont les descriptions que Google donne du fonctionnement du système et de la gestion des données.
Safari 27 cible la résolution d’identité persistante
Apple introduit une autre protection du navigateur dans les versions 27 d’iOS, d’iPadOS, de macOS et de visionOS. Elle vise la résolution d’identité, une pratique de pistage par laquelle un tiers reçoit une adresse e-mail saisie lors d’une connexion ou d’une inscription à une lettre d’information, puis l’associe à un identifiant persistant.
L’équipe WebKit d’Apple indique que le fournisseur de pistage peut renvoyer au site un identifiant opaque, qui est alors stocké pour un profilage ou un ciblage publicitaire ultérieur, sur plusieurs sites. Le tiers peut utiliser l’adresse e-mail pour construire un graphe d’identité contenant d’autres informations, pouvant notamment inclure un nom, une adresse de résidence, un numéro de téléphone et une adresse IP.
Selon Apple, se déconnecter ou se désabonner ne supprime pas, à lui seul, ni l’identifiant ni l’adresse e-mail conservés par le tiers. Bloquer les cookies intersites n’est donc pas suffisant pour arrêter cette forme de pistage.
La contre-mesure de Safari bloque, au niveau du domaine, les connexions réseau vers l’infrastructure de résolution d’identité intégrée. Apple affirme que cela empêche la page de transmettre l’adresse e-mail au fournisseur de pistage dès le départ.
Pour les utilisateurs de Chrome, la différence pratique immédiate tient au paramétrage : l’analyse des commandes ClickFix est proposée via Enhanced Protection. Même avec ce réglage activé, les instructions inattendues demandant de coller des commandes dans les outils du système d’exploitation doivent être abandonnées plutôt qu’exécutées.
